Kontrollet e qasjes

Kontrolli i qasjes është një grumbull procedurash sipas të cilave personat e autorizuar i qasen një sistemi kompjuterik, dhe personat e pa autorizuar e kanë të ndaluar këtë qasje. Përveç kësaj, kjo e definon edhe nivelin e qasjes së personave të autorizuar, duke iu dhënë atyre të drejta eksplicite të qasjes vetëm aq sa kanë nevojë për të kryer detyrat e tyre zyrtare.

Kontrollet e qasjes jo vetëm që mbrojnë sistemin nga sulmet e jashtme apo të brendshme, por gjithashtu mbrojnë edhe nga gabimet e përdoruesve, të cilat kanë ndikim të madh në operacionet e organizatës. Supozojmë që një përdorues e fshinë një objekt p.sh. një tabelë të rëndësishme duke menduar se ajo nuk është e dobishme. Kontrollet e qasjes, përveç që na mundësojnë të gjejmë se kush e ka fshirë atë tabelë apo rekord të caktuar, mund edhe të minimizoj shkaqet që rrezikojnë bazën e të dhënave, siç janë rreziqet e aplikacionit që kanë ndikim të drejtpërdrejtë në sigurinë e tyre.

Kontrollet e qasjes mund të aplikohen në dy kategori të përdoruesve në parim të privilegjit më të ulët si: administratorët dhe shfrytëzuesit standard. Çdo Administrator i Sistemit apo Administrator i Bazës së të Dhënave (ABD) duhet të kufizohet vetëm me privilegjet e nevojshme, me qëllim që të kryej detyrat e tij/saj. Ndonjëherë rolet e paracaktuara (default) ofrojnë më shumë privilegje se sa që janë të nevojshme. Në raste të tilla, rolet e parazgjedhura si ABD nuk duhet të përdoren. Në vend të specifikave të nënkuptuara të roleve për aktivitetet administrative duhet të krijohen vetëm ato të cilat i japin privilegjet minimale për të ushtruar funksionin e tij/saj. Figura në vijim përshkruan role të shumta të cilat janë ngritur në nivele të ndryshme të administratorëve.

Shembull 1: Menaxherja e sigurisë në një universitet, kishte vërejtur një punonjës që kishte shikuar disa dokumente për të cilat ai nuk ishte i autorizuar dhe nuk kishte të drejtë t’i shikonte. Mirëpo ajo, duke e ditur se sa serioze ishte shkelja, i mbledhë disa informata para se të kontaktoj me atë. Pastaj ajo e takon dhe i thotë që pasi i kishte shikuar të dhënat “log” të kompjuterëve, kishte kuptuar që ai i kishte hapë dosjet private të studentëve, për të cilat nuk ishte i autorizuar. “Nuk munda të kuptoj pse dikush nga shërbimi i ushqimit të ketë nevojë të hapë rezultatet e testeve të studentëve, për atë erdha te të pyes.”

Kuzhinieri e shikon i habitur “po harron që unë kam qasje në të dhënat e studentëve?”

“Ju jeni i autorizuar për disa të dhëna specifike që lidhen me kualifikimin e studentëve për të pasur ushqim me zbritje çmimi. Ky është limiti që ke nevojë të dish” i sqaroj ajo.

“Nuk kam qenë në dijeni për këtë kufizim,” i përgjigjet kuzhinieri me sinqeritet. “Kam menduar që nëse fjalëkalimi im më jep qasje në një dosje, kam të drejtë ta shoh atë.”

Menaxherja ndalon, dhe e kupton që arsyetimi i kuzhinierit ishte i drejtë, pasi ai kishte menduar që kishte të drejtë të lexoi një dosje nëse fjalëkalimi i tij e lejonte ta bënte atë.

“Hmmm, e kuptoj. Realisht ju nuk keni të drejtë të shihni testet e studentëve dhe asgjë jashtë asaj që ka të bëjnë me informacionet rreth ushqimit të tyre. Nuk do ta bëjë të madhe këtë kësaj radhe, mirëpo tani e tutje kufizoje shikimin e dosjeve në informatat për shujtat falas për studentët dhe në ato me zbritje çmimi. Në ndërkohë, do të dërgoj një memorandum tek stafi për t’ua rikujtuar atyre se çfarë do të thotë me të vërtetë nevoja për të ditur.”

“Dhe do të ishte mirë të ri-shikoni se si funksionon sistemi ynë i fjalëkalimeve” shton kuzhinieri. “Do të ishte mjaft e qartë për mua që nuk kam pse të hapë një dosje, nëse fjalëkalimi im do të ma ndalonte këtë.”

Në qasjet ndaj sistemeve me të dhëna senzitive, duhet kujtuar dy parime të thjeshta që kanë të bëjnë me qasjet:

1. E drejta për të ditur – ju në bazë të pozitës dhe përgjegjësive që bartni, keni të drejtë dhe nuk ju ndalohet ai informacion, pasi përndryshe do t’iu pengonte në kryerjen e detyrave tuaja.
2. Nevoja për të ditur – pasi ju keni të drejtë qasje në një sistem, bazë të dhënash apo dosje (siç u cek në pikën 1), prapë ju duhet të kufizoheni në hapjen e VETËM atyre të dhënave, të cilat u nevojiten për të kryer detyrat që iu parashtrohen.

Shembull 2: Një punëtor në një organizatë ishte qasur në një server dhe kishte bërë disa veprime aty, pa pasur të drejtë qasje. Kur ishte intervistuar nga eprorët e organizatës, kishte deklaruar se kishte menduar që kjo gjë ishte e lejuar, pasi në qasje të serverit shkruante: Mirëserdhët në Serverin e xyz.org…!

Asnjëherë mos e përdorni shprehjen “Mirëserdhët” apo ndonjë fjalë të ngjashme në hyrje të sistemit apo bazës së të dhënave. Në vend të kësaj përdorni fjali si: Qasja në këtë bazë është e ndaluar, përveç personave të autorizuar.

Kontrollet e qasjes duhet të adresohen me seriozitet, pasi ato ndikojnë drejtpërdrejt në atë se çfarë informacionesh mund t’i qasen shfrytëzuesit e tyre. Menaxhimi i centralizuar i kontrolleve të qasjes mund të zvogëlojë gjithashtu rreziqet e aplikimit të papërshtatshëm të kontrolleve të qasjes për çdo përdorues.