Матрица доступа пользователей к информационной системе
Таблица, в которой на пересечении роли и информационного ресурса стоят конкретные права: читать, вносить, изменять, удалять, выгружать. Документ, отвечающий на вопрос «что именно каждый допущенный может сделать с персональными данными».
Зачем нужен документ
Допуск к информационной системе почти никогда не бывает бинарным. Кадровик и бухгалтер работают в одной программе, но один заводит личные карточки, а второй видит их только для расчёта; менеджер обязан открывать карточку клиента, но не обязан выгружать всю базу в файл. Матрица доступа существует, чтобы эта разница была записана, а не оставалась на усмотрение того, кто настраивал систему.
Устройство документа простое: по строкам — роли, по столбцам — информационные ресурсы, на пересечении — разрешённые операции. Чтение, создание, изменение, удаление, выгрузка, печать, администрирование. Пустая ячейка означает, что доступа нет, и это такая же значимая часть матрицы, как заполненная.
Практическая ценность матрицы обнаруживается ровно в тот момент, когда её впервые сверяют с настройками системы. Почти всегда выясняется, что в системе прав больше, чем на бумаге: кому-то выдали административную роль на время внедрения, кому-то — выгрузку «чтобы сделать отчёт», и никто это не забирал обратно. Матрица превращает стихийно сложившиеся настройки в осознанное решение, которое можно защитить перед проверяющим и, что важнее, поддерживать в актуальном состоянии.
Чем грозит отсутствие
За отсутствие матрицы как таковой отдельного штрафа нет — она входит в состав мер по управлению доступом. Наказывают за то, к чему приводит её отсутствие: избыточные права превращают ошибку одного пользователя в утечку, а размер санкции считается по числу пострадавших субъектов.
Как ещё называют этот документ
Что должно быть в документе
Форма не установлена. Критерий полноты один: по матрице должно быть возможно настроить систему с нуля и, наоборот, проверить любую действующую учётную запись — без устных пояснений о том, «как у нас принято».
Требования законодательства
Как связан с другими документами
Матрица — центр контура доступа: слева от неё документы про людей, справа — про процедуры и технику.
Когда обновлять документ
Матрица устаревает медленнее перечня допущенных — она про роли, а не про людей, — но каждое изменение в системах отражается в ней немедленно.
Что спросит проверяющий
Матрицу почти никогда не проверяют по бумаге: её сверяют с экраном. Просят открыть систему и показать права конкретных учётных записей.
Разбор эксперта
Главная ошибка при составлении матрицы — делать её от людей. Двадцать фамилий по строкам выглядят убедительно ровно до первого увольнения: строку надо удалять, новую заводить, и через год документ отстаёт от жизни настолько, что его перестают открывать. Матрица должна быть от ролей — их в организации обычно шесть-восемь на систему, они меняются раз в несколько лет, а привязка людей к ролям живёт в перечне допущенных, где ей и место.
Второе, что мы советуем всегда: выделять выгрузку в отдельный столбец. В большинстве систем экспорт входит в право чтения по умолчанию, и это ровно тот механизм, которым утекают базы. Человек, которому по работе нужно смотреть карточки по одной, не должен иметь возможности одним нажатием получить файл со всей таблицей. Разделение этих двух прав почти ничего не стоит в настройке и радикально меняет потолок возможного ущерба: разница между инцидентом на одного субъекта и штрафом по верхней ступени шкалы измеряется одним столбцом матрицы.
И то, что чаще всего оказывается сюрпризом, — расхождение бумаги и системы. Матрицу пишут один раз при подготовке комплекта, а права выдают дальше по устным просьбам: «сделай мне доступ к отчётам, я быстро». Через два года в системе обнаруживается набор прав, которого нет ни в одном документе, причём накопился он не злоупотреблениями, а мелкими одолжениями. Поэтому мы всегда советуем начинать не с написания матрицы, а с выгрузки фактических прав из системы: реальная картина обычно убеждает быстрее любых нормативных аргументов.
Стройте матрицу от ролей, а не от фамилий, — тогда она не устаревает при каждом кадровом изменении. Обязательно выделите выгрузку и печать в отдельные операции: это самая дешёвая мера против массовой утечки. Заведите отдельные строки для администраторов и подрядчиков с оговоркой о протоколировании. И начните с выгрузки фактических прав из системы — сначала увидеть, как есть, потом решить, как должно быть, и только потом писать документ.
Александр КеллерманнГенеральный директор, ведущий аудитор ISO/IEC 27001, Комитет по информационной и правовой безопасностиПодробнее об экспертеЧастые вопросы
Перечень отвечает на вопрос «кто допущен и на каком основании», матрица — «к каким ресурсам и с какими правами». Перечень поимённый и меняется при каждом кадровом событии, матрица построена на ролях и живёт дольше. В комплекте это два отдельных документа, читать их нужно вместе.
Можно, но для маленькой организации на несколько человек. Как только сотрудников больше десяти, поимённая матрица перестаёт поддерживаться: каждое увольнение требует правки документа. Роли решают эту проблему.
Достаточно уровня, на котором различаются по последствиям операции: чтение, изменение, удаление, выгрузка. Спускаться до отдельных полей и кнопок не нужно — такая матрица не поддерживается и устаревает за месяц.
Удобнее одна сводная таблица, где системы — столбцы. Отдельные матрицы имеет смысл делать, когда системы принципиально разные по составу ролей: например, кадровая программа и производственная система с десятками рабочих мест.
Фиксировать это честно отдельной строкой: административный доступ к системе с оговоркой, что работа с содержимым данных допускается только для сопровождения, а действия протоколируются. Молчаливое исключение администраторов из матрицы — ошибка, которую находят сразу.
Да, их доступ отражается в матрице отдельными строками. При этом сам факт передачи данных им оформляется поручением обработки с договором: матрица показывает объём прав, договор — правовое основание.
Разобрать построчно каждое расхождение: либо право лишнее и его снимают, либо оно обоснованно и матрицу дополняют. Молча привести документ в соответствие с системой — худший вариант: так узаконивается всё, что накопилось.