Rätt person med rätt tillgång.
Åtkomsthantering
Rätt person ska ha tillgång till rätt information. I en organisation med stora mängder konfidentiell information blir det än viktigare att ha styr på sin åtkomsthantering. Det är viktigt att arbetssättet anpassas för att stödja detta, samtidigt som det är viktigt att ha användarvänligheten i fokus. En säker IT-miljö är användarvänlig. Saknas användarvänligheten kommer alla kreativa användare att hitta egna lösning, och skugg-IT växer.
Vi kommer nedan gå igenom 4 punkter som är viktiga att ha koll på:
Det traditionella mappsystemet
Dynamiska system för åtkomst
Begränsa åtkomsten
Ha kontroll på loggen
1. Det traditionella mapp-systemet
Världen rör sig fort idag och det gäller för företag att säkra upp sin data och ha koll på vem som har åtkomst till vad. Det vanliga, traditionella sättet med behörigheter på mappar som ofta är baserat på ett avdelningstänk (HR, Ekonomi/Finans, Produktion, Projekt, Utveckling, Engineering etc). I många fall så fallerar detta eftersom personer med olika roller och från olika avdelningar behöver tillgång till samma mappar, antingen för att läsa filer eller redigera, eller helt enkelt för att ladda upp egna filer. Det är nu alla kopior av dokument börjar skapas. Dokument hamnar i olika mappar med olika behörigheter, vem har nu tillgång till informationen? Risken för dubbletter med olika versioner ökar och företaget kan enkelt tappa kontrollen på vad för data som finns lagrad. Versionshantering blir också ett problem – vilken fil gäller? Mardröm!
2. Dynamiska system för åtkomst
Ett exempel är att en HR-chef behöver tillgång till olika data kring de anställda, vilket även en avdelningschef behöver. Med en infrastruktur som baseras på behörighetslåsta mappar utifrån avdelning blir detta direkt en utmaning. Om man istället arbetar utifrån roll löser man problemet och får bättre kontroll. Det innebär att man kan ha en mapp eller Teamskanal med flera olika typer av dokument där olika roller har tillgång till olika material. Detta är något som kan styras bland annat via Azure Information Protection (AIP).
3. Begränsa åtkomsten
Det finns olika sätt att begränsa åtkomsten för att stärka säkerheten. Om vi utgår från Zero Trust principen så litar vi varken på nätverk, enheterna, servrarna m.m. Vi förlitar oss istället på system som medger kontroll. Kommer ni ihåg användarvänligheten? Här kommer den in igen. Vi litar mer på företagets nätverk än när man sitter uppkopplad på ett cafés öppna WiFi. Därför kan vi tillåta lite friare arbete med lite mindre autentiseringar när man befinner sig där. Och t.ex. när de anställda rör sig utanför landets gränser så triggas ytterligare säkerhetsfunktioner. Det går även att lägga en del av ansvaret kring åtkomsthantering på personalen. De får då tillgång till en nyckel som de kan dela ut till fler. Men detta kräver att man har någon som är tydligt ansvarig samt en plan för hur man går tillväga.
4. Ha kontroll på loggen
Det är otroligt viktigt att det loggas vem som öppnar dokument, skickar iväg dem, delar med externa parter, och framförallt vem som försöker öppna dokument som inte är tilldelade till den personen. Dels är det bra att kontroll på vem som har redigerat vad och när, dels för att hitta mönster. Om man hittar ett mönster där någon obehörig försöker öppna klassificerade dokument kan det antingen vara ett säkerhetsproblem eller så kanske den personen behöver mer behörighet än han eller hon har idag. Det kan alltså handla om att underlätta arbetet för kollegorna (användarvänlighet) och inte bara som ett sätta att hitta ev. säkerhetsproblem.
Glöm inte:
1. Ha kontroll på er autentiseringsstrategi
2. Säkra er data med rätt typ av åtkomst
3. Logga och hitta mönster