Процесс П
1.1: Формирование заявки на доступ
Связанные
документы
Этапы процесса
ИС
Участники
Выбор субъектов и ИР,
для которых
необходимо
совершить операцию
Запрашивается
доступ к
ресурсам с
структурирован
ным доступом?
Выбор ролей доступа
из каталога СЦУД
Описание требуемых
полномочий доступа к
ИР
да
нет
Возникла
потребность в
изменении доступа к
ИР
Порядок управления доступом
СЦУД
Пользователь СЦУД
П1.2: Регистрация заявки
на доступ в рамках СЦУД
Добавление
необходимой
информации в заявку
на доступ
СЦУД
Пользователь СЦУД
Добавление в заявку
связанных ресурсов
(автоматически)
Рисунок 17. Описание формирование заявки на доступ
65
Процесс П
1.3.1: Согласование заявки на предоставление прав доступа
Связанны
е
документы
Этапы процесса
ИС
Участники
Стадия 1 «Согласование заявки первым согласующим» Стадия 3 «Согласование заявки ответственным за технологическую УЗ»
Стадия 6 «Отправка заявки
на согласование»
Стадия 5 «Согласование заявки владельцами ИР-топ-менеджерами»
Стадия 3 « Согласование заявки руководителями подразделений ИБ», Стадия 4 «Согласование заявки
руководителями подразделений СБ»
Стадия 2 «Согласование заявки владельцем ИР, не являющимися топ-менеджерами»
Порядок управления доступом
СЦУД
Зарегистрирован
а заявка на
предоставление
прав доступа
СЭД
Согласование заявк и
владельцем ИР/Заказчиком
ИС, не являющимся топ-
менеджером
Руководитель УИБ ПАО
«Транснефть»/подразделения
ИБ ОСТ
Дополнительные согласующие и
лица, которым было
делегировано согласование
Первый согласующий
заявок на
предоставление прав
доступа
Владелецы ИР
Согласование заявки
первым согласующим
Согласование заявки
руководителями ИБ
Дополнительные
согласующие и лица,
которым было
делегировано
согласование
Дополнительные согласующие
и/или лица, которым было
делегировано согласование
П1.4:Исполнение
заявки на доступ
Заместитель первого
согласующего заявок
на предоставление
прав доступа
Заместитель владельца ИР
Согласована ли
заявка?
да
нет
Заявка отклонена
Согласована ли
заявка?
Заявка
отклонена
нет
да
Атрибу т
согласующего
«Топ-менеджер
(согласует
после ИБ)» =
Истина?
нет
Атрибут
согласующего
«Топ-менеджер
(согласует
после ИБ)» =
Истина?
Согласование заявк ами
владельцем ИР/Заказчиком
ИС- топ-менеджером
да
Согласована ли
заявка?
да
нет
Владелецы ИР
Дополнительные согласующие
и/или лица, которым было
делегировано согласование
Заместитель владельца ИР
Руководитель управления СБ
ПАО «Транснефть»/
подразделения СБ ОСТ
Заместители руководителей
Заявка на
доступ для
технологическо
й УЗ?
Согласование заявк и
ответственным за
технологическую УЗ
да
Согласована ли
заявка?
нет
Согласование заявки
руководителями СБ
Согласована ли
заявка?
Согласована ли
заявка?
нет
да
да
нет
Ответственный за
технологическую УЗ
Заместитель
ответственного за
технологическую УЗ
Дополнительные
согласующие и/или лица,
которым было
делегировано
согласование
да
да
да
нет
Заявка
отклонена
Заявка
отклонена
Заявка
отклонена
Заявка
отклонена
Заявка
согласована
Рисунок 18. Описание согласования заявки на предоставление прав доступа
Согласование заявки осуществляется специалистом управления
безопасности. Он просматривает заявку и, если требуется согласование заявки,
согласовывает ее с управлением эксплуатации, если согласование не требуется
сотрудник предоставляет доступ или отклоняет заявку.
На рисунке 19 представлено описание заявки на отзыв в предоставлении
доступа. Такие заявки создаются при увольнении сотрудников, при переводе на
другую должность и т.д. Заявка отправляется аналогичным образом, но в процессе
ее обработки требуется согласование т.е. проверка оснований на ограничение
прав доступа.
