Курсовая работа по оценке бизнеса на тему Управление областью видимости данных

Введение

В современных условиях цифровизации экономики управление областью видимости данных становится ключевым элементом эффективного функционирования крупных корпораций, в том числе торговых ритейлеров, таких как ПАО «Магнит». Область видимости данных определяет, кто и какие данные может просматривать, изменять или использовать в рамках информационных систем, что напрямую влияет на безопасность, конфиденциальность и операционную эффективность бизнеса. В условиях роста объемов информации, ужесточения требований законодательства и увеличения угроз кибербезопасности актуальность исследования данной темы не вызывает сомнений.
Научная разработанность темы управления областью видимости данных достаточно высока: существуют теоретические подходы к управлению доступом, разработаны международные и отечественные стандарты (например, RBAC, ABAC, ФЗ-152, GDPR), однако применение этих принципов на практике в крупных компаниях, особенно в специфической отрасли ритейла, требует дальнейшего изучения и адаптации.
Научная новизна данной работы заключается в анализе и систематизации практики управления областью видимости данных именно на примере ПАО «Магнит», а также в разработке рекомендаций по совершенствованию корпоративных политик доступа.
Целью курсовой работы является исследование современных подходов к управлению областью видимости данных и разработка практических рекомендаций для ПАО «Магнит».
Для достижения поставленной цели определены следующие задачи: анализ теоретических основ управления доступом к данным, оценка текущей практики в ПАО «Магнит», выявление проблем и рисков, разработка методических рекомендаций по улучшению системы управления доступом.
Объектом исследования выступает процесс управления областью видимости данных в ПАО «Магнит», предметом — методы, технологии и практики, применяемые для обеспечения безопасного и эффективного доступа к данным.
В работе используются такие методы, как анализ научной и нормативной литературы, изучение корпоративной практики, сравнительный анализ, системный подход и экспертные оценки. Теоретическая значимость работы заключается в обобщении и систематизации знаний по управлению доступом к данным, практическая значимость — в разработке рекомендаций, применимых для повышения уровня информационной безопасности и эффективности бизнес-процессов в крупных компаниях.
Структура работы включает введение, три главы, посвященные теоретическим основам, анализу практики и разработке рекомендаций, заключение и список источников.
 
