Nắm lấy niềm tin bằng không (Phần 2/7): Quyền truy cập ít đặc quyền nhất

Schneider Electric có bảy nguyên tắc trong mô hình Zero Trust của chúng tôi, tập trung vào cách chúng tôi thường xuyên xác minh, ủy quyền và xác thực người dùng cơ sở hạ tầng CNTT và OT của chúng tôi để ngăn chặn các nguy cơ xâm phạm dữ liệu và hệ thống quan trọng. Blog này đi sâu vào nguyên tắc không tin tưởng thứ hai của chúng tôi, đó là Quyền truy cập đặc quyền tối thiểu, một khái niệm về cơ bản là yêu cầu cơ bản về bảo mật và là khối xây dựng cốt lõi của bất kỳ mô hình không tin cậy nào.

Giống như hầu hết các công ty triển khai điều này, quyền truy cập tối thiểu giúp Schneider Electric đảm bảo rằng người dùng chỉ có quyền truy cập vào chính xác những gì họ cần—không hơn, không kém. Bằng cách xác định và giới hạn quyền truy cập của người dùng đối với những gì thực sự cần thiết, chúng tôi không chỉ giảm khả năng tiếp xúc với phần mềm độc hại và các cuộc tấn công mạng mà còn tăng năng suất bằng cách cung cấp cho mọi người chính xác những gì họ cần để thực hiện công việc của mình.

Hạn chế quyền truy cập cũng có lợi ích là nhắc nhở mọi người rằng các nguyên tắc an ninh mạng như đặc quyền tối thiểu là quan trọng đối với mọi người trong công ty của chúng ta, ngay cả đối với những người cảm thấy họ không bị ảnh hưởng trực tiếp hoặc dễ bị rủi ro an ninh mạng.

Truy cập ít đặc quyền nhất: Đơn giản về khái niệm, phức tạp khi thực thi

Điểm khởi đầu để truy cập ít đặc quyền nhất là dễ dàng. Tất cả người dùng mới của chúng tôi bắt đầu với lượng truy cập tối thiểu cần thiết cho các chức năng ít nhạy cảm nhất; những người này được gọi là người dùng có đặc quyền thấp nhất (LPU). Từ giờ trở đi, chúng tôi cấp các đặc quyền trên cơ sở cá nhân hóa trong khi vẫn theo dõi những đặc quyền nào đã được cấp và cho ai.

Thay vì chỉ cấp đặc quyền vĩnh viễn, chúng tôi đặt giới hạn thời gian cho quyền truy cập, cấp cho mọi người đặc quyền tạm thời nếu họ cần quyền truy cập cho một tác vụ cụ thể trong một khoảng thời gian nhất định. Các đặc quyền tạm thời có thể được cấp trong một khung thời gian cụ thể trước khi hết hạn hoặc cho đến khi hoàn thành nhiệm vụ. Trong trường hợp thứ hai, chúng tôi thường tạo và theo dõi thông tin đăng nhập sử dụng một lần trong khi tiến hành thẩm định để đảm bảo rằng các quyền đó sẽ bị thu hồi sau đó.

Sự cân bằng tốt giữa quyền truy cập được yêu cầu và leo thang đặc quyền

Vì những tiến bộ trong công nghệ thông minh và quy trình tự động đòi hỏi lực lượng lao động ngày càng lớn hơn với các yêu cầu kiểm soát truy cập độc đáo hơn, nên việc triển khai nguyên tắc truy cập có đặc quyền thấp nhất trong tổ chức của chúng ta có thể trở nên phức tạp.

Chẳng hạn, chúng tôi đóng vai trò tích cực trong việc quản lý các đặc quyền truy cập để đảm bảo rằng người dùng có các quyền cần thiết để hoàn thành các nhiệm vụ quan trọng. Tuy nhiên, chúng tôi cũng phải chủ động xóa các biện pháp kiểm soát truy cập đối với những người không còn yêu cầu chúng để ngăn chặn leo đặc quyềnđó là sự dư thừa các quyền đối với các hệ thống nhạy cảm được cấp cho những người dùng không còn cần chúng để thực hiện các chức năng của mình.

Đặc quyền leo thang mở ra đáng kể các tổ chức như Schneider Electric đối với các lỗ hổng mạng. Việc giới hạn số lượng người dùng có quyền truy cập nhất định không chỉ giúp chúng tôi giảm nguy cơ mất dữ liệu, hỏng hoặc trộm cắp mà còn giúp truy xuất nguồn gốc của những vấn đề đó hiệu quả hơn nhiều.