На рисунке 20 представлено описание формирования идентификационных
данных пользователей. Идентификационные данные пользователей
информационных ресурсов организации формируются для каждого пользователя,
которому предоставляется доступ к системе. По этим данных осуществляется
протоколирование действий пользователей. Идентификационные данные
формируются в каждой информационной системе при приеме сотрудника на
работу.
На рисунке 21 отражена схема изменения данных пользователя, которые не
влияют на права доступа. К таким данным относятся: ФИО пользователя, отдел и
должность. Такие данные хранятся в виде справочников и изменяются
администратором разрабатываемой системы.
На рисунке 22 представлено описание выдачи пользователю пароля для
доступа к ресурсам систему по созданной заявке. Пароль генерируется системой
и затем отправляется сотруднику с помощью выбранного канала связи.
Процесс П
1.3.2: Согласование заявки на отзыв прав доступа
Связанные
документы
Этапы процесса
ИС
Участники
Стадия 1 «Согласование заявки на отзыв прав доступа руководителем подразделения» Стадия 2 «Согласование заявки руководителями ИБ»
Порядок управления доступом
СЦУД
Зарегистрирована
заявка на отзыв
прав доступа
Руководитель подразделения ПАО
«Транснефть»/ ОСТ
Дополнительные согласующие и/
или лица, которым было
делегировано согласование
Заместители руководителей
подразделения ПАО «Транснефть»/
ОСТ
Заявка
согласована
Согласование заявки в
СЦУД
Согласующие
добавлены
в заявку
Существуют
согласованные
права досутпа?
Заявка отклонена
нет
Руководитель УИБ ПАО
«Транснефть»/подразделения ИБ
ОСТ
Дополнительные согласующие
и/или лица, которым было
делегировано согласование
Заместители руководителей УИБ
ПАО «Транснефть»/
подразделения ИБ ОСТ
К ИР какой
организации
необходимо
отозвать
права?
да
Добавление
согласующего
Согласование заявки
в СЦУД
Согласующие
добавлены в
заявку
Определение руководителя
УИБ ПАО «Транснефть» как
согласующего
Определение руководителя
подразделения ИБ ОСТ как
согласующего
ПАО «Транснефть»
ОСТ
Заявка
отклонена
Для кого
осуществляется
запрос
доступа?
Штатный
работник ОСТ?
Физ. лицо
ИР находится
на этапе
эксплуатации?
Технологическая УЗ
Определение руководителя структурного
подразделения работника
(определен в карточке работника в СЦУД)
да
Определение руководителя подразделения
(и заместителей), курирующего
соответствующий договор на оказание
услуг/проведение работ (определен в СЦУД
в свойствах подрядной организации)
нет
Определение руководителя подразделения
(и заместителей), ответственного за
поддержку и развитие ИР (определен в
СЦУД в свойствах ИР)
да
Определение руководителя подразделения
(и заместителей), курирующего договор на
оказание услуг/проведение работ по
созданию, поддержке и развитию ИР
(определен в СЦУД в свойствах подрядной
организации)
нет
Добавление
согласующего
Работа с
заявкой
остановлена
Нет
Согласующий
определен?
Уведомление
администратора
СЦУД
Да
Работа с
заявкой
остановлена
Нет
Согласующий
определен?
Уведомление
администратора
СЦУД
Да
Рисунок 19. Описание заявки на отзыв прав доступа
68
Процесс П
3.1.1: Формирование идентификационных данных при
добавлении нового лица в доверенный источник
Связанные
документы
Стадии процесса
ИС
Участники
Стадия 3 «Добавление идентификационных данных в СЦУД, формирование УЗ»
Стадия 1 «Добавление идентификационных данных в доверенный
источник»
Стадия 2 «Импортирование идентификационных данных в СЦУД»
ОР-35.240.00-КТН-001-15
Отраслевой регламент. Порядок
присвоения имен пользователей,
серверов и рабочих станций ОАО
«АК «Транснефть» и организаций
системы «Транснефть»
СЦУД
Сотрудник кадровой
службы
В штат зачислен
новый штатный
работник
КИС Персонал
Пользователь
добавлен в БД СЦУД
Идентификационные
данные нового работника
добавляются в доверенный
источник
Опрос доверенных
источников,
идентификация нового
работника
Импорт
идентификационных
данных нового
работника в БД СЦУД
Создание новой локальной УЗ в
рамках СЦУД
П4.1: Первоначальное
назначение и выдача
пароля доступа
1С Кадры
Добавление
данных в БД СЦУД
Рисунок 20. Формирование идентификационных данных пользователей
69
Процесс П
3.2.1: Изменение идентификационных данных
, не влияющих на права доступа
Связанные
документы
Стадии процесса
ИС
Участники
Стадия 4 «Передача изменений в целевые
информационные системы»
Стадия 1 «Изменение идентификационных данных» Стадия 2 «Импортирование измененных данных в СЦУД»
Стадия 3 «Анализ изменений,
применение изменений В СЦУД»
СЦУД
Сотрудник кадровой
службы
Произошло
изменение в
идентификационных
данных
КИС Персонал
1С Кадры
Уполномоченный
сотрудник ПАО
«Транснефть»/ОСТ
Целевые ИС
Лицо не
учитывается в
рамках
доверенных
источников/
изменение для
технической
УЗ?
