Tko smije gdje: bit upravljanja pristupom
Upravljanje pristupom odgovara na jedno pitanje: tko ima pristup kojem sustavu i zašto upravo ta osoba, a ne neka druga. U okviri obveze skrbi prema NIS2 ovo je jedna od mjera koju organizacija mora moći dokazati, a u praksi je to i mjera na koju se upitnici najčešće i najoštrije pitaju. To nije slučajno: napadač koji jednom uđe, traži račune s previše prava, a upravljanje pristupom je upravo mjera koja to ograničava.
Za ICT-pružatelja usluga ovo se javlja u tri oblika: daljinska uprava vlastitih i sustavnih sustava korisnika, izravan pristup sustavima korisnika te uloga podisporučioca koji ponekad trebaju i vlastiti pristup. Svaki oblik postavlja malo drugačitih pitanja, a kupac koji šalje upitnik želi odgovore na sva tri.
Daljinska uprava: prvo mjesto gdje upitnik stiže
Pri daljinskoj upravi ne radi se samo o pitanju trebaju li lozinka, već o tome tko smije logirati se, s kojim računom i je li to moguće pratiti jednoj osobi. Zajednički račun za upravu kojeg koristi cijeli tim teško je procijeniti nadzorniku ili kupcu: ako nešto pođe po zlu, nije moguće utvrditi tko je bio unutar u tom trenutku. Višefaktorska autentifikacija na pristupu upravljanju sada je minimum koji se zahtijeva, a mnogi upitnici žele znati i jesu li sesije zabilježene te je li pristup automatski istekao nakon razdoblja neaktivnosti.
Temeljnu ideju u regulativi zove se načelo minimalnog pristupa: osoba dobiva prava samo za ono što joj treba za svoj posao, ne više. Za instalacijsku radnju ili IT-upravitelja to zvuči apstraktno, ali u praksi se svodi na jednostavnu provjeru: može li tehničar koji održava samo printere pristupiti i financijskoj administraciji? Ako ne, već je to pokazatelj da je upravljanje pristupom u redu.
Pristup sustavima korisnika: zašto se ovo odvojeno pita
Kada se ICT-pružatelj usluga izravno prijavlja na sustavima korisnika, nastaje dodatni sloj. Korisnik tada ne samo želi znati kako pružatelj usluga štiti vlastiti pristup, već i kako se sprječava da račun pružatelja usluga postane ulazna točka u ostatak korisnikove mreže. Upitnici zato često odvojeno pitaju o segmentaciji: je li pristup ograničen na sustav za koji je namijenjen ili tehničar može iz tog jednog računa pristupiti i drugim dijelovima.
To je upravo razlog zašto kupci ovaj predmet obrađuju s prioritetom ispred općenitijih pitanja. Organizacija s obvezom skrbi mora procijeniti svoje dobavljače, a pristup njenim vlastitim sustavima je najkonkretniji rizik koji može naznačiti. Tko ovdje kao dobavljač već ima jasan odgovor — tko smije logirati se, s kojim pravima i kako se to povremeno pregledava — uštedi si nekoliko dodatnih pitanja. razmotreno po temi što mjera upravo znači daje početnu točku za to.
Podisporučioci: isto pitanje, jedna karika dalje
Čim podisporučioc sudjeluje u zadatku, pitanje se ne pomiče već ide jednu karikudalje u lanac. Kupac koji procjenjuje upravljanje pristupom pružatelja usluga želi znati i ima li taj pružatelj usluga nadzor nad pristupom vlastitih podisporučioca. Je li račun za podisporučioca posebno napravljen i povučen čim je zadatak gotov ili pristup ostaje tiho postojati? Potonje je jedno od najčešćih nalaza kada se upravljanje pristupom detaljno proučava: računi koji su bili potrebni, ali nikada nisu očišćeni.
Praktična dogovor je stoga da se pristup vežu za trajanje zadatka i da postoji fiksni vlasnik odgovoran za его oduzimanje. Tko to može navesti — ime, ne funkcija u općem smislu — daje upitniku konkretniji odgovor nego samo opis politike.
Što to znači za vaš vlastiti dossier
Upravljanje pristupom nije mjera koju postavite jednom i zatim ostavite po strani; to je registar koji se mora voditi kad god se uloge, klijenti ili podizvođači promijene. Za one koji još trebaju utvrditi je li ovo relevantno kao obveza pojedinog sektora ili lanca opskrbe, provjera u nekoliko pitanja daje prvu naznaku gdje se organizacija nalazi. Tko već zna da će upitnike i dalje stizati, može s najčešće postavljanim pitanjima o tome što se točno pita dodatno analizirati svoju situaciju.
Jezgra ostaje jednostavna za zapamtiti, čak i bez pravne osnove: možete li u bilo kojem trenutku reći tko ima pristup kojem sustavu, zašto i od kada? Tko ima spreman taj odgovor, je već daleko naprijed za većinu upitnika. Tko to još mora utvrditi, može s besplatnom brzom provjerom na secria.eu dobiti prvu predodžbu gdje početi.