एक्सेस से जुड़ी समस्याएं किसी बड़ी घटना से शायद ही कभी पैदा होती हैं। ज़्यादातर ये छोटी-छोटी छूटों से धीरे-धीरे बढ़ती हैं, जो उस वक्त समझदारी भरी लगती थीं: कोई टीम मेंबर नई भूमिका में चला जाए और पुरानी भूमिका वाली एक्सेस अनुमतियां अपने पास रख ले। किसी ज़रूरी समस्या को हल करने के लिए एक शेयर किया गया लॉगइन बनाया जाए, और फिर ज़रूरत खत्म होने के बाद भी वो इस्तेमाल होता रहे।
ऐसे कार्यक्रम छोटे और मध्यम व्यवसायों (SMBs) में बहुत जल्दी घटित हो जाते हैं। टीमें छोटी होती हैं, जिम्मेदारियां आपस में मिल जाती हैं, और फिर काम को चालू रखने के लिए एक्सेस दे दिया जाता है। ऐसे हालात में, किसी व्यवसाय के पास ये साफ जानकारी नहीं रहती कि किन सिस्टम, प्रमाण, डाटा और वेंडर खातों तक किसका एक्सेस है, और क्या वो एक्सेस अब भी जायज़ है।
जब वो कंट्रोल ढीला पड़ जाता है, तो घटनाओं को रोकना और उनसे रिकवर करना मुश्किल हो जाता है। छेड़छाड़ किया गया खाता ऐसे सिस्टम तक अब भी एक्सेस रख सकता है जिनकी उसे अब ज़रूरत नहीं, और शेयर किए गए प्रमाण से ये पता लगाना मुश्किल हो जाता है कि कोई कार्य किसने किया।
न्यूनतम विशेषाधिकार का सिद्धांत व्यवसायों को बेवजह बढ़ते एक्सेस को रोकने का एक तरीका देता है। इस आर्टिकल में जानेंगे कि न्यूनतम विशेषाधिकार क्या है, इसे अपने व्यवसाय में कैसे लागू करें, और शुरुआत करने के लिए एक प्रैक्टिकल गाइड भी मिलेगी।
न्यूनतम विशेषाधिकार का सिद्धांत क्या है?
कई SMBs के लिए ज़रूरत से ज़्यादा विशेषाधिकार वाला एक्सेस डिफॉल्ट क्यों होता है?
न्यूनतम विशेषाधिकार का सिद्धांत कैसे लागू करें
SMBs के लिए न्यूनतम विशेषाधिकार की प्रैक्टिकल चेकलिस्ट
Proton Pass for Business के साथ न्यूनतम विशेषाधिकार को आसान बनाएं
न्यूनतम विशेषाधिकार का सिद्धांत क्या है?
न्यूनतम विशेषाधिकार का सिद्धांत एक्सेस को किसी खास भूमिका या काम को करने के लिए ज़रूरी न्यूनतम तक सीमित रखने का अभ्यास है। टीम मेंबर्स, सिस्टम और एप्लीकेशन को सिर्फ उतना ही एक्सेस मिलना चाहिए जितना उन्हें चाहिए, उतने ही समय तक जितनी देर उन्हें चाहिए, और उससे ज़्यादा नहीं।
इस सिद्धांत का मतलब है कि एक्सेस से जुड़े फैसले उस काम के हिसाब से हों जो सच में करना ज़रूरी है। यही लॉजिक कर्मचारियों, कॉन्ट्रैक्टर्स, एडमिनिस्ट्रेटर्स, सर्विस खातों, तीसरें-पार्टी इंटीग्रेशन और ऑटोमेटेड वर्कफ्लो पर भी लागू होता है: हर एक को सिर्फ उतनी अनुमतियां मिलनी चाहिए जो उसकी भूमिका या काम के लिए ज़रूरी हैं।
यही बात पासवर्ड शेयर करने पर भी लागू होती है। जिस टीम मेंबर को किसी एक क्लाइंट खाते का एक्सेस चाहिए, उसे अपने काम से जुड़े न होने वाले फाइनेंस लॉगइन, इंफ्रास्ट्रक्चर प्रमाण, HR एडमिन खाते, या दूसरे संवेदनशील बिज़नेस प्रमाण अपने आप इस्तेमाल करने की अनुमति नहीं मिलनी चाहिए।
कई SMBs के लिए ज़रूरत से ज़्यादा विशेषाधिकार वाला एक्सेस डिफॉल्ट क्यों होता है?