ГЛАВА 1. Теоретические основы управления областью видимости данных

1.1. Понятие и принципы управления областью видимости данных

Управление областью видимости данных представляет собой совокупность политик, процедур и технических решений, определяющих, какие пользователи или системы могут получить доступ к конкретным информационным ресурсам, а также какие операции они могут с ними выполнять. Область видимости в корпоративном контексте определяется совокупностью ролей и привилегий, предоставленных пользователю, и устанавливает границы доступности информационных активов в зависимости от должностных полномочий, уровня конфиденциальности данных и бизнес-процессов.
Ключевыми характеристиками эффективного управления областью видимости данных являются гранулярность (возможность настройки доступа на уровне отдельных объектов или атрибутов), динамичность (способность изменять права доступа в соответствии с изменением ролей и контекста), прозрачность (ясность политик доступа для всех участников процесса) и аудируемость (возможность отслеживания всех операций с данными). Современные системы управления доступом обеспечивают не только настройку прав пользователей, но и автоматизацию процессов авторизации, аутентификации, мониторинга активности и реагирования на нарушения .
Гранулярность как принцип управления доступом предполагает возможность детального контроля на уровне отдельных полей в базах данных, конкретных файлов или даже отдельных операций с объектами. Гранулярный контроль доступа (Fine-Grained Access Control, FGAC) предоставляет возможность детального разграничения доступа и работает в связке с контекстами защищённых приложений. Это особенно важно в корпоративных средах, где различные уровни сотрудников должны иметь доступ к одному и тому же набору данных, но с разной степенью детализации. Например, менеджер среднего звена может видеть сводные финансовые показатели своего отдела, тогда как топ-менеджер получает доступ к детализированным данным по всем подразделениям компании .
Динамичность системы управления доступом подразумевает способность адаптироваться к изменяющимся условиям и контексту запроса. Контекстно-зависимый доступ (Context-Based Access Control, CBAC) представляет собой метод динамического контроля доступа, который анализирует состояние сетевых соединений и их контекст перед тем, как разрешить или заблокировать доступ. В отличие от традиционных статических правил, CBAC учитывает не только параметры идентификации пользователя, но и множество дополнительных факторов: время суток, географическое местоположение, тип устройства, уровень защищённости устройства, сетевое окружение. Такой подход позволяет создавать гибкие политики безопасности, например, разрешать доступ к конфиденциальным данным только с корпоративных устройств в рабочее время из офисной сети, но блокировать такой же доступ с личных устройств или из публичных сетей.
Прозрачность политик доступа является критически важным элементом, обеспечивающим понимание пользователями логики предоставления или ограничения прав. Непрозрачные или непонятные правила доступа часто приводят к тому, что сотрудники пытаются обойти системы безопасности, считая их излишне обременительными, что создаёт дополнительные риски для организации. Эффективная система управления доступом должна сопровождаться понятной документацией, обучением пользователей и механизмами обратной связи для быстрого разрешения проблем с доступом.
Аудируемость обеспечивает возможность отслеживания всех операций с данными и создания неизменяемых логов действий пользователей. Детальные логи всех событий доступа позволяют быстро найти причину инцидента, выявить нарушения политики безопасности и обеспечить соответствие нормативным требованиям. Системы должны автоматически формировать разнообразные отчёты: журналы доступа по сотруднику или подразделению, сводки аномальных событий, статистику использования конкретных ресурсов. Наличие исторических данных позволяет анализировать тенденции, выявлять зоны избыточного или недостаточного контроля, своевременно корректировать политику доступа.
Значение управления областью видимости данных для информационной безопасности и эффективности бизнеса трудно переоценить. С точки зрения безопасности, правильно выстроенная система гарантирует соблюдение принципа минимальных привилегий (principle of least privilege), согласно которому пользователь получает доступ только к той информации, которая необходима для выполнения его должностных обязанностей. Этот принцип минимизирует риски утечек данных, несанкционированного доступа и внутренних угроз. Ограничение прав доступа только необходимым минимумом уменьшает поверхность атаки (attack surface) и потенциальный ущерб в случае компрометации учётной записи.
Важным дополнением к принципу минимальных привилегий является принцип разделения обязанностей (Separation of Duties, SoD), также известный как сегрегация обязанностей (segregation of duties). Согласно этой концепции, выполнение критически важной задачи требует участия более чем одного человека. Разделение обязанностей используется как административная мера контроля в организациях для предотвращения мошенничества, саботажа, краж, злоупотребления информацией и других нарушений безопасности. Основная задача этого принципа — предотвращение мошенничества и ошибок через распределение задач и связанных с ними привилегий по определённому бизнес-процессу между несколькими пользователями. Классический пример — требование двух подписей на чеке или разделение функций создания платёжного поручения и его авторизации между разными сотрудниками.
Операции с высоким риском должны быть разделены на несколько этапов, каждый из которых выполняется разными людьми, что позволяет предотвратить мошенничество и заодно обезопасить сам процесс от ошибок. Полномочия делятся между сотрудниками для снижения риска ошибок и злоупотреблений: один отвечает за создание, другой — за контроль и утверждение. Разделение прав доступа снижает риски потерь и утечек данных, обеспечивая более высокий уровень безопасности в организации.
С точки зрения бизнес-эффективности, корректное управление доступом обеспечивает бесперебойную работу сотрудников, снижает административные издержки на управление учётными записями и позволяет быстро адаптировать информационную инфраструктуру к организационным изменениям . Автоматизация процессов предоставления и отзыва прав доступа сокращает время простоя новых сотрудников, которые ожидают активации своих учётных записей, и минимизирует риски, связанные с задержками в блокировке доступа уволенных работников. Централизованное управление доступом через единые системы позволяет снизить нагрузку на ИТ-подразделения и службы безопасности, высвобождая ресурсы для более стратегических задач.

1.2. Методы и подходы к управлению доступом к данным

В теории и практике информационной безопасности выделяют четыре основных подхода к управлению доступом: дискреционный (DAC), мандатный (MAC), ролевой (RBAC) и атрибутивный (ABAC). Каждый из этих методов имеет свои особенности, преимущества и ограничения, и выбор конкретного подхода зависит от специфики организации, её бизнес-процессов и требований безопасности.
Дискреционная модель управления доступом (Discretionary Access Control, DAC) является одной из наиболее простых и исторически первых схем контроля доступа. В рамках этой модели владелец ресурса самостоятельно определяет, кто может получить к нему доступ и с каким уровнем прав. Типичным примером служит система прав доступа в операционной системе Windows, где пользователь может указать, кто ещё может читать или редактировать его файлы. При дискреционной модели права доступа к объектам определяются владельцем ресурса, и пользователь, обладающий правами, может делегировать их другим лицам.
Преимуществом DAC является гибкость и простота реализации: пользователи могут быстро предоставить доступ коллегам для совместной работы над документами без привлечения администраторов. Однако модель уязвима с точки зрения централизованного контроля и может привести к неконтролируемому распространению прав доступа. Со временем списки доступа становятся огромными и трудно контролируемыми, особенно в крупных организациях с тысячами пользователей и миллионами файлов. Модель признана слишком гибкой и слишком сложной для сопровождения в корпоративной среде.
Мандатное управление доступом (Mandatory Access Control, MAC) основывается на строгих политиках безопасности, определяемых администратором системы, при котором доступ к ресурсам контролируется на основе меток конфиденциальности и уровней допуска пользователей. При мандатной модели каждый пользователь получает доступ к объекту в соответствии с оформленным допуском к тому или иному уровню конфиденциальности данных. Соответственно, объекты должны быть категорированы по уровню конфиденциальности: «несекретно», «для служебного пользования», «секретно», «совершенно секретно» и т.д .