Apakah normal untuk memberikan akses administrator 'pengguna' ke PC perusahaan mereka?

Saya memiliki pengguna yang ingin menjadi administrator PC kerjanya, ia membuat beberapa cerita tentang bagaimana ia tidak dapat bekerja tanpanya jadi saya disuruh "memperbaikinya" (seolah-olah itu adalah kesalahan yang ia masuki sebagai pengguna!).

Rekan kerja IT saya dan saya tidak masuk sebagai administrator karena virus / malware tahan dan mengatur diri mereka sebagai server untuk mendistribusikan serangan (ya ini terjadi di masa lalu).

Apa 'norma' untuk pengguna jaringan Anda dan bagaimana Anda menangani permintaan untuk akses administrator?

Terima kasih

Saat ini kami memiliki tiga tingkat dukungan untuk pengguna:

1. Dukungan penuh. Pengguna hanya memiliki akses dasar dan satu set aplikasi standar
2. Dukungan terbatas. Kami melakukan patching pusat OS dan memasok aplikasi. Pengguna memiliki akses root.
3. Tidak ada dukungan Kami menyediakan pengguna dengan koneksi internet. Pengguna bertanggung jawab atas komputer, termasuk perangkat lunak dan penambalan. Kami memantau jaringan untuk masalah, dan memotong pengguna jika ada masalah.

Dengan cara ini pengguna dapat memilih apa yang mereka inginkan dan kami meminimalkan dampaknya, baik untuk staf TI maupun pengguna. Kami telah menemukan bahwa pengguna dapat dipercaya untuk memilih tingkat dukungan yang sesuai. Saya merasa bahwa mengunci pengguna secara default sangat mahal dalam hal produktivitas.

Dua sen saya:

1 / Hak admin BAD. Dan malware bukan satu-satunya alasan mengapa. Masalah lain, dan seringkali lebih besar, adalah bahwa banyak pengguna akan menambahkan aplikasi yang Anda tidak tahu cara mendukungnya, atau yang dihentikan seiring waktu. Hasil? Tiga atau empat tahun seperti ini, dan Anda akhirnya menangis karena suatu alasan proses bisnis-kritis ditangani menggunakan aplikasi yang tidak ada yang tahu, atau yang dikembangkan oleh teman-pria-pria-yang-kiri- perusahaan, atau apa pun. Saya memiliki pelanggan misalnya yang mengembangkan aplikasi BESAR - dan SANGAT BERMANFAAT - menggunakan Lotus 1-2-3. Versi yang sangat lama. Itu tidak berjalan pada OS lebih lambat dari ... Windows 98. Dan orang yang melakukan ini meninggalkan perusahaan. Lihat masalahnya?

2 / Jika SESEORANG TIDAK boleh memiliki hak admin, itu pengembang . Karena jika mereka adalah admin, mereka tidak akan melakukan upaya apa pun untuk menulis perangkat lunak mereka sehubungan dengan pedoman pengkodean. Dan mereka akhirnya akan menulis aplikasi yang PERLU hak admin untuk dijalankan. Itu buruk.

Saya seorang admin sistem dan saya menjalankan TANPA hak admin (bahkan admin lokal komputer saya). Ketika saya membutuhkannya, saya mengambilnya, untuk saat tugas admin saya. Itu adalah penyelamat hidup saya sendiri. Saya bisa melakukan kesalahan ... Dan kesalahan dengan hak admin bisa sangat buruk.

Mungkin ada justifikasi bisnis bagi pengguna akhir untuk memiliki hak istimewa yang lebih tinggi. Seringkali, itu akan ditentukan oleh budaya perusahaan Anda.

Kebijakan TI terbaik adalah untuk default ke privilege paling tidak diperlukan untuk melakukan fungsi pekerjaan. Jika ada pembenaran dan tidak ada solusi teknis untuk mempertahankan hak istimewa yang lebih rendah, maka ada pembenaran bisnis untuk akses tambahan.

Beberapa perusahaan teknis memilih untuk memberikan semua pengguna akses admin lokal. Lainnya, hanya staf teknis.

Di departemen saya: tanpa pembenaran, mereka tidak mendapatkan akses. Dalam hal akses admin lokal workstation: pengguna teknis biasanya mendapatkannya. Jika mereka memperkenalkan risiko kepada perusahaan, itu dapat dinilai kembali secara individual. Karyawan non-teknis rata-rata tidak. Kami tidak pernah memiliki insiden malware yang signifikan tetapi kami menjalankan kapal yang ketat secara umum.

Saya juga menjawab pertanyaan sebelumnya hari ini, yang terkait dengan pertanyaan Anda di sini. Ini mencakup beberapa prinsip dasar yang terkait dengan kebijakan dan prosedur kontrol akses.

Tidak, Tidak, Tidak, Tidak, Tidak!