ज़्यादातर व्यवसाय जानबूझकर ज़रूरत से ज़्यादा विशेषाधिकार वाला माहौल नहीं बनाते। ये धीरे-धीरे बनता है। जब नए कर्मचारी जुड़ते हैं, तो उन्हें जिन सिस्टम की ज़रूरत होती है उनका एक्सेस दिया जाता है। धीरे-धीरे, किसी खास प्रोजेक्ट के लिए, या किसी दूसरे टीम मेंबर का काम संभालने के लिए उन्हें और एक्सेस दिया जाता है। वो एक्सेस कभी हटाया नहीं जाता और वो काम के लिए ज़रूरत से बहुत आगे निकल जाता है।
शेयर किए गए प्रमाण के साथ भी यही होता है। किसी पासवर्ड को एक बार सुविधा के लिए शेयर कर लिया जाता है, और फिर वो किसी के वर्कफ्लो का स्थायी हिस्सा बन जाता है।
ये पैटर्न कुछ आम वजहों से सामने आता है:
- रफ्तार संरचना से ज़्यादा ज़रूरी लगती है। जब टीमें छोटी और व्यस्त हों, तो किसी को ज़्यादा बड़ा एक्सेस देना उसकी बिल्कुल सही अनुमतियां सेटअप करने से तेज़ लग सकता है।
- भूमिकाएं हमेशा साफ तौर पर तय नहीं होतीं। अगर हर हफ्ते जिम्मेदारियां बदलती रहें, तो एक्सेस से जुड़े फैसले भी अक्सर अनौपचारिक हो जाते हैं।
- भूमिका बदलने और ऑफबोर्डिंग के दौरान प्रमाण कंट्रोल कमजोर होते हैं। अगर कोई टीम मेंबर निकल जाए, टीम बदले, या कॉन्ट्रैक्ट पूरा कर ले, लेकिन उसके शेयर किए गए पासवर्ड रोटेट न किए जाएं और उसकी तिजोरी का एक्सेस रिव्यू न हो, तो उसकी पुरानी अनुमतियां चालू रह जाती हैं।
कोई भी छोटा फैसला उस वक्त खतरनाक नहीं लगता, लेकिन हफ्तों, महीनों और सालों में, ज़रूरत से ज़्यादा विशेषाधिकार किसी संगठन के अंदर बड़ा जोखिम पैदा कर देता है।
ढीले एक्सेस कंट्रोल के जोखिम
ज़रूरत से ज़्यादा विशेषाधिकार वाला एक्सेस सुरक्षा, ऑपरेशनल और कंप्लायंस जोखिम पैदा करता है। कुछ सबसे आम जोखिम ये हैं:
लैटरल मूवमेंट
अगर हमलावर को किसी एक खाते का एक्सेस मिल जाए, तो ज़्यादा अनुमतियां उसे पूरे एनवायरनमेंट में गहराई तक जाने देती हैं। एक सिस्टम में छेड़छाड़ करने की बजाय, वो कई सिस्टम तक पहुंच सकता है।
डाटा एक्सपोज़र
अगर ग्राहक रिकॉर्ड, इंटरनल डॉक्यूमेंट्स या फाइनेंस सिस्टम का एक्सेस सिर्फ उन्हीं लोगों तक सीमित नहीं है जिन्हें उसकी ज़रूरत है, तो उस डाटा तक पहुंचने के संभावित रास्ते और खाते बन जाते हैं। छेड़छाड़ किया गया लॉगइन ऐसी जानकारी उजागर कर सकता है जिस तक किसी की पहुंच नहीं होनी चाहिए थी, और गलत फ़ाइल शेयर करने या गलत सेटिंग बदलने जैसी एक साधारण गलती, संवेदनशील सिस्टम पर बेवजह असर डाल सकती है।
गलती से डिलीट हो जाना या गलत कॉन्फ़िगरेशन
जिसके पास बेवजह के एडमिन अधिकार हों, वो सेटिंग बदल सकता है, डाटा हटा सकता है, या गलती से सिस्टम उजागर कर सकता है। न्यूनतम विशेषाधिकार उन एरर के असर का दायरा कम कर देता है।
इनसाइडर खतरे
