Ποιος επιτρέπεται πού: ο πυρήνας του ελέγχου πρόσβασης
Ο έλεγχος πρόσβασης απαντά σε ένα ερώτημα: ποιος έχει πρόσβαση σε ποιο σύστημα, και γιατί ακριβώς αυτό το άτομο και όχι κάποιο άλλο. Στο πλαίσιο της υποχρέωσης διαχείρισης κινδύνων της NIS2, αυτό είναι ένα από τα μέτρα που πρέπει να μπορεί να αποδείξει ένας οργανισμός, και στην πράξη είναι επίσης το μέτρο για το οποίο τα ερωτηματολόγια ασφαλείας κάνουν τις πιο συχνές και σκληρές ερωτήσεις. Αυτό δεν είναι σύμπτωση: ένας επιτιθέμενος που μόλις μπει μέσα, αναζητά λογαριασμούς με υπερβολικά δικαιώματα, και ο έλεγχος πρόσβασης είναι ακριβώς το μέτρο που το περιορίζει.
Για έναν πάροχο υπηρεσιών ICT, αυτό εμφανίζεται σε τρεις μορφές: διαχείριση εξ αποστάσεως των δικών του και των συστημάτων του πελάτη, άμεση πρόσβαση στα συστήματα του πελάτη, και ο ρόλος των υπεργολάβων που μερικές φορές χρειάζονται και τους ίδιους πρόσβαση. Κάθε μορφή θέτει ένα ελάχιστα διαφορετικό ερώτημα, και ένας αγοραστής που στέλνει το ερωτηματολόγιο θέλει απάντηση και στα τρία.
Διαχείριση εξ αποστάσεως: το πρώτο πράγμα στο οποίο προσγειώνεται ένα ερωτηματολόγιο
Στη διαχείριση εξ αποστάσεως, δεν είναι μόνο το ζήτημα εάν απαιτείται κωδικός πρόσβασης, αλλά ποιος επιτρέπεται ακριβώς να συνδεθεί, με ποιο λογαριασμό, και εάν αυτό μπορεί να εντοπιστεί σε ένα άτομο. Ένας κοινόχρηστος διαχειριστικός λογαριασμός που χρησιμοποιείται από ολόκληρη την ομάδα είναι δύσκολο να αξιολογηθεί από έναν ρυθμιστή ή έναν αγοραστή: εάν κάτι πάει στραβά, δεν είναι δυνατόν να προσδιοριστεί ποιος ήταν εντός εκείνη την στιγμή. Πολυπαραγοντική πιστοποίηση στη διαχειριστική πρόσβαση είναι πλέον το ελάχιστο που ζητείται, και πολλά ερωτηματολόγια θέλουν επίσης να γνωρίζουν εάν τα δεδομένα συνεδρίας καταγράφονται και εάν η πρόσβαση λήγει αυτόματα μετά από περίοδο αδράνειας.
Η υποκείμενη σκέψη στη νομοθεσία λέγεται η αρχή της ελάχιστης απαραίτητης πρόσβασης: κάποιος λαμβάνει δικαιώματα μόνο για αυτό που είναι απαραίτητο για το έργο του, όχι περισσότερα. Για ένα ταχυμεταφορικό γραφείο ή έναν διαχειριστή IT αυτό ακούγεται αφηρημένο, αλλά στην πράξη καταλήγει σε έναν απλό έλεγχο: μπορεί ένας τεχνικός που συντηρεί μόνο εκτυπωτές, να έχει επίσης πρόσβαση στη χρηματοοικονομική διαχείριση; Αν όχι, τότε αυτό είναι ήδη μια ένδειξη ότι ο έλεγχος πρόσβασης είναι σε τάξη.
Πρόσβαση στα συστήματα του πελάτη: γιατί αυτό ερωτάται ξεχωριστά
Όταν ένας πάροχος υπηρεσιών ICT συνδέεται απευθείας στα συστήματα ενός πελάτη, δημιουργείται ένα επιπλέον στρώμα. Ο πελάτης θέλει τότε όχι μόνο να γνωρίζει πώς ο πάροχος υπηρεσιών ασφαλίζει τη δική του πρόσβαση, αλλά και πώς αποφεύγεται ένας λογαριασμός του παρόχου υπηρεσιών να γίνει εισαγωγή στο υπόλοιπο δίκτυο του πελάτη. Τα ερωτηματολόγια ρωτούν επομένως συχνά ξεχωριστά για κατακερματισμό: είναι η πρόσβαση περιορισμένη στο σύστημα για το οποίο προορίζεται, ή μπορεί ένας τεχνικός από αυτόν τον ένα λογαριασμό να έχει επίσης πρόσβαση σε άλλα τμήματα.
