https://www.informationsecurity.com.tw/seminar/2021twcert/
https://www.informationsecurity.com.tw/seminar/2021twcert/

觀點

機敏資料管理要則 打好存取權限控管基本功

2012 / 05 / 18
編輯部整理 (擋住資安骨牌效應專刊,2011年.8月)
機敏資料管理要則 打好存取權限控管基本功

延續上篇的機敏資料盤點要則,談到機敏資料的分級與管理,在分級過後,接著就要透過一些實務性的做法,監控資料出入的可能管道與方法,從郵件、列印、FTP、網頁到P2P,機敏資料的控管可能包括了系統及網路(管道),在本篇我們著重談到資料本身的管理,例如運用權限管理來控管存取控制來確保分級後的機敏資料,得到確實有效的保護。

在個資法通過後,大部分的政府機關及企業組織大多已著手進行相關因應,但就像剛開始的機敏資料分級談到的,有多少銀兩、做多少事,既不能每種解決方案都買,也有風險與成本投資平衡上的問題,這時,倒不如務實的先把存取控制做好,一邊就可以理出最適合組織的最佳管理實務,屆時,再搭配採購欠缺的設備來補強存取控制無法做足的部份。

流程面、角色的權限存取控管

針對機敏資料的管理,可以透過權限管理在既有的流程面上得到更加嚴謹的控管,例如說對於被保護的機敏資料存取,必須提供更嚴謹的機制,運用資料標示分類、角色存取控制、欄位/列存取控制、時間存取控制的方式,強化對被保護資料的存取管理。資料標示分類也可以提供資安人員清楚定義不同資料的安全等級,以提供相對應的存取管理機制,接著運用角色、欄位/列、以及時間存取的控制方式,結合內部稽核管理方式,確保被保護資料不被任何非法的管道取得。

不過,角色的權限界定會隨著業務更動而改變,在一些業務變更快的產業更是一大挑戰,例如說電子商務產業對權限的界定是非常複雜而困難的,由於時常要推出新的業務,像是貨物迅速拓展到香港、大陸等通路,可能就會有輪調的狀況出現,權限的控管若未能與時俱進便失去意義。

為了要達到「最少的資訊揭露原則」,就要一一審視每個人的工作需求為何?之後,又要再對應到可能會有什麼樣的存取權限。而在組織變動如此大的環境下,可能就得定期審視工作說明書,才能確保人員權限都能適得其所。曾有過一個案例是-總經理特助擁有全公司所有系統所有的權限,原因是,總經理隨時都要看。但其實這是相當荒繆的事情,應該要有職權區分(SOD, Separation of Duty)的觀念,才能夠互相監督、制衡。

另外,越高層的主管越容易成為犯罪集團的目標物,以一個外部人士來看,要取得一個集團高階主管的名單,比起某個資訊人員更來得容易,也因此高階主管其實並不需要過多的權限,只要按照工作項目、角色去分配權限,而不是按照職權高低,因此高階主管權限原則是夠用就好,反而不應該有最大的權限。例如富邦momo資訊副總丁銘傳就曾表示,自己雖然掌管資訊部門卻沒有太多的權限。


權限控管的實務難題

企業組織中常見的現象就是人人身兼數職,因此,無論是業務的執行或是資訊系統的使用,常因為沒有適當的職能分工而造成作業缺乏獨立性,若資訊人員掌握了公司所有資訊系統的最高權限帳戶,除了可以在資訊系統上執行任何指令,甚至可以清除所有不法的紀錄,而使用者亦可以透過簡單的串謀來取得高度的權限,這時如果公司缺乏專業的監督,資訊人員以及內部員工幾乎可以隻手遮天,輕鬆的竊取、篡改,甚至藉由販售機密資料來謀取私利。IT人員反而成了企業內最大的資安漏洞,因此,內部的資料交換機制,建議可由資訊部門設計邏輯,但所有行為受到監控,例如IT人員負責將監控工具設定好之後就交給稽核來監看,但同時稽核也受到監督,環環相扣,形成互相制衡的權限控管。

