Kuka pääsee minne: pääsynhallinnan ydin
Pääsynhallinta vastaa yhteen kysymykseen: kuka pääsee mihin järjestelmään ja miksi juuri tämä henkilö eikä joku toinen. NIS2-huolellisesti-vaatimuksessa tämä on yksi toimenpiteistä, joita organisaation on voitava osoittaa, ja käytännössä se on myös toimenpide, johon tietoturvakysely kaavakkeet kysyvät eniten ja eniten. Tämä ei ole sattumaa: hyökkääjä, joka kerran pääsee sisään, etsii tilejä, joilla on liian paljon oikeuksia, ja pääsynhallinta on juuri se toimenpide, joka rajoittaa sitä.
ICT-palvelun tarjoajalle tämä palautuu kolmeen muotoon: omien ja asiakkaiden järjestelmien etähallinta, suora pääsy asiakkaiden järjestelmiin sekä alihankkijoiden rooli, jotka joskus tarvitsevat itse pääsyä. Jokainen muoto herättää hieman erilaisen kysymyksen, ja tilaaja, joka lähettää kyselykaavakkeen, haluaa vastauksen kaikkiin kolmeen.
Etähallinta: ensimmäinen paikka, johon kysely osuu
Etähallinnassa ei ole kyse vain siitä, onko salasana tarpeen, vaan siitä, kuka saa kirjautua sisään, millä tilillä, ja voidaanko se jäljittää yksittäiseen henkilöön. Jaettu hallintaili, jota koko tiimi käyttää, on vaikea arvioida valvojalle tai tilaajalle: jos jokin menee pieleen, ei voida määrittää, kuka oli siellä sillä hetkellä. Monitekijäinen todentaminen hallintapääsyyn on nyt vähintään, mitä pyydetään, ja monet kyselykaavakkeet haluavat myös tietää, kirjautuvatko istunnot lokiin ja umpeutuuko pääsy automaattisesti inaktiivisuuden jälkeen.
Taustalla oleva ajattelutapa säännöksistä kutsutaan vähimmäispääsyn periaatteeksi: joku saa oikeuksia vain siihen, mitä hänen tehtäväänsä varten tarvitaan, ei enempää. Asennusyritykselle tai IT-ylläpidolle se kuulostaa abstraktilta, mutta käytännössä se tarkoittaa yksinkertaista tarkistusta: voiko teknikko, joka vain huoltaa tulostimia, käyttää myös taloushallintopalveluja? Jos ei, se on jo osoitus siitä, että pääsynhallinta on kunnossa.
Pääsy asiakkaiden järjestelmiin: miksi tämä kysytään erikseen
Kun ICT-palvelun tarjoaja kirjautuu suoraan asiakkaan järjestelmiin, syntyy ylimääräinen kerros. Asiakas haluaa siis tietää paitsi sitä, miten palveluntarjoaja suojaa omaa pääsyään, myös sen, miten estetään, että palveluntarjoajan tili muodostuu portin asiakkaan verkon muuhun osaan. Kyselykaavakkeet kysyvät siksi usein erikseen segmentoinnista: rajoittuuko pääsy siihen järjestelmään, johon se on tarkoitettu, vai voiko teknikko kirjautua samalta tililtä myös muihin osiin.
Tämä on juuri syy, miksi vastaanottajat käsittelevät tätä aihetta etusijalla yleisempien kysymysten yli. Huolellisesti-vastuussa oleva organisaatio on arvioitava toimittajiaan, ja pääsy sen omiin järjestelmiin on konkreettisin riski, jonka se voi määrittää. Toimittaja, jolla on tässä jo selkeä vastaus — kuka saa kirjautua, millä oikeuksilla ja miten sitä tarkistetaan säännöllisesti — säästää itselleen useita lisäkysymyksiä. selvitetty aiheittain, mitä toimenpide tarkalleen ottaen tarkoittaa tarjoaa siitä lähtöpisteen.
Alihankkijat: sama kysymys, yksi lenkki kauemmas ketjussa
Heti kun alihankkija osallistuu tehtävään, kysymys ei väisty vaan siirtyy yksi lenkki ketjussa eteenpäin. Asiakas, joka arvioi palveluntarjoajan pääsynhallintaa, haluaa myös tietää, onko palveluntarjoajalla puolestaan hallinta omansa alihankkijoiden pääsystä. Luodaanko tili alihankkijalle erikseen ja poistetaanko se heti kun tehtävä on valmis, vai pysyykö pääsy hiljaa olemassa? Jälkimmäinen on yksi yleisimmistä havainnoista, kun pääsynhallintaa tutkitaan tarkemmin: tilit, jotka kerran olivat tarpeen, mutta joita ei koskaan siivottu.
Käytännöllinen sopimus on siis, että pääsy sidotaan tehtävän kestoon ja että sillä on kiinteä omistaja, joka on vastuussa sen peruuttamisesta. Kuka osaa osoittaa sen — nimen, ei tehtävää yleisessä merkityksessä — antaa kyselylomakkeelle konkreettisemman vastauksen kuin pelkkä politiikan kuvaus.
Mitä tämä tarkoittaa omassa dossiereissanne
Pääsynhallinta ei ole toimenpide, jonka määrität kerran ja jätät sitten huolimatta; se on rekisteri, jota on ylläpidettävä aina kun roolit, asiakkaat tai alihankkijat muuttuvat. Niille, joiden on vielä selvitettävä, onko tämä alan- vai toimitusketjuvelvoitteen kannalta relevanttia, antaa muutaman kysymyksen tarkistus ensimmäisen käsityksen siitä, missä organisaatio on. Jotka jo tietävät, että kyselylomakkeet jatkuvat tulemaan, voivat useimmiten kysyttyjen kysymysten avulla siitä, mitä tarkalleen ottaen kysytään tarkentaa omaa tilannettaan.
Ydinkysymys on yksinkertainen muistaa, myös ilman oikeudellista taustaa: voitteko kertoa joka hetki, kenellä on pääsy mihin järjestelmään, miksi ja kuinka kauan sitten? Jotka hallitsevat tuon vastauksen, ovat useimmissa kyselylomakkeissa jo pitkällä. Jotka ovat vielä selvittämässä, voivat ilmaisen pika-analyysin avulla secria.eu:ssa saada ensimmäisen kuvan siitä, mistä aloittaa.