Kas turi prieigą prie ko: prieigos kontrolės esmė
Prieigos kontrolė atsakyti į vieną klausimą: kas turi prieigą prie kurios sistemos ir kodėl būtent tas žmogus, o ne kitas. Pagal NIS2 atsargumo pareigą tai yra vienas iš priemonių, kurias organizacija turi galėti įrodyti, ir praktikoje tai taip pat priemonė, kurioje saugos klausimynai dažniausiai ir griežčiausia klausia. Tai nėra atsitiktinumas: įsibrovėlis, kuris kartą patekęs į sistemą, ieško sąskaitų su per daug teisių, o prieigos kontrolė yra būtent ta priemonė, kuri tai riboja.
ICT paslaugų teikėjui tai pasireiškia trimis formomis: nuotolinė savo ir kliento sistemų administracija, tiesioginė prieiga prie kliento sistemų ir subrangos tiekėjų vaidmuo, kurie kartais patys taip pat turi turėti prieigą. Kiekviena forma iškelia šiek tiek kitokį klausimą, ir klausimyną siuntęs naudotojas nori atsakymo į visus tris.
Nuotolinė administracija: pirma vieta, kurioje nusileidžia klausimynas
Nuotolėje administracijoje problema yra ne tik ta, ar reikalingas slaptažodis, bet kas tiksliai gali prisijungti, su kuria paskyra ir ar tai gali būti susieta su vienu žmogumi. Bendrintas administratoriaus paskyra, kurią naudoja visas komandas, yra sunkiai vertintina priežiūros institucija arba naudotojui: jei kas nors sueina netaip, neįmanoma nustatyti, kas tuo metu buvo prisijungęs. Daugiafaktorė autentifikacija administracinei prieigai dabar jau yra minimum, kuris reikalautas, ir daugelis klausimynų norėti žinoti, ar seansai registruojami ir ar prieiga automatiškai pasibaigia po neveiklumo periodo.
Pagrindinė taisyklės koncepcija yra vadinama minimalios prieigos principu: žmogus gauna tik tas teises, kurių jam reikia atlikti savo darbą, ne daugiau. Montavimo bendrovei arba IT administratoriui tai skamba abstrakčiai, bet praktikoje tai reiškia paprastą patikrinimą: ar technikas, kuris tik konserwuoja spausdintuvus, gali prieiti prie finansinės administracijos? Jei ne, tai jau yra ženklas, kad prieigos kontrolė yra tvarkoje.
Prieiga prie kliento sistemų: kodėl tai klausiama atskirai
Kai ICT paslaugų teikėjas tiesiogiai prisijungia prie kliento sistemų, atsiranda papildomoji sluoksnio. Klientas tada nori žinoti ne tik, kaip paslaugų teikėjas saugoja savo prieigą, bet ir kaip yra išvengta, kad paslaugų teikėjo paskyra taptu durų įvadu į likusią kliento tinklą. Klausimynai dažnai atskirai klausia apie segmentaciją: ar prieiga yra ribojama tik ta sistema, prie kurios ji skirta, ar technikas iš to vieno paskyro gali pasiekti ir kitas dalies.
Tai yra tiksliai priežastis, kodėl naudotojai šią temą trata prioritetine, palyginti su bendresniais klausimais. Atsargumo pareigą turinčia organizacija turi vertinti savo tiekėjus, o prieiga prie jos sistemų yra konkretžiausias rizika, kurią ji gali nustatyti. Jei tiekėjas čia jau turi aiškų atsakymą — kas gali prisijungti, su kokia teise ir kaip tai periodiškai peržiūrima — tai sutaupai jam kelias papildomas klausimus. nustatyti per temą, ką priemonė tiksliai reiškia pateikia pradžios tašką.
Subrangos tiekėjai: tas pats klausimas, viena grandinės nuoroda toliau
Kai tik subrangos tiekėjas bendradarbiauja atliekant užduotį, klausimas negrįžta atgal, bet perkelia viena nuorodą toliau tiekimo grandinėje. Klientas, kuris vertina paslaugų teikėjo prieigos kontrolę, taip pat nori žinoti, ar tas paslaugų teikėjas savo ruožtu kontroliuoja savo subrangos tiekėjų prieigą. Ar subrangos tiekėjo paskyra sukuriama atskirai ir panaikinama, kai užduotis pabaigta, ar ta prieiga lieka amžinai? Pastarasis variantas yra vienas labiausiai dažnai sutinkamų nustatymo punktų, kai prieigos kontrolė yra tikrinama: paskyros, kurios kartą buvo reikalingos, bet niekada nebuvo išvalytos.
Praktinis susitarimas yra tas, kad prieiga yra susieta su užduoties trukmės laikotarpiu ir yra paskirtas atsakingas savininkas, kuris atsakingas už jos atšaukimą. Kas gali tai nurodyti — vardą, o ne funkciją apskritai — suteikia klausimyną konkretesnį atsakymą nei tik politikos aprašymas.
Ką tai reiškia jūsų bylai
Prieigos kontrolė nėra priemonė, kurią nustatysi vieną kartą ir paliksi; tai registras, kurį reikia tvarkyti, kai keičiasi vaidmenys, klientai arba subrangovai. Tiems, kurie dar turi nustatyti, ar tai yra sektoriaus ar tiekimo grandinės pareiga, yra svarbu patikra keliuose klausimuose duoda pirmą ženklą kurioje vietoje yra organizacija. Tam, kas jau žino, kad klausimynai ir toliau bus siunčiami, gali dažniausiai užduodami klausimai apie tai, ką tiksliai klausiama savo situaciją geriau išanalizuoti.
Esmė išlieka paprasta, kad ją būtų galima atsiminti, net be teisinės žinios: ar galite bet kuriuo metu pasakyti, kas turi prieigą prie kokios sistemos, kodėl ir nuo kada? Kas turi šį atsakymą paruoštą, jau yra žymiai pasistūmęs daugelio klausimynų atžvilgiu. Kam tai dar reikia nustatyti, gali naudoti nemokamą greitąją patikrą programoje secria.eu ir gauti pirmą idėją, nuo kur pradėti.