7.1. Уровни управления доступом

Управление доступом состоит из трех широких категорий: административного, технического и физического. Каждая категория имеет различные механизмы управления доступом, которые могут выполняться автоматически или вручную. Все эти механизмы должны работать согласованно друг с другом для защиты инфраструктуры и данных. Каждая категория управления доступом содержит несколько компонентов: 

• Административный уровень

  • Политики и процедуры

  • Управление персоналом

  • Структура надзора

  • Тренинги и повышение осведомленности по вопросам безопасности

  • Тестирование

• Физический уровень

  • Сегментация сети

  • Защита периметра

  • Управление компьютерами

  • Отделение рабочих областей

  • Резервное копирование данных

  • Прокладка кабелей

  • Контролируемые зоны

• Технический уровень 

  • Доступ к системам

  • Сетевая архитектура

  • Доступ к сети

  • Шифрование и протоколы

  • Аудит

Следующие разделы разъясняют каждую из этих категорий и компонентов, показывают, как они связаны с управлением доступом.

7.2. Административный уровень

Высшее руководство должно принять решение в отношении роли безопасности в компании, а также ее целей и задач. От этого решения зависит реализация всех механизмов, обеспечивающих и поддерживающих безопасность. Обычно руководство предоставляет «скелет» инфраструктуры безопасности и определяет, кто будет «наполнять» его. Первая часть строительства фундамента безопасности в компании – это политика безопасности. Создание политики безопасности входит в обязанности руководства, после чего оно должно делегировать разработку поддерживающих еепроцедур,стандартовируководств, указывающих какоеуправление персоналомдолжно применяться, как должно проходить тестирование, которое гарантирует, что все части работают для достижения целей безопасности компании. Эти элементы являются административным уровнем управления, они работают на самом верху иерархии модели управления доступом.

Политики и процедуры

Политика безопасности – это высокоуровневый документ, отражающий намерения руководства в отношении безопасности компании, указывающий, какие действия являются допустимыми, какой уровень риска считается приемлемым. Политика безопасности основывается на требованиях законодательства, регуляторов, а также бизнес-целях самой компании. Эта политика задает направление для каждого сотрудника и подразделения, указывающее как политика должна быть внедрена, как она должна соблюдаться и какие меры предусмотрены за несоответствие ей. Процедуры, руководства и стандарты предоставляют дополнительные детали, необходимые для поддержки и соблюдения политики безопасности компании.

Управление персоналом

Управление персоналом определяет, как сотрудники должны взаимодействовать с механизмами безопасности и какие предусмотрены меры воздействия за несоблюдение требований безопасности. Сюда включаются меры безопасности при приеме, увольнении, переводе и повышении сотрудников. Следует разработать специальные процедуры для каждой из этих ситуаций, для чего целесообразно привлекать подразделение по работе с кадрами, а также юридическое подразделение. Разделение критичных обязанностей и ротация обязанностей также являются средствами управления персоналом, которые должны быть продиктованы руководством.