دسترسی‌های قدیمی اغلب فراتر از هدف اصلی خود باقی می‌مانند و بسیاری از سازمان‌ها هرگز آن‌ها را پایش (Monitor) نمی‌کنند. در حالی که امتیازات جدید معمولاً ظرف یک روز پس از درخواست صادر می‌شوند، حذف امتیازات قدیمی یا در بهترین حالت، انجام آن تنها در صورت درخواست دستی، بسیار دشوار است. ابزارهای مدیریت حساب‌های سرویس (Service Accounts) نشان می‌دهند که حذف دسترسی باید به اندازه اعطای آن، با دقت و برنامه‌ریزی انجام شود. متخصصان امنیت می‌توانند این شکاف را با تغییرات ساده در سیاست‌های مربوط به جابه‌جایی نقش‌ها و بازبینی دسترسی‌ها (Access Reviews) پر کنند.
این مسئله در سازمان‌ها بسیار رایج است؛ زمانی که کارمندی از یک تیم به تیم دیگر منتقل می‌شود، مدیر جدید دسترسی‌های مورد نیاز را سریعاً تأیید می‌کند تا بهره‌وری فرد حفظ شود، اما دسترسی‌های نقش قبلی همچنان باقی می‌ماند. پس از ماه‌ها، در فرآیند بازبینی دسترسی، تنها یک سؤال پرسیده می‌شود: «آیا هنوز به این دسترسی نیاز دارید؟». بازبین معمولاً نام کاربر را می‌بیند اما هیچ داده‌ای مبنی بر میزان استفاده از آن دسترسی در داشبورد موجود نیست. به دلیل ترس از مختل شدن فرآیندها، بازبین‌ها اغلب گزینه «بله» را انتخاب می‌کنند تا از بروز مشکل جلوگیری کنند.
چرا اعطای دسترسی آسان اما حذف آن دشوار است؟
فرآیند اعطای دسترسی دارای مالک (Owner) و ضرب‌الاجل مشخص است؛ یک مدیر درخواست می‌دهد، تأییدکننده کلیک می‌کند و فرآیند در چند ساعت تمام می‌شود. اما حذف دسترسی فاقد این دو ویژگی است. هیچ‌کس زمانی که یک مجوز دیگر غیرضروری می‌شود، تیکتی باز نمی‌کند. هزینه نگهداری این مجوزهای اضافی بالا است، اما این هزینه در آینده و به صورت پنهان ظاهر می‌شود. در مقابل، اگر دسترسی‌ای به اشتباه حذف شود و باعث توقف کار شود، بلافاصله منجر به تیکت‌های پشتیبانی خشمگینانه می‌گردد؛ بنابراین انگیزه‌ها همواره به سمت حفظ دسترسی‌ها متمایل است.
اگرچه کنترل دسترسی مبتنی بر نقش (RBAC) به این مشکل کمک می‌کند، اما چالش اصلی اینجاست که وقتی نقش یک کاربر تغییر می‌کند، نقش اصلی او به‌روزرسانی می‌شود اما دسترسی‌های مستقیم، گروه‌ها و پوشه‌هایی که در طول زمان کسب کرده بود، حذف نمی‌شوند.
گزارش تحقیقات نشت داده‌های ورایزن (Verizon Data Breach Investigations Report) نشان داد که بهره‌برداری از آسیب‌پذیری‌ها ۳۱٪ از نشت‌های داده را شامل می‌شود، در حالی که سوءاستفاده از اعتبارنامه‌ها (Credentials) به ۱۳٪ کاهش یافته است. با این حال، باید تأکید کرد که آنچه یک مهاجم پس از نفوذ به سیستم می‌تواند انجام دهد، مستقیماً به سطح دسترسی‌های حسابِ نفوذشده بستگی دارد. این سطح دسترسی، خود نتیجه‌ی انباشت امتیازات در طول زمان است.
سه راهکار برای مدیریت دسترسی‌های باقی‌مانده
برای حل این مشکل نیازی به فناوری‌های پیچیده جدید نیست، بلکه تغییر در مالکیت فرآیند حذف کافی است:
- هر تغییر در جایگاه شغلی، یک رویداد حذف محسوب شود: با تغییر در سوابق منابع انسانی (HR)، وظیفه‌ای برای مدیر فعلی و مدیر جدید ایجاد شود تا مشخص کنند کاربر به چه دسترسی‌هایی دیگر نیاز ندارد.
- هر مجوز باید مالک و تاریخ انقضای مشخص داشته باشد: دسترسی به پوشه‌های حساس یا سیستم‌های عملیاتی (Production) باید دارای تاریخ انقضا باشد (مثلاً سه ماه پس از صدور). تمدید این دسترسی‌ها باید به صورت دوره‌ای و توسط یک شخص مشخص (نه یک ایمیل عمومی) انجام شود.
- نمایش اطلاعات آخرین استفاده در بازبینی‌ها: در هنگام بازبینی دسترسی‌ها، حتماً باید زمان آخرین ورود (Last Login) و آخرین فعالیت کاربر نمایش داده شود. قرار دادن دسترسی‌هایی که ماه‌ها استفاده نشده‌اند در صدر لیست بازبینی، باعث می‌شود مدیران با اطمینان بیشتری آن‌ها را حذف کنند.
در نهایت، برای شروع، پیشنهاد می‌شود با یک سیستم حساس که داده‌های حیاتی در آن ذخیره شده است، یک گزارش «آخرین استفاده» تهیه کنید و دسترسی‌های کاربرانی که در یک سال گذشته تغییر نقش داشته‌اند اما دسترسی‌هایشان بازبینی نشده، را بررسی کنید. نتایج این اقدام، ضرورت اصلاح سیاست‌های دسترسی را به خوبی اثبات خواهد کرد.
