לאחרונה פורסם ב-TheMarker IT כי המחקר שהוצג בכנס ה-RSA שנערך לאחרונה, מציג תמונה עגומה בנוגע לשמירה על אבטחת מידע בתוך ארגונים:
"המחקר התמקד בדרך שבה אנשי IT פועלים כדי לנהל ולשמור על הזהויות האלקטרוניות של עובדי הארגון. 10% מהנשאלים בסקר, שנערך בקרב 1,500 עובדים ומנהלים בתחום ה-IT, הודו כי הם ממשיכים להחזיק בהרשאות משתמש וסיסמאות למערכות במקום העבודה הקודם שלהם. 52% אחוז מהנשאלים אף הודו כי שיתפו את עמיתיהם לעבודה בשמות המשתמש והסיסמאות שלהם. ניתן להניח כי נתונים אלו הם רק קירוב של המצב בפועל, שכן הם מסתמכים על הצהרותיהם של הנשאלים. כלומר, יתכן שהשיעורים גבוהים אף יותר" .
ניתן להתמודד עם סוגיה זו באמצעות מספר דרכים:
1.שילוב מערך (Single Sign-On (SSO בארגון-הרעיון הוא הזדהות חזקה של של משתמש באמצעות כרטיס חכם(Smart Card) הנושא תעודה אישית (Certificate) או Token המאפשרים הזדהות אחת כלפי מספר מערכות מידע ללא צורך בהזדהות נפרדת עבור כל מערכת.
2.אפיון והטמעת מערך Identity Management ) IDM)-ניהול פרטני של הרשאות משתמשים בצורה ידנית או אוטומטית הינו משימה כמעט בלתי אפשרית.
אחת הדרכים לפשט משימה זו הינה באמצעות הגדרת פרופילי הרשאות המשותפים למספר משתמשים בארגון והקפדה על כך שכל אחד מן העובדים בארגון יהיה משויך לפרופיל אחד או יותר.
פרופילים אלה הנגזרים, בדרך כלל, מן התפקידים בארגון (ולכן מכונים Roles) הינם אבני בניין יסודיות להענקת הרשאות: משתמש משויך לפרופיל, פרופיל מקבל סט של הרשאות.
תפיסה זו נחשבת היום כתפיסה המובילה בעולם ניהול הגישה והיא אף מוגדרת בתקן בינלאומי הדן בהרשאות גישה (Role Based Access Control, ANSI 359-2004).
פרוייקטי IDM הינם חוצי ארגון באופיים ולרוב כוללים תחומים גדולים וחשובים כמו ניהול, אבטחת מידע, ביטחון ורגולציה.
תחום מוצרי ניהול הזהויות הינו רחב מאוד ומרבית המוצרים נותנות מענה כולל לצרכים הטכנולוגים שהארגון מציג.
3.נוהל פיטור עובד-כתיבת ויישום נוהל הכולל טיפול בסוגית הפיטורין של העובד ללא יוצא מן הכלל החל מהפן הטכנולוגי ועד להתערבות אגף משאבי האנוש.
4.ביקורות (Audit)-ביצוע ביקורות על בסיס שוטף במערכות הארגון ,בארגונים גדולים מומלץ לשכור את שירותה של חברה המתמחה בביצוע ביקורות מסוג זה.
לצערי בארץ המצב לא פחות עגום מחו"ל...
אין תגובות:
הוסף רשומת תגובה