Kdo má přístup kam: jádro řízení přístupu
Řízení přístupu odpovídá na jednu otázku: kdo má přístup k jakému systému a proč právě tato osoba a ne někdo jiný. V rámci povinnosti péče NIS2 se jedná o jedno z opatření, která musí organizace být schopna prokázat, a v praxi se jedná také o opatření, na které se dotazníky na bezpečnost nejčastěji a nejostřeji ptají. To není náhoda: útočník, který se jednou dostane dovnitř, hledá účty s příliš mnoha právy, a řízení přístupu je právě opatření, které to omezuje.
Pro poskytovatele služeb ICT se to objevuje ve třech formách: vzdálená správa vlastních a zákaznických systémů, přímý přístup k systémům zákazníka a role subdodavatelů, kteří někdy potřebují přístup sami. Každá forma vyvolává mírně jinou otázku, a nákupčí, který odešle dotazník, chce odpověď na všechny tři.
Vzdálená správa: první místo, kde dotazník přistane
U vzdálené správy nejde jen o otázku, zda je potřeba heslo, ale o to, kdo přesně může přihlášení, s jakým účtem, a zda to lze vysledovat na jednu osobu. Sdílený účet pro správu, který používá celý tým, je pro regulátora nebo nákupčího obtížně posouditelný: pokud se něco pokazí, nelze určit, kdo byl v tu dobu připojen. Vícefaktorové ověřování u přístupu pro správu je mezitím minimem, který se vyžaduje, a mnoho dotazníků chce také vědět, zda jsou relace protokolovány a zda přístup automaticky vyprší po období nečinnosti.
Základní myšlenka v právních předpisech se nazývá princip nejmenšího přístupu: osoba dostane práva pouze pro to, co potřebuje pro svůj úkol, ne více. Pro instalační firmu nebo správce IT to zní abstraktně, ale v praxi to znamená jednoduchou kontrolu: může elektrikář, který pouze spravuje tiskárny, také přistupovat k finanční agendě? Pokud ne, je to již náznak na to, že řízení přístupu je v pořádku.
Přístup k systémům zákazníka: proč se to vyptává odděleně
Když se poskytovatel služeb ICT přihlašuje přímo k systémům zákazníka, vzniká další vrstva. Zákazník pak chce vědět nejen to, jak poskytovatel svůj vlastní přístup zabezpečuje, ale také jak se zabrání tomu, aby se účet poskytovatele nestal vstupem do zbytku sítě zákazníka. Dotazníky se proto často ptají zvlášť na segmentaci: je přístup omezen na systém, pro který je určen, nebo může technik z toho jednoho účtu také přistupovat k ostatním součástem.
To je přesně důvod, proč příjemcové toto téma zpracovávají přednostně před obecnějšími otázkami. Organizace s povinností péče musí posoudit své dodavatele, a přístup k jejich vlastním systémům je nejkonkrétněji identifikovatelné riziko, které mohou určit. Kdo zde jako dodavatel již má jasnou odpověď – kdo se může přihlásit, s jakými právy a jak se to periodicky přezkoumává – ušetří si řadu dalších otázek. pro každé téma rozepsáno, co opatření přesně znamená poskytuje tam výchozí bod.
Subdodavatelé: stejná otázka, jeden článek dále v řetězci
Jakmile subdodavatel pracuje na úkolu, otázka se neposune pryč, ale jeden článek dále v řetězci. Zákazník, který posuzuje řízení přístupu poskytovatele, chce také vědět, zda má poskytovatel svou vlastní kontrolu nad přístupem svých vlastních subdodavatelů. Je účet pro subdodavatele vytvořen zvlášť a zrušen, jakmile je úkol hotov, nebo zůstane přístup mlčky existovat? Druhá varianta je jedním z nejčastějších zjištění při prověřování řízení přístupu: účty, které byly kdysi potřebné, ale nikdy nebyly vyčištěny.
Praktická dohoda proto spočívá v tom, že přístup je vázán na dobu trvání zakázky a že existuje určitý vlastník odpovědný za jeho zrušení. Kdo to dokáže uvést — jménem osoby, nikoli funkcí v obecném slova smyslu — poskytuje dotazníku konkrétnější odpověď než pouze popis politik.
Co to znamená pro váš vlastní spis
Správa přístupu není opatření, které nastavíte jednou a pak necháte ležet; jedná se o registr, který musí být veden vždy, když se změní role, zákazníci nebo subdodavatelé. Pro ty, kdo si ještě musí ujasnil, zda je to relevantní jako povinnost v rámci jejich sektoru nebo dodavatelského řetězce, poskytuje kontrola v několika otázkách první indikaci o tom, kde se organizace nachází. Kdo již ví, že dotazníky budou nadále přicházet, může na základě nejčastěji kladených otázek o tom, co se přesně požaduje dále rozvinout přehled o své situaci.
Jádro zůstává jednoduché zapamatování si, i bez právního základu: Umíte v každém okamžiku říci, kdo má přístup k jakému systému, proč a od kdy? Kdo má tuto odpověď připravenou, je na správné cestě pro většinu dotazníků. Kdo si to ještě musí ujasnil, může si pomocí bezplatného rychlého skenování na secria.eu vytvořit první přehled o tom, kde začít.