इनसाइडर खतरे कई रूपों में आते हैं। ये हैकर्स की तरफ से आपके नेटवर्क में घुसपैठ की जानबूझकर कोशिशें हो सकती हैं, नाराज़ कर्मचारियों की तरफ से डाटा बाहर भेजना हो सकता है, या ज़्यादातर मामलों में ये सिर्फ गलतियां होती हैं। ज़्यादातर कर्मचारी दुर्भावनापूर्ण नहीं होते, लेकिन बड़े दायरे वाला एक्सेस गलत इस्तेमाल, ज़रूरत से ज़्यादा शेयर करने, या संवेदनशील जानकारी से लापरवाही बरतने के मौके बढ़ा देता है।
गवर्नेंस समस्याएं
अगर आपका व्यवसाय ये साफ तौर पर नहीं बता सकता कि किसे किस चीज़ का एक्सेस है, उसे क्यों है, और वो एक्सेस कब रिव्यू या हटाया जाता है, तो घटनाओं की जांच करना, सुरक्षा रिव्यू पूरे करना, ऑडिट का जवाब देना, या ये साबित करना कि एक्सेस कंट्रोल जिस तरह चाहिए उस तरह काम कर रहे हैं, मुश्किल हो जाता है।
न्यूनतम विशेषाधिकार का सिद्धांत कैसे लागू करें
ज़्यादातर SMBs के लिए, न्यूनतम विशेषाधिकार कोई ऐसी चीज़ नहीं जिसे एक साथ पूरा लागू किया जाए। ये कुछ ऐसा है जो एक्सेस को ज़्यादा सोचा-समझा, ज़्यादा सीमित, और समय के साथ रिव्यू करने में आसान बनाकर धीरे-धीरे बनाया जाता है।
भूमिका आधारित एक्सेस कंट्रोल का इस्तेमाल करें
न्यूनतम विशेषाधिकार लागू करने के सबसे प्रैक्टिकल तरीकों में एक है भूमिका आधारित एक्सेस कंट्रोल। इससे जिम्मेदारियों के आधार पर भूमिकाएं तय करने में मदद मिलती है, जैसे फाइनेंस, HR, मार्केटिंग, ग्राहक सहायता, IT एडमिन, या एक्सटर्नल कॉन्ट्रैक्टर। फिर हर अनुमति को अलग-अलग संभालने की बजाय उन भूमिकाओं के हिसाब से एक्सेस दिया जाता है। भूमिका आधारित एक्सेस कंट्रोल बिल्कुल वैसा ही नहीं है जैसा न्यूनतम विशेषाधिकार। न्यूनतम विशेषाधिकार सिद्धांत है। भूमिका आधारित एक्सेस कंट्रोल इसे लगातार लागू करने के सबसे प्रैक्टिकल तरीकों में से एक है।
स्टैंडर्ड एक्सेस को विशेषाधिकार प्राप्त एक्सेस से अलग रखें
व्यवसायों की सबसे आम गलतियों में से एक है रूटीन काम के लिए एडमिन अधिकार इस्तेमाल करने देना।
विशेषाधिकार प्राप्त एक्सेस को रूटीन एक्सेस से अलग तरह से संभाला जाना चाहिए।
अगर किसी को ज़्यादा अनुमतियां चाहिए, तो वो एक्सेस किसी खास जिम्मेदारी से जोड़ा जाना चाहिए और जितना हो सके सीमित रखा जाना चाहिए। मकसद ये है कि लोगों को स्थायी हाई-लेवल एक्सेस सिर्फ इसलिए न दिया जाए कि शायद उन्हें वो कभी-कभी चाहिए हो।
एक्सेस को नियमित रूप से रिव्यू करें
न्यूनतम विशेषाधिकार तभी काम करता है जब एक्सेस टीम मेंबर्स की मौजूदा जिम्मेदारियों को दर्शाता हो। इसी वजह से एक्सेस रिव्यू आपके रूटीन का हिस्सा होने चाहिए, एक बार की कोशिश नहीं।
एक साधारण महीने वार या तीन महीने वार रिव्यू पुरानी अनुमतियां, सिस्टम तक बेवजह का एक्सेस, निष्क्रिय इंटीग्रेशन, या ऐसे कॉन्ट्रैक्टर्स दिखा सकता है जिनका अब कनेक्ट रहना ज़रूरी नहीं। ये रिव्यू ऐसे जोखिम सामने लाने में मदद करते हैं जो महीनों तक बैकग्राउंड में छुपे रह सकते थे।
अस्थायी एक्सेस को सच में अस्थायी बनाएं
