É normal conceder acesso de administrador de 'usuários' ao PC da empresa?

Eu tenho um usuário que quer ser um administrador do seu PC de trabalho, ele inventou uma história sobre como ele não pode trabalhar sem ele, então me disseram para "corrigi-lo" (como se fosse uma falha que ele fez logon como um usuário!).

Meus colegas de TI e eu não logamos como administradores devido a vírus / malware que se mantêm em pé e se configuram como servidores para distribuir um ataque (sim, isso aconteceu no passado).

Qual é a 'norma' para seus usuários de rede e como você lida com solicitações de acesso de administrador?

obrigado

Atualmente, temos três níveis de suporte para os usuários:

1. Apoio total. Os usuários têm apenas acesso básico e um conjunto padrão de aplicativos
2. Suporte limitado. Fazemos o patch central do SO e fornecemos aplicativos. O usuário tem acesso root.
3. Sem suporte. Fornecemos ao usuário uma conexão à Internet. O usuário assume a responsabilidade pelo computador, incluindo software e patches. Monitoramos a rede quanto a problemas e cortamos o usuário se houver algum problema.

Dessa forma, os usuários podem escolher o que desejam e minimizamos o impacto, tanto para a equipe de TI quanto para os usuários. Descobrimos que os usuários podem confiar em escolher um nível de suporte apropriado. Tenho a sensação de que bloquear usuários por padrão é muito caro em termos de produtividade.

Meus dois centavos :

1 / Os direitos de administrador são ruins. E malware não é a única razão pela qual. Outro problema, e geralmente maior, é que muitos usuários adicionam aplicativos aos quais você não sabe dar suporte ou que são interrompidos com o tempo. Resultado? Três ou quatro anos assim, e você acaba chorando porque, por algum motivo, um processo crítico para os negócios é tratado usando um aplicativo que ninguém sabe, ou que foi desenvolvido por um amigo do cara que deixou a empresa, ou o que seja. Eu tenho um cliente, por exemplo, que desenvolveu um aplicativo GRANDE - e MUITO ÚTIL - usando o Lotus 1-2-3. Uma versão muito antiga. Isso não é executado em nenhum sistema operacional posterior ao Windows 98. E o cara que fez isso deixou a empresa. Veja o problema?

2 / Se alguém NÃO deve ter direitos de administrador, são os desenvolvedores . Porque se eles são administradores, não farão QUALQUER esforço para escrever seu software respeitando as diretrizes de codificação. E eles acabarão escrevendo aplicativos que precisam de direitos de administrador para serem executados. O que é ruim.

Eu sou um administrador do sistema e estou executando SEM direitos de administrador (nem mesmo o administrador local do meu computador). Quando preciso deles, agarro-os durante o tempo da minha tarefa de administrador. Esse é o meu próprio salva-vidas. Eu posso cometer erros ... E erros com direitos de administrador podem ser terríveis.

Pode haver justificativa comercial para um usuário final ter privilégios mais altos. Freqüentemente, será ditado pela cultura da sua empresa.

A melhor política de TI é padronizar o mínimo de privilégios necessários para executar uma função de trabalho. Se houver justificativa e não houver soluções técnicas para manter privilégios menores, haverá uma justificativa comercial para o acesso adicional.

Algumas empresas técnicas optam por conceder acesso de administrador local a todos os usuários. Outros, apenas equipe técnica.

No meu departamento: sem justificativa, eles não têm acesso. Em relação ao acesso de administrador local da estação de trabalho: os usuários técnicos geralmente o obtêm. Se eles introduzirem riscos na empresa, eles podem ser reavaliados individualmente. O funcionário não técnico médio não. Nunca tivemos um incidente de malware de qualquer importância, mas geralmente executamos um processo apertado.

Também respondi a uma pergunta hoje mais cedo, relacionada à sua pergunta aqui. Abrange alguns dos princípios fundamentais associados à política e ao procedimento de controle de acesso.

Não não não não não!

