Kellel on juurdepääs millele: juurdepääsuõiguse hallamise tuum
Juurdepääsuõiguse haldamine vastab ühele küsimusele: kellel on juurdepääs millisele süsteemile ja just millest tulenevalt see konkreetne isik ja mitte keegi teine. NIS2 hoolsuskohustuse raames on see üks maatreid, mida organisatsioon peab suutma tõendada, ja praktikas on see ka meede, millele küsimustikud kõige sagedamini ja teravamalt vaatavad. See pole juhus: kui ründaja on kord sisse saatnud, otsib ta konte liiga paljude õigustega, ja juurdepääsuõiguse haldamine on täpselt see meede, mis seda piirab.
ICT-teenuse osutaja jaoks ilmneb see kolmel kujul: oma ja kliendi süsteemide kaugelt haldamine, otsene juurdepääs kliendi süsteemidele ja alttöövõtjate roll, kellel on mõnikord samuti juurdepääs vajalik. Iga vorm tekitab pisut teistsuguse küsimuse, ja küsimustiku saatev ostja soovib vastust kõigile kolmele.
Kaugelt haldamine: esimene koht, kus küsimustik maandub
Kaughaldamise puhul käib asi mitte ainult sellest, kas parool on vajalik, vaid sellest, kes täpselt võib sisse logida, millise kontoga ja kas seda saab jäljendada ühe konkreetse isikuni. Ühisehalduskonto, mida kogu meeskond kasutab, on järelvalvajale või ostjale raske hinnata: kui midagi läheb valesti, pole võimalik kindlaks määrata, kes sel hetkel seespool oli. Multifaktor-autentimine haldamisjuurdepääsule on praeguseks miinimum, mida nõutakse, ja paljud küsimustikud tahavad teada ka seda, kas seansid on logitud ja kas juurdepääs lõppeb automaatselt pärast tegevusetupeリód.
Aluseks oleva mõtte nimetatakse regulatsioonis minimaalsete juurdepääsuõiguste printsiibiks: keegi saab õigused ainult selleks, mis on tema ülesande jaoks vajalik, mitte rohkem. Paigaldusettevõtte või IT-halduuri jaoks kõlab see abstraktselt, kuid praktikas tuleb see alla lihtsa kontrollile: kas printereid ainult hooldav tehniku saab juurde ka finantskontorisse? Kui mitte, siis on see juba märk, et juurdepääsuõiguse haldamine on korras.
Juurdepääs kliendi süsteemidele: miks see eraldi küsitakse
Kui ICT-teenuse osutaja logib otse kliendi süsteemidesse sisse, tekib lisanduv kiht. Kliente tahab teada mitte ainult seda, kuidas teenuse osutaja oma juurdepääsu turvab, vaid ka seda, kuidas takistatakse teenuse osutaja kontot sisepääsuga kliendi ülejäänud võrku. Küsimustikud küsivad seetõttu sageli eraldi segmenteerimise kohta: kas juurdepääs on piiratud süsteemiga, milleks see ette nähtud, või saab tehnik sellelt ühelt kontolt ka muude osade juurde.
See on täpselt põhjus, miks ostjad käsitlevad seda teema prioriteediga võrreldes üldisema küsimustega. Hoolsuskohustusega organisatsioon peab hindama oma tarnijaid, ja juurdepääs tema enda süsteemidele on konkreetseim risk, mida ta välja tuua saab. Kes siia tarnijana juba selge vastuse omab — kes võib sisse logida, millise õigusega ja kuidas seda perioodiliselt üle vaadatakse — hoiab endale muud järgimisküsimusi kokku. iga teema kohta välja arvutanud, mida meede täpselt sisaldab annab sellele lähtepunkti.
Alttöövõtjad: sama küsimus, üks lüli kaugemal
Niipea kui alttöövõtja ülesandega kaasa läheb, nihkub küsimus ära, kuid üks lüli edasi ahelas. Klient, kes hindab teenuse osutaja juurdepääsuõiguste hallamist, soovib teada ka seda, kas see teenuse osutaja omakorda kontrollib oma alttöövõtjate juurdepääsu. Kas alttöövõtja konto koostatakse eraldi ja võetakse tagasi niipea kui töö valmis, või jääb see juurdepääs vaikselt alles? Viimane on üks levinumaid leiutisi, kui juurdepääsuõiguse hallamist kontrollitakse: kontod, mis kunagi olid vajalikud, kuid kunagi puhtaks tehtud ei olnud.
Praktiline leppingu näide on siis, et ligipääsu seotakse ülesande kestvusega ja et on määratud alaline omanik, kes vastutab selle ärajuhtimisel. Kes seda suudab kätte näidata — nime, mitte ametinimetus üldises tähenduses — annab küsitlusele konkreetsema vastuse kui pelgalt poliitika kirjeldus.
Mida see tähendab teie omaenda dokumendi jaoks
Ligipääsu kontroll pole meede, mida seadistada üks kord ja siis jätta seisma; see on register, mida tuleb pidada alates hetkest, mil rollid, kliendid või alamöödajad muutuvad. Neile, kes peavad veel välja selgitama, kas see sektori- või tarneahelate kohustusena asjakohane on, annab check paar küsimusega esimese märki organisatsiooni seisundist. Kes teab, et küsitlused jäävad tulema, saab kõige enam esitatud küsimuste kaudu selle kohta, mida täpselt küsitakse oma olukorra edasi analüüsida.
Tuum jääb lihtsalt meelde jäävaks, isegi ilma õiguslikku tausta: kas te suudate igal ajal öelda, kellel on ligipääs millisele süsteemile, miks ja millest saadik? Kes selle vastuse valmis on, on enamike küsitluste jaoks juba poole peal. Kes seda veel välja peab selgitama, saab tasuta kiirdiagnoosiga secria.eu kohta saada esialgse pildi, kust alustada.