छोटे समय के काम से लंबे समय का एक्सेस नहीं मिलना चाहिए। कॉन्ट्रैक्टर्स, कंसल्टेंट्स, एजेंसियों और प्रोजेक्ट आधारित सहयोगियों को एक्सेस तभी तक मिलना चाहिए जब तक उनके काम को उसकी ज़रूरत है।
अस्थायी एक्सेस के लिए एक जिम्मेदार चाहिए जो उस पर नज़र रखने का वादा करे, साथ में एक साफ मकसद और खत्म होने की तारीख भी चाहिए। ऐसा न होने पर, खाते, तिजोरी अनुमतियां और शेयर किए गए प्रमाण सिर्फ इसलिए चालू रह जाते हैं क्योंकि उन्हें रिव्यू करने और हटाने का कोई जिम्मेदार नहीं होता।
ऑफबोर्डिंग को सुरक्षा प्रक्रिया की तरह संभालें
जब कोई कंपनी छोड़ देता है या भूमिका बदल लेता है, तब न्यूनतम विशेषाधिकार खत्म नहीं हो जाता।
ऑफबोर्डिंग में सभी खातों का एक्सेस हटाना, तिजोरी अनुमतियां वापस लेना, और ये रिव्यू करना शामिल होना चाहिए कि संवेदनशील प्रमाण रोटेट करने ज़रूरी हैं या नहीं। जब एक्सेस हटाने में देरी होती है या उसे एक जैसे तरीके से संभाला नहीं जाता, तो व्यवसाय असल ज़रूरत खत्म होने के बहुत बाद तक बेवजह जोखिम पैदा करते हैं।
अपने एक्सेस मॉडल में प्रमाण को शामिल करें
न्यूनतम विशेषाधिकार सिर्फ सिस्टम अनुमतियों के बारे में नहीं है। ये उन प्रमाणों पर भी लागू होता है जो आपके व्यवसाय का ताला खोलते हैं।
पासवर्ड, पासकी, रिकवर कोड, एडमिन लॉगइन और शेयर किए गए खाते, सबको नियंत्रित एसेट की तरह संभाला जाना चाहिए। अगर प्रमाण का कंट्रोल अब भी अनौपचारिक तरीके से संभाला जा रहा है, तो न्यूनतम विशेषाधिकार आधा ही लागू हो रहा है।
SMBs के लिए न्यूनतम विशेषाधिकार की प्रैक्टिकल चेकलिस्ट
अपने व्यवसाय में न्यूनतम विशेषाधिकार अमल में लाने का वादा करना आसान है, लेकिन उसे सच में लागू करना मुश्किल है। सीमित समय और संसाधन वाले SMBs के लिए ये और भी मुश्किल है।
लेकिन चिंता न करें: ज़्यादातर SMBs के लिए बड़े पैमाने पर एक्सेस फिर से डिज़ाइन करना आम तौर पर ज़रूरी नहीं होता। इसके बजाय, आपके संगठन को कुछ साफ फैसले करके शुरुआत करनी चाहिए, जैसे किसे सच में किस चीज़ का एक्सेस चाहिए, आज बेवजह का जोखिम कहां मौजूद है, और आगे चलकर उन अनुमतियों का रिव्यू कैसे होगा।
नीचे दी गई चेकलिस्ट का मकसद व्यवसायों को फैसले करना शुरू करने और न्यूनतम विशेषाधिकार लागू करने की एक यथार्थवादी प्लैन बनाने में मदद करना है।
- अपने सबसे संवेदनशील सिस्टम, शेयर किए गए खाते और प्रमाण पहचानें।
- मुख्य भूमिकाएं और हर एक को चाहिए न्यूनतम एक्सेस तय करें।
- प्रमाण का एक्सेस टीम, भूमिका या काम के हिसाब से व्यवस्थित करें।
- पुरानी, विरासत में मिली या बेवजह की अनुमतियां हटाएं।
- अस्थायी और कॉन्ट्रैक्टर एक्सेस के लिए एक साफ प्रक्रिया तय करें।
- एक्सेस का रिव्यू नियमित अंतराल पे करें।
- ऑफबोर्डिंग मजबूत करें ताकि एक्सेस जल्दी और भरोसेमंद तरीके से वापस लिया जाए।
- किसी के जाने या भूमिका बदलने के बाद ज़रूरी प्रमाण रोटेट करें।
