Czy to normalne, aby dać administratorom „użytkownikom” dostęp do komputera firmowego?

Mam użytkownika, który chce być administratorem swojego komputera roboczego. Opowiedział o tym, jak nie może bez niego pracować, więc kazano mi to naprawić (jakby to była usterka, którą zalogował jako użytkownik!).

Moi współpracownicy IT i ja nie logujemy się jako administratorzy z powodu zatrzymania wirusów / złośliwego oprogramowania i skonfigurowania się jako serwery do przeprowadzania ataku (tak, zdarzyło się to w przeszłości).

Jaka jest „norma” dla użytkowników sieci i jak radzisz sobie z żądaniami dostępu administratora?

Dzięki

Obecnie mamy trzy poziomy wsparcia dla użytkowników:

1. Pełne wsparcie. Użytkownicy mają tylko podstawowy dostęp i standardowy zestaw aplikacji
2. Ograniczone wsparcie. Wykonujemy centralne łatanie systemu operacyjnego i dostarczanie aplikacji. Użytkownik ma dostęp do konta root.
3. Bez wsparcia. Zapewniamy użytkownikowi połączenie internetowe. Użytkownik bierze odpowiedzialność za komputer, w tym za oprogramowanie i poprawki. Monitorujemy sieć pod kątem problemów i odcinamy użytkownika, jeśli występuje problem.

W ten sposób użytkownicy mogą wybrać, czego chcą, a my minimalizujemy wpływ, zarówno dla personelu IT, jak i użytkowników. Odkryliśmy, że użytkownikom można ufać, że wybiorą odpowiedni poziom wsparcia. Mam wrażenie, że domyślnie blokowanie użytkowników jest bardzo kosztowne pod względem produktywności.

Moje dwa centy :

1 / Prawa administratora są ZŁE. A złośliwe oprogramowanie nie jest jedynym powodem. Innym i często większym problemem jest to, że wielu użytkowników doda aplikacje, których obsługi nie znasz, lub z czasem przestaną być obsługiwane. Wynik? Trzy lub cztery lata tak, a ty płaczesz, ponieważ z jakiegoś powodu proces krytyczny dla biznesu jest obsługiwany za pomocą aplikacji, której nikt nie zna, lub która została opracowana przez przyjaciela faceta, który opuścił- firma lub cokolwiek innego. Mam na przykład klienta, który opracował DUŻĄ - i BARDZO PRZYDATNĄ - aplikację przy użyciu Lotus 1-2-3. Bardzo stara wersja. To nie działa na żadnym późniejszym systemie operacyjnym niż ... Windows 98. A facet, który to zrobił, opuścił firmę. Widzisz problem?

2 / Jeśli KTOŚ NIE powinien mieć uprawnień administratora, jest to programista . Ponieważ jeśli są administratorami, nie podejmą ŻADNEGO wysiłku, aby napisać swoje oprogramowanie zgodnie z wytycznymi dotyczącymi kodowania. I w końcu skończą pisać aplikacje, do uruchomienia których będą potrzebne uprawnienia administratora. Co jest złe

Jestem administratorem systemu i działam BEZ uprawnień administratora (nawet lokalnego administratora mojego komputera). Kiedy ich potrzebuję, łapię je na czas mojego zadania administratora. To mój własny ratownik. Mogę popełniać błędy ... A błędy z prawami administratora mogą być straszne.

Może istnieć uzasadnienie biznesowe, aby użytkownik końcowy miał wyższe uprawnienia. Często będzie to podyktowane kulturą Twojej firmy.

Najlepszą polityką IT jest domyślnie korzystanie z najmniejszych uprawnień niezbędnych do wykonywania funkcji zadania. Jeżeli istnieje uzasadnienie i nie ma technicznych rozwiązań dla utrzymania mniejszych uprawnień, istnieje uzasadnienie biznesowe dla dodatkowego dostępu.

Niektóre firmy techniczne decydują się na zapewnienie wszystkim użytkownikom dostępu lokalnego administratora. Inni, tylko personel techniczny.

W moim dziale: bez uzasadnienia nie mają dostępu. W odniesieniu do lokalnego dostępu administratora do stacji roboczej: użytkownicy techniczni zazwyczaj go otrzymują. Jeśli stanowią one ryzyko dla firmy, można je ponownie ocenić indywidualnie. Przeciętny pracownik nietechniczny tego nie robi. Nigdy nie mieliśmy żadnego incydentu ze złośliwym oprogramowaniem, ale ogólnie prowadzimy napięty statek.

Odpowiedziałem również dzisiaj na pytanie , które jest związane z pańskim pytaniem tutaj. Obejmuje niektóre podstawowe zasady związane z polityką i procedurą kontroli dostępu.

Nie nie nie nie nie!

