5698910589

2.2 Model zabezpieczeń

Po przyjęciu polityki bezpieczeństwa, administrator powinien stworzyć model zabezpieczeń, który pozwoli na rozbicie złożonego problemu, jakim jest całościowa ochrona danych w sieci komputerowej na szereg prostszych elementów. Takie podejście ułatwi wdrożenie adekwatnych rozwiązań w praktyce.

Naczelną zasadą, jaką należy się kierować przy tworzeniu modelu zabezpieczeń jest zasada minimum koniecznego'Głosi ona, że w całym systemie należy nadawać tylko te uprawnienia, które są niezbędne do wykonywanej pracy. W przeważającej mierze dotyczy to użytkowników. Nie powinni mieć oni dostępu do urządzeń, które służą do przetwarzania danych, a jednocześnie nie są ich narzędziami pracy, np. do serwerowni, elementów architektury sieci (takich jak szafki z przełącznikami sieciowymi, przewodami itp.) czy nawet do wnętrza własnego komputera PC. Przede wszystkim jednak nie powinni mieć zbędnych uprawnień do systemu plików. Oznacza to, że administrator powinien nadać im prawa tylko do tych programów i plików z dokumentami, które są rzeczywiście potrzebne w kontekście wykonywanych obowiązków. Takie podejście powinno również mieć swój skutek w zablokowaniu możliwości instalowania przez użytkowników oprogramowania.

System zarządzania uprawnieniami użytkowników jest łatwiejszy do ogarnięcia, jeśli ma strukturę hierarchiczną. W uproszczeniu można to wytłumaczyć tak, że przełożony powinien mieć możliwość wglądu do danych, które przetwarzają jego podwładni, natomiast sytuacja odwrotna powinna być niemożliwa. Kwestia, na ile dozwolona powinna być wymiana danych w strukturach poziomych, tj. pomiędzy pracownikami, jest typowym zagadnieniem zależnym od specyfiki danej firmy i przyjętej w niej polityki bezpieczeństwa. Przeważnie zachowuje się układ zbieżny z organizacją firmy, np. dostęp do dokumentów księgowych mają

17 J. Stokłosa T. Bilski, T. Pankowski: op. dl. s. 21.

18