- एडमिन पहचान को रोज़मर्रा के उपयोगकर्ता खातों से अलग रखें।
- एक्सेस से जुड़े फैसलों के लिए साफ जिम्मेदारी तय करें।
ऐसी चेकलिस्ट को असरदार बनाता ये नहीं कि वो कितनी जटिल है, बल्कि ये कि व्यवसाय उसे लगातार फॉलो करता है या नहीं। कई SMBs के लिए, असली सुधार तब आता है जब अनौपचारिक एक्सेस आदतों की जगह ऐसी प्रक्रिया ले ले जो दोहराने, रिव्यू करने और बनाए रखने में आसान हो।
Proton Pass for Business के साथ न्यूनतम विशेषाधिकार को आसान बनाएं
न्यूनतम विशेषाधिकार अक्सर प्रमाणों के लेवल पे टूट जाता है। हो सकता है किसी कंपनी के पास कागज़ पे साफ तौर पर बने सही एक्सेस लेवल हों, लेकिन वो फिर भी पासवर्ड बिना सही कंट्रोल के शेयर करे।
टीमें लॉगइन जानकारी स्प्रेडशीट, चैट, नोट्स या इंटरनल डॉक्स में रख सकती हैं। शेयर किए गए खाते अनौपचारिक तरीके से इधर-उधर घूम सकते हैं, जिन पे बहुत कम या कोई नज़र और कंट्रोल नहीं होता। नौकरी छोड़ने वाले कर्मचारी ऐसे प्रमाणों का स्थायी एक्सेस अपने साथ ले जा सकते हैं जिन्हें व्यवसाय कभी रोटेट नहीं करता। ये सब एक्सेस समस्याएं हैं जिन्हें प्रभावी प्रमाण एक्सेस से नियंत्रित न्यूनतम विशेषाधिकार वाले तरीके से हल किया जा सकता है।
कई कंपनियों में, प्रमाण का एक्सेस अब भी ऐसे शॉर्टकट पे निर्भर है जिन्हें नियंत्रित करना मुश्किल है। पासवर्ड संदेशों के ज़रिए भेजे जाते हैं, डॉक्यूमेंट्स में स्टोर किए जाते हैं, टीमों के बीच पास किए जाते हैं, या असल ज़रूरत खत्म होने के बाद भी उपलब्ध रह जाते हैं।
समय के साथ, ये ट्रैक रखना मुश्किल हो जाता है कि कौन कौन से प्रमाण इस्तेमाल कर सकता है, क्या वो एक्सेस अब भी जायज़ है, और किसी के भूमिका बदलने या जाने पे क्या वापस लेना या रोटेट करना ज़रूरी है।
किसी भी साइज़ की टीम के लिए, एक बिज़नेस पासवर्ड मैनेजर प्रमाण और एक्सेस दोनों का प्रबंधन देता है। प्रमाण को कुछ ऐसा मानने की बजाय जिसे टीमें अपने हिसाब से संभालें, व्यवसाय एक स्पेशलाइज़्ड टूल का इस्तेमाल करके एक्सेस को व्यवस्थित, शेयर और वापस ले सकते हैं। प्रमाण को टीम, भूमिका या काम के हिसाब से ग्रुप किया जा सकता है, संवेदनशील लॉगइन कम लोगों तक सीमित किए जा सकते हैं, और जिम्मेदारियां बदलने पे एक्सेस बहुत जल्दी अडजस्ट किया जा सकता है।
Proton Pass for Business संगठनों को प्रमाण की बेहिसाब फैलाव कम करने, शेयर किए गए लॉगइन के इर्द-गिर्द एक्सेस कसने, और रोज़मर्रा के कामकाज में न्यूनतम विशेषाधिकार को लागू करना आसान बनाने में मदद करके इस कोशिश को सहायता देता है। ग्रुप बनाकर, एडमिन शेयरिंग को ग्रुप लेवल पे भी संभाल सकते हैं, जिससे किसी टीम को सही तिजोरियों का एक्सेस देना और बिज़नेस ज़रूरतें बदलने पे वो एक्सेस हटाना आसान हो जाता है।अगर आपका संगठन न्यूनतम विशेषाधिकार अपनाने के लिए तैयार है, तो Proton Pass मुफ्त आज़माएं या हमारी सेल्स टीम से संपर्क करें।
