Ki mit érhet el: a hozzáférés-irányítás lényege
A hozzáférés-irányítás egy kérdésre válaszol: ki jogosult mely rendszerre, és miért éppen ez a személy és nem valaki más. Az NIS2 gondossági kötelezettség keretében ez az egyik olyan intézkedés, amelyet egy szervezetnek tudnia kell igazolni, és a gyakorlatban ez az intézkedés az, amelyre a biztonsági kérdőívek leggyakrabban és leghatározottabban rákérdeznek. Ez nem véletlen: egy támadó, aki egyszer bekerül a rendszerbe, túl sok joggal rendelkező fiókok után kutat, és a hozzáférés-irányítás pontosan az az intézkedés, amely ezt korlátozza.
Az IKT-szolgáltató számára ez három formában jelenik meg: saját és ügyfélrendszerek távoli felügyelete, közvetlen hozzáférés az ügyfél rendszereibe, valamint az alvállalkozók szerepe, akiknek néha saját hozzáférésre van szükségük. Mindegyik forma egy kicsit más kérdést vet fel, és a kérdőívet küldő megrendelő mindháromra választ szeretne.
Távoli felügyelet: az első hely, ahol a kérdőív csapódik be
A távoli felügyeletnél nem csak az a kérdés, hogy szükséges-e jelszó, hanem hogy ki jogosult pontosan bejelentkezni, mely fiók segítségével, és hogy ez egy személyre vezethető-e vissza. Egy megosztott felügyeleti fiók, amelyet az egész csapat használ, a felügyeleti hatóság vagy a megrendelő számára nehéz megítélni: ha valami nem működik megfelelően, nem lehet megállapítani, hogy ki volt éppen bejelentkezve. A többfaktoros hitelesítés a felügyeleti hozzáféréshez már a minimum, amit kérnek, és sok kérdőív azt is szeretné tudni, hogy naplózódnak-e a munkamenetek, és hogy a hozzáférés automatikusan lejár-e egy inaktivitási időszak után.
Az alapul szolgáló gondolat a szabályozásban a minimális hozzáférés elve: valaki csak azokra a jogokra jogosult, amelyekre feladatához szüksége van, nem többre. Egy szerelő- vagy IT-kezelő cég számára ez elvontnak hangzik, de a gyakorlatban ez egy egyszerű ellenőrzésre fordul: egy olyan szerelő, aki csak nyomtatókat kezel, hozzáférhet-e a pénzügyi adminisztrációhoz? Ha nem, akkor már ez egy jelzés arra, hogy a hozzáférés-irányítás rendjén van.
Hozzáférés az ügyfélrendszerekhez: miért kérdeznek rá erre külön
Ha egy IKT-szolgáltató közvetlenül bejelentkezik az ügyfél rendszereibe, egy további réteg jön létre. Az ügyfél ekkor nemcsak azt szeretné tudni, hogyan védi meg a szolgáltató a saját hozzáférését, hanem azt is, hogyan kerülhető el, hogy a szolgáltató fiókja bejárat legyen az ügyfélhálózat többi részébe. A kérdőívek ezért gyakran külön rákérdeznek a szegmentálásra: a hozzáférés arra a rendszerre korlátozódik-e, amelyre szánták, vagy egy technikus ugyanabból a fiókból a hálózat más részeihez is hozzáférhet-e.
Ez pontosan az oka annak, hogy a megrendelők ezt a témát előnyben részesítik az általánosabb kérdésekkel szemben. Egy gondossági kötelezettsége alá tartozó szervezetnek értékelnie kell szállítóit, és a saját rendszereibe való hozzáférés a legkonkrétabb kockázat, amelyet meg tud jelölni. Aki ebben az esetben szállítóként már világos választ ad — ki jogosult bejelentkezni, milyen joggal, és hogyan vizsgálják felül ezt rendszeres időközönként — megspórol magának egy sor következő kérdést. szakterületenként részletezve azt, amit egy intézkedés pontosan jelent erre egy kiindulópontot ad.
Alvállalkozók: ugyanez a kérdés, egy láncszemmel tovább
Amint egy alvállalkozó közreműködik egy feladatban, a kérdés nem tűnik el, hanem egy láncszemmel továbbáll a láncon. Egy olyan kliens, aki a szolgáltató hozzáférés-irányítását értékeli, azt is szeretné tudni, hogy a szolgáltató saját maga milyen kontrollt gyakorol saját alvállalkozóinak hozzáférésén. Létrehozunk-e egy fiókot az alvállalkozó számára, és visszavonásra kerül-e, amint a feladat befejeződik, vagy a hozzáférés csendesen megmarad? Ez utóbbi az egyik legelterjedtebb megállapítás, amikor a hozzáférés-irányítást végignézik: olyan fiókok, amelyekre valaha szükség volt, de soha nem lettek megtisztítva.
Gyakorlati megállapodás, hogy a hozzáférést az feladat futamidejéhez kötik, és van egy kijelölt tulajdonos, aki a visszavonásért felelős. Aki ezt meg tudja nevezni — egy nevet, nem általános funkciót — konkrétabb választ ad egy kérdőíven, mint a politika leírása egyedül.
Mit jelent ez az Ön saját dosszié számára
A hozzáférés-kezelés nem olyan intézkedés, amelyet egyszer beállítasz és utána magára hagyod; ez egy olyan nyilvántartás, amelyet fenn kell tartani, amikor szerepek, ügyfelek vagy alvállalkozók megváltoznak. Akiknek még ki kell találniuk, hogy ez szektorszintű vagy torodalmi kötelezettségként releváns-e, számára az ellenőrzés néhány kérdésben első jelzést ad arról, hogy egy szervezet hol áll. Akik már tudják, hogy a kérdőívek továbbra is érkeznek, azok a leggyakrabban feltett kérdésekkel azzal kapcsolatban, hogy pontosan mit kérnek saját helyzetüket tovább elemezhetik.
A lényeg egyszerűen megjegyezhető marad, még jogi háttér nélkül is: el tudja-e mondani bármikor, hogy kinek van hozzáférése melyik rendszerhez, miért, és mióta? Akinek erre a válaszra készen áll, az legtöbb kérdőívnél már jó úton van. Akinek ezt még ki kell találnia, az a secria.eu ingyenes gyors felmérésével első képet kaphat arról, hogy hol kell kezdenie.