Текстовое описание контролей процесса

Процесс разделения прав и полномочий в ИРРО фактически не имеет функционирующих контролей. Единственный контроль, являющийся автоматическим контролем обнаружения, является неэффективным и требует регулярного участия работников системы. Данным контролем является журнал событий, существующий для отслеживания изменений в системе. Следующие события, относящиеся к рассматриваемому процессу, не отслеживаются журналом:

• регистрация нового пользователя;

• изменение групп пользователя;

• изменение политики безопасности группы.

При этом, исходя из настроек журнала, изменение групп пользователей не должно отслеживаться, хотя такая опция существует. Стоит отметить тот факт, что хотя журнал и не отмечает регистрацию новых пользователей, удаление пользователей им отслеживается. Ввиду своей неэффективности, журнал событий в действительности практически не просматривается администраторами.

Все риски, указанные в матрице рисков, за исключением риска №3 (“Неполучение пользователем необходимых прав”) является возможными результатами некачественной работы сотрудников института, как работающих непосредственно с системой, так и не связанных с ней напрямую. Создание эффективных контролей для некоторых из них со стороны ИРРО не представляется возможным.

Матрица целей и рисков

№	Цель	Описание риска	Вероятность	Влияние	Комментарии
1	Правильное назначение пользовательских прав в системе	Ввиду ошибки отдела кадров при вводе информации любые пользователи системы могут получить возможности преподавателя	Низкая	Высокое
2		Ввиду ошибки администратора при выдаче прав какие-либо пользователи могут получить права оператора, главного оператора или администратора	Низкая	Высокое
3		В случае принадлежности преподавателя/студента к нескольким подразделениям/группам, он не получает доступа ни к одному из них	Высокая	Низкое	Данные пользователи хранятся в группе #MULT# исследуемой системы, которая насчитывает 35 активных пользователей
4	Отсутствие злоупотребления своими полномочиями со стороны администратора	Умышленная выдача администратором избыточных прав конкретным пользователям	Низкая	Высокое
5	Ввод информации только людьми, ответственными за её занесение	Доступ к базе данных людьми, не ответственными за занесение информации и возможная вредоносная деятельность	Низкая	Высокое

Матрица контролей и результаты тестирования эффективности контролей

№	Риск	Краткое описание контроля	Частота контроля	Контроль предупредительный/обнаружения	Контроль ручной/автоматический	Тестирование контроля	Выводы
1	Ошибочное получение пользователем прав оператора, главного оператора и администратора	Описание: Просмотр администратором журнала событий Цель: Отслеживание возможного неправильного изменения профилей пользователей Результат: Выявление пользователей с ошибочными правами	Постоянный/ежегодный	Обнаружения	Автоматический/ручной	Процедура: Воспроизведение. Создание нового пользователя, смена групп/выдача различных прав, удаление пользователя. Результат: Единственное, что отображено в журнале событий – удаление пользователя. Исполнитель: Никитин Д.А. Дата: 22.02.2012	Контроль неэффективен. Последствия наступления рисков не обнаруживаются.
2	Несанкционированное изменение прав пользователей администратором