Корпоративные информационные системы (КИС) – это совокупность информационных систем, объединенных сквозными бизнес-процессами и общим документооборотом, где каждая из систем выполняет соответствующие задачи по управлению принятием решений, а все системы в целом обеспечивают устойчивое функционирование организации [1, с. 8; 2].

Архитектура КИС включает множество распределенных информационных ресурсов (ИР), которые формируются, сопровождаются и предоставляются посредством различных автоматизированных информационных систем [3, с. 9]. В настоящее время одним из трендов в развитии архитектурных решений КИС является переход на цифровые платформы и экосистемы, требующие решения большого количества задач по интеграции информационных ресурсов. Реализация бизнес-процессов (основных, обеспечивающих, управления) также требует совместного использования корпоративных информационных ресурсов различными категориями пользователей [4]. Все вышеперечисленные аспекты обосновывают необходимость разработки и внедрения систем управления доступом к ИР организации на основе единых подходов, методологий.

Для унификации политики, процессов, технологий, моделей разграничения доступа к корпоративным информационным ресурсам Федеральным агентством по техническому регулированию и метрологии в 2021 г. были введены в действие национальные стандарты в сфере обеспечения безопасности информации при использовании автоматизированных систем. В их состав входит стандарт ГОСТ Р 59383-2021 «Информационные технологии. Методы и средства обеспечения безопасности. Основы управления доступом» [5], регламентирующий формирование единой политики управления доступом к информационным ресурсам в масштабе корпоративного информационного пространства.

Таким образом, для организаций, которые реализуют в настоящее время проекты по развитию и совершенствованию архитектур корпоративных информационных систем, одной из актуальных задач является формирование системы управления доступом к информационным ресурсам автоматизированных систем, как на корпоративном, так и на межорганизационном уровнях, с учетом моделей, представленных в национальных стандартах.

Цель исследования – формирование наборов данных, необходимых для реализации процессов управления доступом к информационным ресурсам в автоматизированных системах, в соответствии с рекомендациями стандартов, и выделение групп рисков при управлении доступом.

Материалы и методы исследования

Концептуальная модель управления доступом к информационным ресурсам автоматизированных систем, разработанная на основе процессного подхода [6; 7, с. 26] и положений ГОСТ Р 59383-2021 [5], включает ряд последовательных процессов (рис. 1):

– аутентификация субъекта, который отправил запрос на предоставление доступа к ресурсу (как правило, аутентификация выполняется на уровне сеанса, а не на уровне каждого запроса на доступ, таким образом, аутентификационные данные сохраняются и применяются для множества пользовательских запросов);

– принятие решения по авторизации субъекта к запрашиваемому ресурсу, которое фиксируется в выпускаемом токене доступа (токен доступа содержит сведения о разрешении или отказе в доступе к ресурсу на основе политики управления доступом, учитывающей привилегии субъекта и факторы, влияющие на технологию доступа: время, местоположение, средства подключения и пр.);

– выполнение авторизации запрашиваемого ресурса в соответствии с принятым решением (получение прикладной системой токена доступа, содержащего идентификационные данные субъекта и ресурса, информацию о разрешении и уровне доступа) и предоставление субъекту доступа к информационному ресурсу с учетом определенных полномочий.

Рис. 1. Концептуальная модель управления доступом к информационным ресурсам автоматизированной системы в соответствии с ГОСТ Р 59383-2021

Рис. 2. Концептуальная модель управления доступом к информационным ресурсам с выделением обеспечивающих систем и групп рисков

Целью управления доступом является поддержание доступа субъекта к информационному ресурсу на минимальном уровне, необходимом для выполнения им своих функций, и минимизация рисков, связанных с несанкционированным доступом к информации.

Достижение цели обеспечивается решением ряда задач, в состав которых входят:

– стандартизация процессов управления доступом;

– стандартизация групп рисков при управлении доступом.

В соответствии с положениями ГОСТ Р 59383-2021 стандартизация процессов управления доступом включает:

1) формирование и утверждение политики управления доступом к корпоративным ИР;

2) определение систем, обеспечивающих выполнение политики управления доступом;

2) унификация процессов управления доступом;

3) унификация наборов данных, необходимых для реализации процессов.

Политика управления доступом определяет, что формирование разрешения субъекту на доступ к информационному ресурсу в КИС должно быть регламентированным и включать процессы: аутентификации, авторизации субъекта, принятия решения и предоставление доступа к ИР, которые выполняются на основе присвоения субъектам привилегий доступа, учитывающим атрибуты ресурса, субъекта, среды, модели разграничения доступа.

Процессы управления доступом к ИР (рис. 2), обеспечиваются функционированием двух систем:

– системой управления идентификационными данными (аутентификация субъекта);

– системой управления доступом (аутентифицированный субъект через систему управления доступом запрашивает разрешение на доступ, а система формирует положительное или отрицательное решение по авторизации субъекта к ресурсу и определяет его полномочия).

