Parafraseerides "Kevade" avalauset – "Kui Arno isaga hommikul esimesena koolimajja jõudis, olid uksed eilsest õhtust lahti unustatud" – miks on ligipääsude haldamine tänapäeval ettevõtete nõrgim lüli?
Kui töötaja ettevõttest lahkub, annab ta tavaliselt tagasi sülearvuti ja uksekaardi, mailbox pannakse kinni ja olekski justkui korras. Mitu kuud hiljem võib aga selguda, et ta saab endiselt sisse kolmandate osapoolte süsteemidesse, saab tellida ettevõtte arvelt kaupu või näeb andmeid, mida ei tohiks. Selliseid lugusid kuulevad IT- ja turbespetsialistid Eestis sagedamini, kui soovitakse tunnistada.
„Kui keskmises ettevõttes on küberhügieen saadud võrdlemisi heale tasemele, siis ligipääsude ja volitustega on palju halvemad lood,“ ütleb Toomas Kell, Greenergy Data Centersi andmekeskuse käidu- ja tehnoloogiajuht, ning lisab, et ilma füüsilise turbeta ei ole küberturvet.
Lihtne asi, mis võib maksta tuhandeid
Greenergy Data Centersi töötajad näevad igapäevatöös tihti, kui kergesti võib ligipääsude haldamine käest ära minna.
Tööstusharus on esinenud teateid juhtumitest, kus töötaja, kellega tööleping lõpetati, on läinud seejärel serveriruumi ja seadmetevahelisi kaableid läbi lõiganud. „See on üsna ekstreemne näide,“ ilmestab Greenergy Data Centersi suurkliendi segmendijuht Martin Rungi. Sedasorti näited kannustavad andmekeskuseid panustama nii vastumeetmetesse kui ka teadlikkusse, et taoline sündmus ei saaks juhtuda. Siit on selgelt ka paljudel teistel, mida üle võtta.
Üsna sagedasti näeb seda, et n-ö hügieenikohustus jäetakse täitmata – kellegi volitused muutuvad, aga kolmandaid osapooli ei teavitata. „Näiteks oleme mõnel korral ise avastanud LinkedInist, et inimene on töökohta vahetanud ja oleme koheselt tema õigused peatanud – endine tööandja kahjuks oli unustanud märku anda. Õnneks ei ole sellest seni meile teadaolevalt tagajärgi tekkinud,“ ütleb Toomas Kell.
Ta lisab, et oluline on kliendi enda vastutus ja sellest riskist arusaamine: „Kliendil on kohustus, et kui keegi, kes omab andmekeskuse suunas volitusi, lahkub või tema õigused muutuvad, anda meile sellest kohe teada.“
Eestis on mitmeid juhtumeid, kus korraliku ning toimiva protsessiga oleks halvem suudetud ära hoida. Näitena avalikkuse ette jõudnud sündmusest on juhtum, kus töötaja väidetavalt omastas tööandja kohvimasina.
Sagedasem ning võrdlemisi süütu näide on see, et lahti jääb endise töötaja Bolt Businessi konto – nii saab inimene endise tööandja kulul taksoga sõita, kuni keegi märkab ja õigused ära võtab.
Enamik tõsisemaid lugusid ei jõua kunagi avalikkuse ette, kuna tegemist on võrdlemisi piinlike apsudega ning on seotud ettevõtete maine ja isikuandmetega. „Kahetsusväärselt paljudel on need lood olemas, aga keegi ei taha oma nime õpetlikele lugudele külge panna. Reaalsus on see, et on juhtunud küll ja veel intsidente, kus töötaja on endisele tööandjale kahju tekitanud, kuna see lihtsalt oli võimalik – kui ka tänane töötaja, ületades oma volituste piire,“ täiendab Rungi.
ISO standard ja "haige jalg"
Rungi sõnul sai teema nende jaoks uue hoo sisse ISO 27001 infoturbe standardi 2022. aasta versiooniga, mis seab auditeeritavatele konkreetsemad nõuded ligipääsude dokumenteerimisel ja haldusel.
„Näiteks võisid sa eelnevalt ligipääsu konto avada ja hiljem sulgeda. Nüüd tuleb üles täheldada, mis alusel sa selle õiguse andsid, kus oli tahteavaldus, kas see tuleb esindusõigusega isikult ja kuidas sa selle lõpuks sulgesid,“ selgitab ta.