Żaden komputer z użytkownikiem z uprawnieniami administratora nie powinien nigdy wchodzić do sieci. Z pewnością żaden komputer należący do firmy nie powinien mieć uprawnień administratora:

• Użytkownicy będą instalować niepożądane programy - P2P / Torrents itp
• Użytkownicy instalują pirackie / nielicencjonowane oprogramowanie na komputerze należącym do firmy, za który odpowiedzialny jest dział IT.
• Użytkownicy zazwyczaj „psują” swoje komputery, pobierając niezgodne aktualizacje itp
• Ich komputer jest mniej bezpieczny - 90% luk w systemie Windows 7 jest ograniczanych przez działanie jako ograniczony użytkownik

Nie nienawidzę użytkowników, ale dział IT po prostu nie może skutecznie wykonywać swojej pracy, jeśli stale muszą naprawiać problemy z komputerem.

Dlaczego, u licha, użytkownicy (programiści, jeśli je masz, z wyjątkiem) potrzebują dostępu administratora.

Aby zainstalować aplikacje?

Spędzamy dużo czasu i wysiłku testując aplikacje pod kątem zgodności, a następnie standaryzujemy dla konkretnej wersji. Przechowujemy informacje licencyjne i zgadzamy się wspierać wszystko, co instalujemy.

Aby uruchomić aplikacje wymagające dostępu administratora?

Hej, nie korzystamy już z systemu Windows 98. Nie mogę sobie przypomnieć standardowej aplikacji biznesowej wymagającej uprawnień administratora. Gdyby tak było, nie pozwolilibyśmy przede wszystkim.

Aktualizacje

Po to jest WSUS / ASUS. Większość użytkowników nie potrzebuje najnowszych sterowników kart graficznych - nie są graczami!

Co jeśli [wstaw tutaj powód] musiał działać jako administrator?

Następnie są całkowicie oddzielone od reszty sieci, być może, jeśli będzie ich wystarczająco dużo, we własnej domenie. Co najważniejsze, zarządzamy ich oczekiwaniami - jeśli je złamiesz, naprawisz - normalne czasy rozdzielczości SLA nie mają zastosowania.

Istnieje wiele przypadkowych przypadków, ale staramy się prowadzić nasz dział, aby żaden użytkownik nigdy nie potrzebował dostępu administratora ani nawet nie prosił o nie. Jeśli Twoi użytkownicy mają uprawnienia administratora, to nie kontrolujesz swojej „sieci”, a nie jest to sytuacja, w której kiedykolwiek chciałbym być.

Zazwyczaj tam, gdzie pracowałem, programiści mieli dostęp administratora i ogólnie nikt inny.

W jednym miejscu, które podpisałem, mieli dobry pomysł. Aby uzyskać dostęp administratora, musiałem przeczytać i podpisać formularz potwierdzający, że jeśli kiedykolwiek będę musiał zadzwonić do IT w sprawie problemów z komputerem lub jeśli ktoś zauważy problemy na moim komputerze, IT spróbuje to naprawić przez piętnaście minut, a następnie wyczyść i zmień obraz.

Jak widać z poprzednich odpowiedzi, nie ma na to żadnej normy. Istnieje jednak Złota Reguła Najmniejszych Przywilejów. Oznacza to po prostu, że użytkownik powinien mieć minimalne prawa dostępu wymagane do wykonywania swojej pracy. Szkoda, że ​​szczególnie w świecie Windows oznacza to, że niektórzy użytkownicy (np. Programiści) wymagają pełnych uprawnień administratora.

Sugeruję, aby poprosić danego użytkownika o udokumentowanie, czego on / ona nie jest w stanie zrobić jako użytkownik i sprawdzić, czy problem można rozwiązać za pomocą czegoś mniej niż pełne uprawnienia administratora. Jeśli nie są w stanie lub nie chcą udokumentować problemów, możesz być w stanie przedstawić zarządowi sprawę, że roszczenie jest bezzasadne i dlatego nie wymaga zmian. Oczywiście, jak dobrze to idzie, często zależy od tego, kto jest do kitu w twojej organizacji.

Jeśli ktoś naprawdę potrzebuje uprawnień administratora na swoim komputerze lokalnym, kusiłoby mnie, aby ustawić coś takiego jak Virtual Box / Vmware Player jako piaskownicę. Pozwól im robić, co tylko zechcą, w piaskownicy, a na systemie operacyjnym hosta zostaną zablokowane jak każda inna maszyna.

Specyfika zależy w dużym stopniu od oczekiwań dla konkretnego systemu.

• Czy użytkownik (i jego menedżerowie) chcą, aby ten użytkownik był odpowiedzialny za tworzenie kopii zapasowych?
• Czy użytkownik będzie w stanie zaakceptować, że jeśli czegoś nie da się szybko naprawić, ponieważ on / ona sfałszował to, że otworzysz dysk i natychmiast go sformatujesz?
• Czy użytkownik i menedżer są gotowi wziąć odpowiedzialność za wszelkie kwestie prawne wynikające z nielicencjonowanego oprogramowania, naruszenia bezpieczeństwa, uszkodzenia innych systemów w sieci?