除了蓄意的風險之外,員工的疏忽亦可能伴隨著過度授權而產生相當程度影響。許多作業的「執行」與「覆核」幾乎都仰賴同一個人來負責,如此的情況,就如同寫錯字的人再次檢查自己寫的文章,檢查出錯誤的機率將可能比第三方覆核要來得低,且獨立性也備受質疑,而只要是存在人工作業的環境,疏忽是絕對在所難免的,這也是造成資安事件無法有效降低的主要原因之一。過度授權所帶來的影響,也許會讓企業經營面臨難以復原的衝擊,企業仍應審慎衡量,在資安事件所帶來的損失與增加人力所增加的成本之間,找出一個適當的平衡點。

規模較大的公司分工較細,在層層的監控與覆核之下,問題將很容易被偵測到並予以解決,而中小企業因為規模比例的關係,只要一個小小的環節沒有注意,其所可能引發的風險將會非常地廣,影響也將非常地大。也就是說,大企業要掌握一個較高的風險,必須要在許多環節上進行控制,中小企業,則是掌握重要環節即可避免眾多的高風險。例如說至少2名資訊人員,相互監督,適當職能分工以避免過度授權。以及資安人員不再只當救火隊,至少應做資安事件的統計分析,找出關鍵風險並對症下藥,避免相同事件一再發生。此外就是以企業營運重點需求規劃資安標的、範圍與控制措施。

權限控管方法

實務上的權限控管方法上,可以採用的措施大約有:

(一) 存取控制表(ACL, Access Control List)
透過定義某帳號,允許其讀寫或修改等的權限,在系統上設定一份清單,包含使用者與核可使用的權限記錄,當使用者要存取系統資源時,即查核清單上的對應權限,核予使用。

(二) 帳號、密碼與系統登入
1. 帳號的新增與異動,須經申請,並經權責主管核可。
2. 每一使用者應用獨立帳號,除非特殊情況,否則不應有共用帳號。
3. 遇特定需求申請2個以上帳號,應提出特別申請並保留記錄。
4. 使用者帳號與權限賦予,以職務須求為限。
5. 使用者帳號密碼的告知,應有適當保護措施防止外洩。
6. 離職人員(含留職人員)應依處理程序立即鎖定、停止或移除帳號。

雖然帳號密碼的控管是最基礎之管制措施,然管理人員卻時常忽略,經常流於形式甚或未即時將離職人員進行帳號鎖定,致系統增加不必要之安全風險。建議可以下列方式加強管制:
1. 定期對管理人員宣導組織安全政策,並著重於管理實例探討。
2. 考量與資料存取控制之「密碼的使用與保護」措施,採取相同策略實施管制,例如:將系統納入網域,並依使用者需求結合AD核予適當權限。
3. 實施定期或不定期稽核,期使系統之帳號密碼管理處於正規管理模式,而非流於形式。

(三) 權限管理
有別於對於系統帳號密碼之管制,針對權限管理更為重要,區分存取權限管理及特別權限管理(如下圖)。

權限管理區分(資料來源:行政院研考會)

1. 存取權限管理:
(1) 使用者權限應由權責主管依使用者職務需求,核准其工作所需最小權限。
(2) 系統管理人員不得逕自變更未經核可之權限異動。
(3) 如有系統遠端維護需求,應限制必須為核可的遠端連線來源。

2. 特別權限管理:
(1) 特別權限應有獨立帳號,不得多人共用。
(2) 特別權限的配賦,應以業務執行必要者為限。
(3) 建立特別權限授權程序,特別權限配給應依程序管理並保留記錄。

並且,在權限管理最為人詬病的就是系統管理人員擁有不適當的特別權限,導致組織政策及管理規定無法確實遵行,建議可以:

1. 政策規定保留修訂彈性:權限管理在組織政策及管理規定訂定時,仍須嚴謹,但需預留修改(正)彈性,逐步對照實務運作進行調整修訂,以符實際需要。

2. 系統化管理:建議權限管理仍以併入系統化管理方式進行,例如:所有人員(包含系統管理員)均在同一AD網域基礎環境中,對應群組或使用者權限,並可視需要導入RBAC等以角色為基礎之存取控制措施強化管理。

3. 稽核日誌留存:這一點非常重要,也是事件發生後的追查重點,但通常擁有特別權限人員要刪除稽核日誌倒也不是難事,所以,建立多一道稽核存錄機制也是非常重要的。