Nenhum computador com um usuário com direitos de administrador deve entrar na sua rede. Certamente, nenhum computador de propriedade da empresa deve ter direitos de administrador de usuário:

• Os usuários instalarão programas indesejáveis ​​- P2P / Torrents etc.
• Os usuários instalam software pirata / não licenciado, em uma máquina de propriedade da empresa pela qual o departamento de TI é responsável.
• Os usuários geralmente "consomem" seus computadores, baixando atualizações incompatíveis etc.
• O computador deles é menos seguro - 90% das vulnerabilidades do Windows 7 são atenuadas pela execução como um usuário limitado

Eu não odeio usuários, mas um departamento de TI simplesmente não pode fazer seu trabalho com eficiência se eles precisam constantemente corrigir problemas auto-infligidos no computador.

Por que diabos os usuários (desenvolvedores, se você os tiver, exceto) precisam de acesso de administrador.

Para instalar aplicativos?

Nós gastamos muito tempo e esforço testando aplicativos para compatibilidade e padronizamos em uma versão específica. Mantemos as informações de licenciamento e concordamos em apoiar o que instalamos.

Para executar aplicativos que exigem acesso de administrador?

Ei, não estamos mais executando o Windows 98. Não me lembro de um aplicativo comercial padrão que exija direitos de administrador. Se alguém o fizesse, não permitiríamos em primeiro lugar.

Atualizações?

É para isso que serve o WSUS / ASUS. A maioria dos usuários não precisa dos drivers mais recentes para placas gráficas - eles não são jogadores!

E se [inserir o motivo aqui] tivesse que ser executado como administrador?

Em seguida, eles são totalmente segregados do restante da rede, possivelmente se houver um número suficiente deles, em seu próprio domínio. O mais importante é que gerenciamos as expectativas deles - você quebra e corrige - os tempos normais de resolução do SLA não se aplicam.

Existem muitos casos extremos, mas nosso objetivo é administrar nosso departamento para que nenhum usuário precise acessar o administrador ou solicitá-lo. Se seus usuários têm direitos de administrador, você não controla sua 'rede', uma situação em que eu gostaria de estar.

Normalmente, onde trabalhei, os desenvolvedores de software tiveram acesso de administrador e geralmente mais ninguém.

Em um lugar que eu contratei, eles tiveram uma boa ideia. Para obter acesso de administrador, eu precisava ler e assinar um formulário concordando que, se alguma vez eu tivesse que ligar para a TI sobre problemas no computador ou se outra pessoa notasse problemas no meu computador, a TI tentaria corrigi-lo por quinze minutos e depois limpe e re-imagem.

Como você pode ver nas respostas anteriores, não há norma para isso. Existe, contudo, a Regra de Ouro dos Menos Privilégios. Isso significa simplesmente que o usuário deve ter os direitos mínimos de acesso necessários para realizar seu trabalho. É lamentável que, especialmente no mundo Windows, isso signifique que alguns usuários (por exemplo, programadores) exijam direitos totais de administrador.

Sugiro que você solicite ao usuário em questão que documente o que ele / ela não pode fazer como usuário e verifique se o problema pode ser resolvido com algo menos do que direitos de administrador completos. Se eles não puderem ou não quiserem documentar os problemas, é possível que você possa apresentar à gerência um caso de que a reivindicação é infundada e, portanto, não requer alterações. Obviamente, o quão bem isso ocorre geralmente depende de quem é doido por quem na sua organização em particular.

Se alguém realmente precisar de direitos de administrador em sua máquina local, ficaria tentado a configurar algo como o Virtual Box / Vmware Player como sua caixa de areia. Permita que eles façam o que quiserem em sua caixa de areia e, no SO Host, eles serão bloqueados como qualquer outra máquina.

Os detalhes dependeriam muito das expectativas para o sistema em particular.

• O usuário (e seus gerentes) está disposto a fazer com que ele seja responsável pelos backups?
• O usuário será capaz de aceitar que, se algo não puder ser corrigido rapidamente, porque ele / ela falsificou, você irá aparecer em um disco e formatá-lo imediatamente?
• O usuário e o gerente estão prontos para assumir a responsabilidade por quaisquer problemas legais resultantes de software não licenciado, violações de segurança, danos a outros sistemas na rede?