See tähendab, et auditeeritavad peavad muutma oma seniseid rutiine ja mõtteviisi. Rungi võrdleb olukorda haige jalaga: „Sul on jalg haige ja kümme arsti on seda tulutult aastaid ravinud. Ühel hetkel tuleb aga otsustada: kas ampulteerid jala ja paned asemele proteesi, mis ei valuta, või jätkad tulutut ravimist? Sama on protsessidega – kas ehitad uue ja töötava süsteemi või üritad parandada vana, mille tegid inimesed, keda ettevõttes pole.“
Andmebaas võib olla ka Excelis
Toomas Kell lisab, et kõik intsidendid ei pruugi juhtuda pahatahtlikkusest – lihtsalt keegi unustab kuskilt volitused maha võtta. Selle tulemusena võivad vajalikud teated ja info jõuda valele inimesele või jääda üldse kätte saamata. „Näiteks kui seadus või regulatsioon muutub ja sellele oleks pidanud reageerima, ei pruugi keegi sellest teada ning vajalikud tegevused jäävad tegemata. Sellest tekib kahju – mitte alati otseselt rahaline, kuid kindlasti ajakulu ja segadus, mis mõjutab kogu ettevõtte tööd,“ selgitab Kell.
Ligipääsude haldamine pole ainult IT-tiimi mure. See peab olema osa ettevõtte üldisest protsessist – sama loogiline kui töölepingu sõlmimine või lõpetamine.
„Kui võtad inimese tööle, annad talle õigused, paned need õigused kirja. Kui ta lahkub, siis toimub kõik tagurpidi – võtad need õigused tagasi ja paned jälle kirja, et said ära võetud,“ kirjeldab Kell. „Ideaalis on sul registrid või andmebaasid, kust saad igal hetkel näha, kes mida teha võib.“
See ei pea olema keeruline süsteem. „Võib olla ka tavaline Exceli tabel,“ ütleb Kell. „Peaasi et sa teaksid, kellel on ligipääs ja kuhu ning mida ta selle raames teha saab.“
Greenergy Data Centersi juhtimiskeskuse juhi Priit Lahi sõnul on kõige olulisem, et igal sammul jääks maha „küpsisepuru“ – jälg, miks keegi õiguse sai ja miks see ära võeti. „Kui see dokumenteerimise osa puudub, hakkab süsteem kiiresti tõrkuma. Kui mõne aja möödumisel on vaja midagi kontrollida või parandada, siis vastuseid lihtsalt ei ole,“ selgitab ta.
Mugavustsoon on suurim vaenlane
Üldiselt ettevõtted teavad neid riske, aga ei taha nendega tegeleda. „See pole seksikas teema. Keegi ei taha hakata vana protsessi lahti harutama, sest see on tüütu ja keeruline ning põhjustab pingeid,“ ütleb Rungi.
Ta lisab, et sageli jäädakse mugavustsooni, näiteks avalikus sektoris: „Selle asemel et protsess korda teha ning rutiinid toimima panna, võetakse järgmine spetsialist tööle, kes näitlikustades tuhnib hunnikus paberites. Tegelikult võiks kõik see olla süsteemselt ja lihtsalt andmebaasis.“
Protsesside korrastamine ja automatiseerimine ei nõua tema sõnul suurt rahalist panust – pigem julgust kitsaskohta tunnistada ning muutuste läbiviimiseks otsuseid vastu võtta. „Kui sa tahad ISO sertifikaati uuendada, pead nagunii need asjad korda tegema. Võid teha täna või kahe aasta pärast, aga pääsu pole,“ ütleb ta.
Kuidas alustada?
Kõige lihtsam samm on Rungi sõnul alustada on- ja offboarding'u protsesside kaardistamisest.
Toomas Kell lisab, et algatuseks tuleb teada, kus omadega üldse ollakse: „Kaardista ära, millised süsteemid ja ligipääsud töötajatel on. Siis saad hakata puhastama – vanad välja, uued korrektselt sisse.“
„Dokumenteeri kõik õigused, mida inimene saab tööle tulles, ja tee sellele vastupidine protsess inimese lahkudes. Sama kehtib klientide ja partnerite kohta – ära lase teadmatusest või hooletusest inimestel aastate pärast endiselt vanade õiguste alt toimetada,“ ütleb ta.
Ja lõpuks, leiab Lahi, tuleb leida sobiv tööriist. „Olgu see sisse ostetud lahendus või enda loodud süsteem – peaasi et ta sobiks organisatsiooni ja integreeruks vajadusel ka kolmandate osapooltega,“ ütleb ta. „Ja igal protsessil peab olema algus ja lõpp, ilma nurkade lõikamise võimaluseta.“
Lihtsad asjad = rahulik uni, nagu öeldakse IT-s
Greenergy Data Centersi juhid rõhutavad, et tegelikult on põhiline küsimus distsipliinis. „Need on väikesed asjad, mis teevad öise une paremaks,“ ütleb Rungi lõpetuseks.
Ligipääsude haldus ei pruugi olla põnev teema, aga see on koht, kus hooletus võib maksta isegi rohkem kui mõni küberrünnak.