Αυτός είναι ακριβώς ο λόγος για τον οποίο οι αγοραστές αντιμετωπίζουν αυτό το θέμα με προτεραιότητα σε σχέση με πιο γενικές ερωτήσεις. Ένας οργανισμός που υπόκειται σε υποχρέωση διαχείρισης κινδύνων πρέπει να αξιολογήσει τους παρόχους υπηρεσιών του, και η πρόσβαση στα δικά του συστήματα είναι ο πιο συγκεκριμένος κίνδυνος που μπορεί να προσδιορίσει. Όποιος εδώ ως πάροχος υπηρεσιών έχει ήδη μια σαφή απάντηση — ποιος επιτρέπεται να συνδεθεί, με ποιο δικαίωμα, και πώς αυτό αναθεωρείται περιοδικά — εξοικονομεί σε τον εαυτό του έναν αριθμό ερωτήσεων συνέχειας. διερευνήθηκε ανά θέμα τι σημαίνει ακριβώς ένα μέτρο παρέχει ένα σημείο εκκίνησης για.
Υπεργολάβοι: το ίδιο ερώτημα, ένας σύνδεσμος παραπάνω
Μόλις ένας υπεργολάβος συμμετέχει σε ένα έργο, το ερώτημα δεν φεύγει αλλά μετατοπίζεται έναν σύνδεσμο παραπάνω στην αλυσίδα. Ένας πελάτης που αξιολογεί τον έλεγχο πρόσβασης του παρόχου υπηρεσιών θέλει επίσης να γνωρίζει εάν αυτός ο πάροχος υπηρεσιών με τη σειρά του έχει έλεγχο της πρόσβασης των δικών του υπεργολάβων. Δημιουργείται ένας λογαριασμός για έναν υπεργολάβο ξεχωριστά και ανακαλείται μόλις ολοκληρωθεί το έργο, ή παραμένει αυτή η πρόσβαση σιωπηρά; Το τελευταίο είναι ένα από τα πιο συνηθισμένα ευρήματα όταν ο έλεγχος πρόσβασης διερευνάται σε βάθος: λογαριασμοί που κάποτε ήταν απαραίτητοι, αλλά δεν καθαρίστηκαν ποτέ.
Μια πρακτική συμφωνία είναι λοιπόν ότι η πρόσβαση συνδέεται με τη διάρκεια του έργου, και ότι υπάρχει ένας σταθερός υπεύθυνος που είναι υπεύθυνος για την ανάκλησή της. Όποιος μπορεί να το υποδείξει — ένα όνομα, όχι μια θέση με γενική έννοια — δίνει σε ένα ερωτηματολόγιο μια πιο συγκεκριμένη απάντηση από μια περιγραφή της πολιτικής μόνο.
Τι σημαίνει αυτό για το δικό σας αρχείο
Ο έλεγχος πρόσβασης δεν είναι ένα μέτρο που ρυθμίζεις μία φορά και μετά το αφήνεις· είναι ένα μητρώο που πρέπει να ενημερώνεται όταν αλλάζουν ρόλοι, πελάτες ή υπεργολάβοι. Για όσους ακόμη πρέπει να διαπιστώσουν αν αυτό είναι σχετικό ως υποχρέωση τομέα ή αλυσίδας εφοδιασμού, ο έλεγχος σε μερικές ερωτήσεις δίνει μια πρώτη ένδειξη του πού βρίσκεται ένας οργανισμός. Όποιος ήδη ξέρει ότι τα ερωτηματολόγια συνεχίζουν να έρχονται, μπορεί με τις πιο συχνές ερωτήσεις σχετικά με το τι ακριβώς ζητείται να αναλύσει περαιτέρω τη δική του κατάσταση.
Το κύριο σημείο παραμένει απλό να θυμάστε, ακόμα και χωρίς νομικό υπόβαθρο: μπορείτε ανά πάσα στιγμή να πείτε ποιος έχει πρόσβαση σε ποιο σύστημα, γιατί, και από πότε; Όποιος έχει αυτήν την απάντηση έτοιμη, είναι ήδη πολύ μπροστά για τα περισσότερα ερωτηματολόγια. Όποιος ακόμη πρέπει να το διαπιστώσει, μπορεί με τη δωρεάν γρήγορη αξιολόγηση στο secria.eu να πάρει μια πρώτη εικόνα του από πού να ξεκινήσει.