Ошибки разграничения доступа в информационной системе часто возникают постепенно. Сотрудники меняют должности, получают дополнительные разрешения, подключаются к новым сервисам, но ранее выданные права не всегда пересматриваются.
В результате пользователи могут сохранять доступ к конфиденциальным данным и функциям, которые больше не нужны им для работы. Выявить такие нарушения помогает аудит учётных записей, ролей и матрицы доступа.
Типичные проблемы и риски разграничения доступа
При проверке информационных систем особое внимание уделяют нескольким распространённым нарушениям.
- Накопление прав (Privilege Creep). После смены должности сотрудник получает новые разрешения, но сохраняет доступ, необходимый для прежней работы. Со временем его привилегии становятся избыточными.
- Учётные записи уволенных сотрудников (Orphan Accounts). В системе остаются активные аккаунты пользователей, которые больше не работают в организации. Такие записи могут использоваться для несанкционированного доступа.
- Избыточные административные права. Пользователи получают полномочия администратора без обоснованной необходимости. Это увеличивает последствия ошибок и компрометации учётных записей.
- Неуправляемые индивидуальные разрешения. Временные доступы и исключения выдаются вручную, не имеют срока действия и не пересматриваются после завершения задачи.
- Ошибки ролевой модели. Слишком широкие роли предоставляют лишние разрешения сразу нескольким пользователям, а некорректное распределение ролей мешает выполнять рабочие обязанности.
Пошаговый аудит матрицы доступа
Матрица доступа показывает, каким пользователям и ролям разрешено работать с конкретными информационными ресурсами. Аудит позволяет сопоставить установленные правила с фактическими разрешениями.
1. Собрать сведения об учётных записях
Выгрузите перечень пользователей, групп и назначенных прав из служб каталогов Active Directory, LDAP или FreeIPA, а также из приложений с собственным управлением доступом. Сопоставьте данные с актуальным кадровым реестром, чтобы выявить неиспользуемые и принадлежащие уволенным сотрудникам учётные записи.
2. Проверить ролевую модель RBAC
Используйте подход Role-Based Access Control (RBAC) — управление доступом на основе ролей. Проверьте, соответствуют ли роли должностным обязанностям, а права каждой роли — принципу наименьших привилегий. Отдельно изучите прямые назначения прав вне ролей.
3. Найти избыточные и отсутствующие права
Сравните фактические разрешения с утверждённой матрицей доступа. Выявите накопленные привилегии, временные разрешения без срока действия и необоснованные административные полномочия. Зафиксируйте также права, которых сотрудникам не хватает для работы.
4. Настроить контроль жизненного цикла доступа
Для автоматизации используйте системы класса IdM/IAM (Identity Management / Identity and Access Management). Интеграция с 1С или кадровой HR-системой позволяет запускать изменение и отзыв прав при переводе либо увольнении сотрудника. Важно проверить, что такие процессы охватывают все необходимые системы.
5. Исправить нарушения и организовать пересмотр
Согласуйте корректировки с владельцами информационных ресурсов, отзовите лишние разрешения и предоставьте обоснованно необходимые права. Зафиксируйте изменения, проверьте их результат и установите регулярную ревизию матрицы доступа.
Какие требования ФСТЭК необходимо учитывать
Управление доступом — одна из базовых мер обеспечения информационной безопасности. Для информационных систем персональных данных применяются требования 152-ФЗ «О персональных данных» и приказа ФСТЭК России от 18.02.2013 № 21, предусматривающего меры по идентификации, аутентификации и управлению доступом.
Для государственных информационных систем и других систем, входящих в область его применения, действует приказ ФСТЭК России от 11.04.2025 № 117. Он заменил ранее применявшийся приказ № 17 с 1 марта 2026 года. Требования предусматривают управление доступом пользователей и ограничение привилегий.
Конкретный набор обязательных мер зависит от типа информационной системы и применимых к ней требований защиты информации. Поэтому при аудите важно проверять не только технические настройки, но и их соответствие действующей нормативной базе.
Какой результат должен дать аудит
После проверки организация получает актуальную матрицу доступа с понятным распределением ролей, обоснованными разрешениями и назначенными ответственными. Избыточные права устранены, неиспользуемые учётные записи заблокированы, а необходимые сотрудникам разрешения согласованы.
Автоматизация через IdM/IAM и периодический пересмотр прав помогают предотвращать повторное накопление привилегий и поддерживать принцип наименьших привилегий при изменении кадрового состава.
Вывод
Ошибки разграничения доступа возникают из-за накопления прав, неактуальных учётных записей и недостаточного контроля за назначением разрешений. Выявить их помогает последовательный аудит матрицы доступа и проверка ролевой модели.
Использование RBAC, принципа PoLP и инструментов IdM/IAM позволяет сделать управление доступом более прозрачным, сократить количество ручных операций и снизить риски несанкционированного доступа.
Если необходимо проверить разграничение прав пользователей, выявить избыточные привилегии и привести управление доступом в соответствие с требованиями информационной безопасности, специалисты X-Com помогут провести аудит, проанализировать матрицу доступа и подготовить рекомендации. Подробнее — обеспечение информационной безопасности автоматизированных систем .
