MedaGRC
یکی از پرتکرارترین پرسش‌های ممیزی امنیت این است: چه کسی به چه چیزی دسترسی دارد و چرا؟ پاسخ این سؤال در بسیاری از سازمان‌ها ساده نیست. اطلاعات حساب‌ها در Active Directory است، دسترسی اپلیکیشن‌ها جای دیگری نگهداری می‌شود، درخواست اولیه در Service Desk ثبت شده و تأیید مدیر شاید در ایمیل مانده باشد.
MedaGRC قرار نیست جای سامانه‌های هویت و مدیریت دسترسی را بگیرد؛ نقش آن این است که داده و شواهد این سامانه‌ها را به ریسک، کنترل، ممیزی و اقدام اصلاحی متصل کند. در این سناریو می‌بینیم یک ممیزی دسترسی کاربران چگونه از یک لیست اکانت‌ها فراتر می‌رود.
سناریو: کاربر واحد فروش هنوز دسترسی مالی دارد
کاربری شش ماه قبل از واحد مالی به فروش منتقل شده است، اما عضویت او در یکی از گروه‌های مالی همچنان باقی مانده. حساب فعال است و ورود موفقی هم در ماه گذشته ثبت شده. اینجا ممیز باید تشخیص دهد آیا صرفاً یک خطای اداری رخ داده یا کنترل Joiner-Mover-Leaver در سازمان اثربخشی کافی ندارد.
جدول گام‌های ممیزی دسترسی در MedaGRC
| گام | کار ممیز | شاهد مورد انتظار | نتیجه در MedaGRC |
|---|---|---|---|
| ۱ | تعیین دامنه کاربران و سامانه‌ها | فهرست دامنه، ERP، فایل‌سرور و سرویس‌های حساس | دامنه ممیزی |
| ۲ | دریافت فهرست حساب‌ها و نقش‌ها | Export از AD، AD360 یا سامانه هویت | Evidence |
| ۳ | نمونه‌برداری کاربران | کاربران جدید، منتقل‌شده، خارج‌شده و ممتاز | نمونه ممیزی |
| ۴ | تطبیق نقش با دسترسی | شرح شغل، درخواست دسترسی و تأیید مدیر | نتیجه آزمون کنترل |
| ۵ | بررسی حساب‌های غیرفعال و ممتاز | Last Logon، گروه‌های حساس و حساب‌های مشترک | Finding |
| ۶ | ثبت دسترسی اضافی | کاربر فروش با دسترسی مالی | عدم‌انطباق |
| ۷ | تعریف Remediation | حذف عضویت، بازبینی انتقال و Review دوره‌ای | اقدام اصلاحی |
| ۸ | تأیید اصلاح | Export جدید، تیکت تغییر و تأیید مالک | Closure |
ممیز فقط حساب کاربر را بررسی می‌کند؟
خیر. ممیزی قوی به دنبال طراحی کنترل و عملکرد واقعی کنترل است. ممکن است سیاست سازمان بگوید دسترسی کاربران منتقل‌شده باید ظرف ۲۴ ساعت بازبینی شود، اما نمونه‌ها نشان دهند این کار در عمل انجام نمی‌شود. در چنین حالتی وجود دستورالعمل به‌تنهایی کافی نیست.
به همین دلیل در MedaGRC می‌توان شاهد طراحی کنترل، شاهد اجرای کنترل و نتیجه آزمون را کنار هم نگه داشت. این تفکیک کمک می‌کند مشخص شود مشکل از نبود کنترل است یا از اجرای ضعیف کنترل موجود.
چه مواردی ارزش بررسی دارند؟
- حساب کارکنان جداشده از سازمان
- کاربرانی که واحد یا نقش شغلی آن‌ها تغییر کرده است
- عضویت در گروه‌های حساس و دسترسی‌های ممتاز
- حساب‌های مشترک یا بدون مالک مشخص
- حساب‌های غیرفعال با دسترسی معتبر
- تطبیق درخواست اولیه با دسترسی نهایی
- وجود بازبینی دوره‌ای و تأیید مالک سیستم
یکپارچه‌سازی چه کمکی می‌کند؟
در سازمانی که ابزارهای هویت، Endpoint، Service Desk یا SIEM دارد، می‌توان از خروجی این ابزارها به‌عنوان Evidence استفاده کرد. در صورت طراحی Integration، بخشی از شواهد از سامانه‌های عملیاتی دریافت می‌شود و ممیز به‌جای جمع‌آوری دستی، روی تحلیل مغایرت تمرکز می‌کند.
برای مشاهده رویکرد MedaGRC به اتصال ابزارها، صفحه Integration Hub و برای درک تفاوت طراحی و اجرای کنترل، مقاله Control Testing را ببینید.
از Finding تا اصلاح ریشه‌ای
اگر فقط عضویت اشتباه یک کاربر حذف شود، مشکل امروز رفع شده است؛ اما اگر علت ریشه‌ای اصلاح نشود، ماه بعد کاربر دیگری همان وضعیت را خواهد داشت. اقدام اصلاحی مناسب می‌تواند شامل اتصال فرایند منابع انسانی به فرایند دسترسی، تعریف مالک نقش، ایجاد بازبینی ماهانه و Escalation موارد معوق باشد.
جمع‌بندی
ممیزی دسترسی در MedaGRC به این معنا نیست که صرفاً یک فهرست از کاربران تهیه کنیم. هدف، اثبات این زنجیره است: نیاز کسب‌وکار ← درخواست دسترسی ← تأیید ← اعطای دسترسی ← بازبینی ← لغو در زمان مناسب. هرجا این زنجیره شکسته شود، ممیز یک Finding قابل پیگیری دارد؛ نه صرفاً یک یادداشت در گزارش.
برای دیدن گردش‌کار کامل دارایی، ریسک، کنترل، شاهد و ممیزی، صفحه گردش‌کار یکپارچه MedaGRC را ببینید.
