Многие компании по прежнему не справляются с надлежащим управлением пользовательскими привилегиями и защитой конфиденциальных данных, гласит исследование HP и Ponemon Institute.
Исследование, в ходе которого были опрошены ИТ-администраторы из 13 стран, включая Великобританию, США, Германию и Францию, обнаружило, что более половины из них назначают привилегии доступа свыше необходимых для текущей роли человека в компании.
Среди сотрудников, имеющих доступ к секретной информации, злоупотребление привилегиями является распространенным. 63% опрошенных сообщили, что любопытство сподвигло привилегированных пользователей к получению доступа к чувствительной или конфиденциальной информации.
Кроме того исследование показало, что лишь некоторые компании имеют системы для надлежащего управления и контроля того, как пользовательские привилегии назначаются и как они используются.
"Данная проблема имеет не только технический характер, это так же касается культуры", - сообщил основатель и руководитель Ponemon Institute Ларри Понемон. "Почему-то привилегированные пользователи считают, что они имеют право на доступ".
HP и Ponemon считают, чтобы изменить культуру фирмам необходимо приспособить свой подход к способу управления пользовательскими правами и привилегиями.
Райан Калембер, старший директор по продукции безопасности в HP, сообщил, что вместо того, чтобы стремиться к назначению строгих привилегий на пользовательский доступ, компании должны направлять больше усилий на отслеживание и анализ схем доступа.
Когда администраторы имеют возможность отслеживать доступ к данным, отделы информационных технологий могут получать явную картинку того, какие права требуются для определенной роли и отмечать необычное или особенное поведение, отметил он.
Значительная часть изменений, пояснил Калембер, будет основана на смещении традиционного подхода, на переходе к управлению доступом и видоизменение существующих инструментов мониторинга и анализа для журналов операций и доступа.
"Имеется мера корреляции, которую необходимо выполнить, чтобы это заработало", - пояснил он. "Запрашиваемая информация необязательно соответствует идентификационным данным, так что это еще предстоит решить".