"Матрица доступа" vs Active Directory - Форум по вопросам информационной безопасности

Всем добрый день.

В общем проводят у нас аттестацию АС. Распределение прав осуществляется посредством AD, документально никаких "Матриц доступа" у нас не существует. Так вот вопрос- обязательно ли она для аттестации?

AD у вас как Хоттабыч, волшебным образом сам знает какие права кому предоставить?!

AD у вас как Хоттабыч, волшебным образом сам знает какие права кому предоставить?!

Нет, есть администратор, который этим занимается.

- Рабинович, где вы берёте деньги?
- Жена дает.
- А жена ваша гле их берёт?
- В тумбочке.
- А в тумбочке они как появляются?
- Я туда их кладу.
- И где же вы берёте деньги?
- Жена даёт...

Так?

Вам нужно разработать документы в своей организации, обязательно а то разграничиваете права а бумажки нету утвержденной, кому чего и сколько) непорядок

Матрица доступа необходима. Требование РД по НСД.

Господа, вспомните что есть матрица доступа. по сути это таблица из пользователь\ресурс\права. Т.е фактически от вас хотели документ, на основании которого Иванову был предоставлен доступ к папке "новая папка", а Петрову нет. Или где указано что Никитина может добавлять, изменять и удалять документы в папке с приказами, а Сидорова может их там только читать. Инча получается тот самый Хоттабыч-админ из разряда "что хочу- то и ворочу".

Матрица доступа то нужна, но как ее вести? Если ресурсов свыше сотни (папки, системы, роли в системах, доступ в помещениях и т.д.) и сотрудников под сотню.
Вести ручками в экселе - неэффективно. Да и матрица разряженная сильно получается. М.б. есть ПО, позволяющее удобно вести матрицу доступа и получать отчеты по ней.

Если у вас аттестация, то матрица доступа не ведется, а должна быть. Как документ, отражающий те самые пользователь/ресурс/права на момент аттестации. И не забываем, что чаще всего одно из требований аттестата это неизменность условий эксплуатации, в том числе и матрицы доступа.

Вообще не понимаю, в чем проблема.

Сотрудники делятся на группы, благо ролевая модель отличается удобством и позволяет описать почти все. При увольнении-приеме-переводе просто переставляем людей внутри групп, не забывая, что один человек может быть участником нескольких групп (почему нет).

Ресурсы, которые статичные, хоть даже тупо описываются. Хотя также можно по группам. Если они не статичные, а появляются-изменяются, то описываются группами же, и при их появлении-изменении-удалении просто меняется описание группы. Технически - например, появляется папка "бухгалтерия", в ней документы именно бухгалтерии, "бухгалтерия плюс кадры", "особо секретные материалы" и т.п. - как угодно. К тому же не обязательно, чтобы описанные в группе ресурсы были именно физически сгруппированы.

Далее - рисуем матрицу доступов групп сотрудников к группам ресурсов. Бинго.

Отдельно Админу Хоттабычу отрезаем бороду, выпуская приказ о порядке предоставления доступов исключительно согласно матрице, а также приписываем порядок включения-исключения ресурсов и пользователей в-из групп. Естественно, это должно производиться с санкции кого-то, отличного от Админа.

В двух словах - как-то так. Более того, если чего-то подобного нет, то вообще смысла во всяких паролях и АД нет - т.к. в течении года работы без подобных инструкций, при более-менее живой и меняющейся системе, по доступам будет ИМХО заведомая каша, в которой черт ногу сломит, и никто не будет точно знать, кто куда и зачем может ходить.