Внесение изменений в
интерфейсе СЦУД
да
Внесение изменений в
доверенный источник
информации
нет
Опрос доверенных
источников,
идентификация изменений
Импорт
идентификационных
данных нового
работника в БД СЦУД
Анализ изменений,
применение изменений
в рамках БД СЦУД
Отправка
изменений в
целевые ИС
Рисунок 21. Изменение идентификационных данных пользователя, которые не влияют на права
доступа
70
Процесс П
4.1: Первоначальное назначение и выдача пароля доступа
Связанные
документы
Стадии процесса
ИС
Участники
Стадия 3 «Выдача пароля доступа»Стадия 1 «Формирование первоначального пароля доступа» Стадия 2 «Передача информации о пароле доступа в Active Directory»
35.240.20-КТН-179-12 Политика
парольной защиты в
автоматизированных
(информационных) системах
ОАО «АК «Транснефть» и
организаций системы
«Транснефть»
СЦУД
Создана
новая УЗ
Формирование
первоначального пароля
доступа
Передача пароля в
контроллер домена
Выставление параметра
необходимости смены
пароля при входе
Первоначальный
пароль создан
Active Directory
Тип УЗ?
Доменная
Для какого
объекта
сформированат
УЗ?
Отправка пароля на эл. почту
руководителя структурного
подразделений работника
Отправка пароля на эл. почту
руководителя подразделения,
курирующего соответствующий
договор на оказание услуг/
проведение работ
Штатный работник ПАО/ОСТ
Внештатный работник/подрядчик
ИС находится на
этапе
промышленной
эксплуатации?
Работники подразделений,
ответственных за создание,
поддержку и развитие
информационных систем
да
Руководители (работники, ими
уполномоченные) подразделения,
курирующего договор на оказание
услуг/проведение работ по
созданию, поддержке и развитию
информационных систем
нет
Технологическая УЗ
Локальная технологическая УЗ
Первоначальный пароль
создан и выдан
Локальная пользовательская УЗ
Электронная почта
Рисунок 22. Назначение пароля доступа
71
2.5. Апробация результатов исследования
Для апробации результатов исследования будет проведено тестирование
разработанной системы централизованного управления доступом. Тестирование
будет включать в себя следующие этапы:
1. Тестирование работы справочников.
2. Тестирование создания, отправки и обработки заявки на
предоставление доступа.
3. Тестирование вывода результатных данных.
Проверим работу справочников. Для этого введем данные о должностях
сотрудников организации в справочник должностей. Результаты ввода
представлены на рисунке 23.
Рисунок 23. Ввод данных в справочник «Должность»
На рисунке 24 представлен результат ввода данных в справочник «Отдел».
72
Рисунок 24. Ввод данных в справочник «Отдел»
На рисунке 25 представлен результат ввода данных о сотрудниках
организации в справочник «Сотрудник». При вводе данных в справочник
используются данные заполненных ранее справочников «Должность» и «Отдел».
Рисунок 25. Результат ввода данных в справочник «Должность»
На рисунке 26 представлен ввод данных в справочник информационных
систем, используемых в организации.
Рисунок 26. Результат ввода данных в справочник «Системы»
73
На рисунке 27 представлен результат ввода данных в справочник объектов
информационных систем.
Рисунок 27. Результат ввода данных в справочник «Объекты
информационных систем»
На рисунке 28 представлен результат ввода данных в справочник «Права
доступа».
Рисунок 28. Результат ввода данных в справочник «Права
доступа»