Truy cập đặc quyền là nhiều mặt và đa cấp

Một sự phức tạp khác trong truy cập có đặc quyền thấp nhất là việc tạo ra các tham số được xác định rõ ràng cho các mức độ truy cập khác nhau. Điều này nghe có vẻ đơn giản, nhưng trên cơ sở hàng ngày, chúng tôi có thể có hơn 600.000 tài sản hoặc thiết bị trên khắp thế giới truy cập vào mạng của chúng tôi tại bất kỳ thời điểm nào.

Do đó, chúng ta cần vượt ra ngoài việc chỉ cấp quyền truy cập cá nhân và đặc quyền địa chỉ khi nói đến các hoạt động như quyền truy cập vào hệ thống và ứng dụng. Một cách để làm điều này là thông qua việc sử dụng bộ điều khiển ủy quyền. Chúng tôi đã có các bộ điều khiển tập trung cấp quyền truy cập vào các ứng dụng chính của chúng tôi, chẳng hạn như hệ thống ERP, cũng như cơ sở dữ liệu và kho lưu trữ mã nguồn của chúng tôi. Gần đây, chúng tôi đã mở rộng khái niệm này để áp dụng cho các ứng dụng trong công ty của chúng tôi có thể được sử dụng nghiêm ngặt trong một bộ phận hoặc đơn vị kinh doanh.

Điều này đặc biệt hữu ích trong các môi trường nhỏ hơn, chẳng hạn như trong phát triển phần mềm. Có thể có năm hoặc mười nghìn nhà phát triển cần quyền truy cập vào các ứng dụng chuyên biệt không được quản lý tập trung. Bộ điều khiển ứng dụng chịu trách nhiệm về các ứng dụng này đã quen thuộc với môi trường và người dùng của nó, vì vậy họ có thể dễ dàng quản lý quyền truy cập phù hợp vào các ứng dụng đó.

Chúng tôi cũng đang đặt các cổng bảo mật ứng dụng để giúp chúng tôi kích hoạt các đặc quyền ít truy cập nhất khi các ứng dụng được tích hợp sẵn. Với các cổng này, chúng tôi có thể xác định người dùng và thiết bị nào cần quyền truy cập vào các ứng dụng mới được tích hợp, bổ sung thêm một lớp bảo vệ.

Quyền truy cập ít đặc quyền nhất không phải là một điều tốt đẹp: Đó là một điều cần thiết

Thực hiện nguyên tắc tiếp cận đặc quyền tối thiểu không chỉ là trách nhiệm của Schneider Electric mà phải làm — đó là điều cần thiết mà chúng ta phải giải quyết để phục vụ khách hàng của mình một cách tốt nhất. Chẳng hạn, đặc quyền truy cập thường là một phần trong các yêu cầu của tiêu chuẩn công nghiệp toàn cầu mà khách hàng của chúng tôi phải tuân thủ để tuân thủ. Loạt tiêu chuẩn và quy định về an ninh mạng—chẳng hạn như IEC 62443, ISO 27001, Chỉ thị NIS, LPM, NERC CIP và NIST SP-800-82—mỗi tiêu chuẩn đều chứa các yêu cầu rất phức tạp về đặc quyền truy cập.

Bằng cách biến quyền truy cập đặc quyền tối thiểu trở thành một vấn đề của chính sách được ghi chép đầy đủ, chúng tôi không chỉ có thể đạt được các chứng nhận tiêu chuẩn không gian mạng theo yêu cầu của khách hàng mà còn chứng minh sự tuân thủ trong trường hợp cơ quan quản lý kiểm tra.

Không tin tưởng gì — và xác minh mọi thứ

Khi nói đến an ninh mạng, sự cảnh giác cao độ là rất quan trọng trong khi ngay cả một chút chậm trễ nhất cũng có thể gây ra thảm họa. Là nguyên lý cốt lõi trong triết lý không tin cậy của chúng tôi, quyền truy cập ở đặc quyền thấp nhất giúp chúng tôi thực hành triết lý “không tin tưởng gì và xác minh mọi thứ”.

Chúng tôi khuyến khích các tổ chức khác tìm cách bảo vệ các hệ thống và dữ liệu quan trọng của họ tích cực quản lý các đặc quyền để đảm bảo chúng được cấp, cấp phép lại và xóa đúng cách. Mặc dù việc giám sát kỹ lưỡng như vậy phải trả giá, nhưng nó sẽ được bù đắp nhiều hơn bằng cách giảm thiểu các cuộc tấn công mạng tiềm ẩn và giảm sự thiếu hiệu quả bằng cách đảm bảo nhân viên luôn có các đặc quyền chính xác mà họ cần để thực hiện công việc của mình.

_{Đọc phần 1 của loạt bài này tại đây.}