Системой управления идентификационными данными реализуются следующие процессы:

– администрирование (назначение, введение идентификационных данных субъектов/пользователей; определение используемых методов аутентификации субъектов; применение различных уровней достоверности идентификации пользователей: упрощенный, стандартный, подтвержденный);

– идентификация субъекта (сопоставление субъекта с персональными учетными данными или учетными данными групп пользователей, т.е. распознавание субъекта на основе его идентификационных данных);

– аутентификация субъекта (подтверждение подлинности субъекта с заявленными идентификационными данными, принятие решения по результату аутентификации субъекта).

Система управления доступом отвечает за процессы:

– администрирование (назначение и поддержка атрибутов ресурсов, субъектов, условий среды доступа; формирование привилегий субъектов: ведение каталогов полномочий по доступу к ресурсам информационной системы зарегистрированным субъектам; ведение данных, необходимых для управления процессами в соответствии с принятой политикой);

– авторизация субъекта (прием запроса на доступ к ИР от аутентифицированного субъекта; идентификация запрашиваемого ИР; принятие решения о доступе субъекта к ресурсу и уровне прав, контроль процессов на соответствие политике, выпуск токена доступа);

– предоставление доступа к ресурсам (получение токена доступа: разрешение для субъекта доступа к ресурсу и возможных действий с ним в соответствии с политикой управления доступом).

Таким образом, с учетом положений ГОСТ Р 59383-2021 политика управления доступом требует унификации наборов данных, представляющих атрибуты участников информационного взаимодействия: субъектов и ресурсов.

Результаты исследования и их обсуждение

В соответствии с рекомендациями стандарта ГОСТ Р 59383-2021 были сформированы наборы данных, необходимые для реализации унифицированных процессов системы управления идентификационными данными и системы управления доступом к информационным ресурсам корпоративной информационной системы (табл. 1).

Для процессов управления доступом к ИР свойственны следующие группы рисков (рис. 2):

– аутентификационные риски (определяются минимально допустимым уровнем доверия к аутентификации субъекта в зависимости от уровня риска ресурса);

– риски целостности запроса доступа (связаны с безопасностью каналов связи, по которым поступает запрос на предоставление доступа к ресурсу: частные соединения внутри организации, передача через общедоступные сети или незащищенные каналы; включают меры по обеспечению целостности и конфиденциальности запросов доступа, установлению надежности каналов связи между субъектом и запрашиваемым ресурсом);

– риски авторизации (включают установление уровня риска несанкционированных действий субъекта с запрашиваемым ресурсом);

– риски при предоставлении доступа в соответствии с данными токена доступа (включают риски, связанные с целостностью и конфиденциальностью данных, участвующих в информационном обмене:

1) содержание запроса: аутентификационные данные субъекта, привилегии субъекта, запрашиваемый ресурс, запрашиваемая операция и др.;

2) данные, передаваемые ресурсу, и данные, запрашиваемые от ресурса).

Таблица 1

Наборы данных для реализации процессов управления доступом к информационным ресурсам в автоматизированных системах

В качестве примера формирования набора данных для реализации процессов управления доступом к информационным ресурсам на основе положений ГОСТ Р 59383-2021 рассмотрим описание прав пользователей информационной системы 1С:БИТ.ВУЗ на платформе 1С:Предприятие 8, которая используется в Российском государственном гуманитарном университете (ФГБОУ ВО «РГГУ») для автоматизации процессов управления в образовательной деятельности (табл. 2).

Таблица 2

Наборы данных для реализации процессов управления доступом к информационным ресурсам автоматизированной информационной системы управления учебным процессом

Рис. 3. Профиль доступа «Работа с успеваемостью» с разрешенными действиями (ролями)

Рис. 4. Группы доступа по подразделениям, сформированные на основе профиля «Работа с успеваемостью»

Рис. 5. Группа доступа по подразделениям с указанием участников и перечня подразделений, чьи информационные ресурсы разрешены им для доступа

На рис. 3–5 приведены примеры профиля доступа «Работа с успеваемостью» с разрешенными действиями (ролями) и групп доступа «Работа с успеваемостью (по подразделениям)», обеспечивающие работу пользователей с документами только тех подразделений, к которым им разрешен доступ.

Выводы

Создание и применение системы управления доступом к корпоративным информационным ресурсам, основанной на положениях ГОСТ Р 59383-2021, позволяет:

– снизить риски несанкционированного доступа к ИР;

– предоставлять доступ к ИР с учетом бизнес-требований и требований безопасности на основе единых политик доступа;

– формировать разрешение на доступ к ИР в соответствии с политикой доступа и привилегиями субъекта, учитывающими атрибуты ресурса, субъекта, среды, модели разграничения доступа.