Tidak boleh ada komputer dengan pengguna yang memiliki hak admin di jaringan Anda. Tentunya tidak ada komputer milik perusahaan yang memiliki hak admin pengguna:

• Pengguna akan menginstal program yang tidak diinginkan - P2P / Torrents, dll
• Pengguna menginstal perangkat lunak bajak laut / tidak berlisensi, pada mesin milik perusahaan yang menjadi tanggung jawab departemen TI.
• Pengguna pada umumnya akan "membereskan" komputer mereka, mengunduh pembaruan yang tidak kompatibel, dll
• Komputer mereka kurang aman - 90% dari kerentanan Windows 7 dikurangi dengan berjalan sebagai pengguna terbatas

Saya tidak membenci pengguna, tetapi departemen TI tidak bisa melakukan pekerjaannya secara efektif jika mereka terus-menerus memperbaiki masalah komputer yang ditimbulkan sendiri.

Mengapa pengguna (pengembang, jika Anda memilikinya, terkecuali) memerlukan akses admin.

Untuk menginstal aplikasi?

Kami menghabiskan banyak waktu dan upaya menguji aplikasi untuk kompatibilitas kemudian kami melakukan standarisasi pada versi tertentu. Kami menjaga informasi lisensi, dan setuju untuk mendukung apa pun yang kami instal.

Untuk menjalankan aplikasi yang memerlukan akses Admin?

Hai, kita tidak lagi menjalankan Windows 98. Saya tidak dapat mengingat aplikasi bisnis standar yang memerlukan hak admin. Jika ada, kami tidak akan mengizinkannya.

Pembaruan?

Itulah tujuan WSUS / ASUS. Sebagian besar pengguna tidak memerlukan driver kartu grafis terbaru - mereka bukan gamer!

Bagaimana jika [masukkan alasan di sini] harus dijalankan sebagai admin?

Kemudian mereka benar-benar dipisahkan dari sisa jaringan, mungkin jika ada cukup banyak dari mereka, di domain mereka sendiri. Yang paling penting kami mengelola harapan mereka - Anda memecahkannya Anda memperbaikinya - waktu resolusi SLA normal tidak berlaku.

Ada banyak kasus tepi, tetapi kami bertujuan untuk menjalankan departemen kami sehingga tidak ada pengguna yang memerlukan akses admin atau bahkan memintanya. Jika pengguna Anda memiliki hak admin maka Anda tidak mengontrol 'jaringan' Anda bukan situasi yang saya inginkan.

Biasanya, tempat saya bekerja, pengembang perangkat lunak memiliki akses admin dan umumnya tidak ada orang lain.

Di satu tempat saya dikontrak, mereka punya ide bagus. Untuk mendapatkan akses admin, saya harus membaca dan menandatangani formulir yang menyetujui bahwa, jika saya harus menelepon TI tentang masalah komputer, atau jika ada orang lain yang melihat masalah pada komputer saya, TI akan mencoba memperbaikinya selama lima belas menit kemudian bersihkan dan gambar ulang.

Seperti yang Anda lihat dari jawaban sebelumnya, tidak ada norma untuk ini. Namun ada Aturan Emas dari Least Privileges. Itu berarti Anda pengguna harus memiliki hak akses minimum yang diperlukan untuk melakukan pekerjaan mereka. Sangat disayangkan bahwa, terutama di dunia Windows, itu berarti beberapa pengguna (misalnya programmer) memerlukan hak admin penuh.

Saya sarankan Anda meminta pengguna yang bersangkutan untuk mendokumentasikan apa yang tidak dapat dilakukannya sebagai pengguna dan melihat apakah masalahnya dapat diselesaikan dengan sesuatu yang kurang dari hak admin penuh. Jika mereka tidak dapat atau tidak mau mendokumentasikan masalah Anda mungkin dapat mengajukan kasus kepada manajemen bahwa klaim tersebut tidak berdasar dan karenanya tidak memerlukan perubahan. Tentu saja seberapa baik penurunan ini sering tergantung pada siapa yang menghisap kepada siapa di organisasi tertentu Anda.

Jika seseorang benar-benar membutuhkan hak admin di mesin lokal mereka, saya akan tergoda untuk mengatur sesuatu seperti Virtual Box / Vmware Player sebagai kotak pasir mereka. Biarkan mereka melakukan apa pun yang mereka inginkan di dalam kotak pasir mereka, dan pada OS Host mereka akan dikunci seperti mesin lain.

Spesifik akan sangat tergantung pada harapan untuk sistem tertentu.

• Apakah pengguna (dan manajernya) bersedia membuat pengguna tersebut bertanggung jawab atas cadangan?
• Apakah pengguna dapat menerima bahwa jika ada sesuatu yang tidak dapat diperbaiki dengan cepat karena dia mengira bahwa Anda akan muncul di disk dan segera memformatnya?
• Apakah pengguna dan manajer siap untuk bertanggung jawab atas masalah hukum apa pun yang dihasilkan dari perangkat lunak yang tidak berlisensi, pelanggaran keamanan, kerusakan sistem lain di jaringan?