Kurš var piekļūt ko: piekļuves kontroles būtība
Piekļuves kontrole atbild uz vienu jautājumu: kurš var piekļūt kuram sistēmam un kāpēc tieši šis cilvēks, nevis kāds cits. NIS2 aprūpes pienākuma ietvaros tas ir viens no pasākumiem, ko organizācijai jāspēj pierādīt, un praksē tas ir arī pasākums, par kuru drošības jautājumu saraksti visvairāk un visvairāk uzdod jautājumus. Tas nav nejaušība: uzbrucējs, kurš vienu reizi ir iekļuvis sistēmā, meklē kontus ar pārāk daudz tiesību, un piekļuves kontrole ir tieši tas pasākums, kas to ierobežo.
IKT pakalpojumu sniedzējam tas atgriežas trīs formās: attālā pārvaldīšana pašu un klienta sistēmām, tiešā piekļuve klienta sistēmām un apakšuzņēmēju loma, kuriem dažreiz pašiem ir nepieciešama piekļuve. Katra forma rada nedaudz atšķirīgu jautājumu, un tas, kurš nosūta jautājumu sarakstu, vēlas atbildi uz visiem trim.
Attālā pārvaldīšana: pirmais jautājumu saraksta fokusa punkts
Attālajai pārvaldīšanai runa nav tikai par to, vai nepieciešama parole, bet par to, kurš tieši var pierakstīties, ar kādu kontu un vai to var izsekot konkrētai personai. Koplietojams administratora konts, ko izmanto visa komanda, ir grūti novērtējams uzraudzības iestādei vai pasūtītājam: ja kaut kas noiet greizi, nav iespējams noteikt, kurš tajā brīdī bija sistēmā. Daudzfaktoru autentifikācija administratora piekļuvei jau tagad ir minimums, ko pieprasa, un daudzi jautājumu saraksti vēlas arī zināt, vai sesijas tiek reģistrētas un vai piekļuve automātiski beidzas pēc inaktivitātes perioda.
Pamatojošā ideja normatīvajā aktā tiek saukta par minimālās piekļuves principu: persona saņem tikai tās tiesības, kas nepieciešamas viņas uzdevumam, ne vairāk. Instalācijai vai IT pārvaldniekam tas izklausās abstrakti, bet praksē tas nozīmē vienkāršu pārbaudi: vai montieris, kurš tikai apkalpo printerus, var piekļūt arī finanšu administrācijai? Ja nē, tad tas jau ir norāde uz to, ka piekļuves kontrole ir sakārtota.
Piekļuve klienta sistēmām: kāpēc tas tiek uzdots atsevišķi
Kad IKT pakalpojumu sniedzējs tieši pierakstās klienta sistēmās, veidojas papildus slānis. Klients tad vēlas zināt ne tikai to, kā pakalpojumu sniedzējs aizsargā savu piekļuvi, bet arī to, kā tiek novērsta pakalpojumu sniedzēja konta iespēja būt ieeja klinta tīklā. Jautājumu saraksti tāpēc bieži atsevišķi jautā par segmentāciju: vai piekļuve ir ierobežota tikai sistēmai, kurai tā ir paredzēta, vai tehniķis no šī viena konta var piekļūt arī citiem komponentiem.
Tas ir tieši tas iemesls, kāpēc pasūtītāji šo tēmu apstrādā ar prioritāti salīdzinājumā ar vispārīgākiem jautājumiem. Aprūpes pienākumam pakļauta organizācija jānovērtē savi piegādātāji, un piekļuve tās paša sistēmām ir konkrētākais risks, ko tā var norādīt. Ja piegādātājs šeit jau ir spējīgs sniegt skaidru atbildi — kurš var pierakstīties, ar kādu tiesību un kā tas periodiski tiek pārskatīts — tad tas taupa viņam vairākas turpmākas jautājuma rindas. pa tēmām noskaidrots, ko pasākums tieši nozīmē sniedz tam sākumpunktu.
Apakšuzņēmēji: viels un tas pats jautājums, vēl viena ķēdes saite tālāk
Tiklīdz apakšuzņēmējs strādā pie uzdevuma, jautājums nepārvietojas prom, bet vienu saiti tālāk ķēdē. Klients, kurš novērtē pakalpojumu sniedzēja piekļuves kontroli, vēlas arī zināt, vai šis pakalpojumu sniedzējs savukārt kontrolē savu apakšuzņēmēju piekļuvi. Vai apakšuzņēmēja konts tiek izveidots atsevišķi un atcelts, tiklīdz uzdevums ir pabeigts, vai piekļuve klusējoši paliek? Pēdējais ir viens no biežākajiem atradinājumiem, pārbaudot piekļuves kontroli: konti, kas kādreiz bija nepieciešami, bet nekad netika notīrīti.
Praktisku vienošanās rezultātā tāpēc pieeja tiek saistīta ar uzdevuma izpildes laiku, un ir noteikts pastāvīgs īpašnieks, kurš ir atbildīgs par tās atsaukšanu. Tas, kas to var norādīt — vārds, nevis funkcija vispārējā nozīmē — dod jautājumju sarakstam konkrētāku atbildi nekā tikai politikas apraksts.
Ko tas nozīmē jūsu dossierā
Piekļuves kontrole nav pasākums, ko tu iestatītu vienu reizi un tad atstātu novārtā; tas ir reģistrs, kas jāuztur, ja mainās lomas, klienti vai apakšuzņēmēji. Tiem, kuriem vēl jānoskaidro, vai tas kā sektora vai piegādes ķēdes pienākums ir aktuāls, pārbaude ar dažiem jautājumiem dod pirmo norādi par to, kur atrodas organizācija. Tiem, kuri jau zina, ka jautājumju saraksti turpinās pienākt, var ar biežāk uzdotajiem jautājumiem par to, kas tieši tiek jautāts, tālāk analizēt savu situāciju.
Būtība ir vienkārši atcerēties, arī bez juridiskas pamatojuma: vai jūs katrā brīdī varat pateikt, kam ir piekļuve kādai sistēmai, kāpēc un kopš kad? Tas, kam šī atbilde ir gatava, lielākajai daļai jautājumju sarakstu jau ir daudz tālāk. Tas, kam tas vēl jānoskaidro, var ar bezmaksas ātro skenēšanu vietnē secria.eu iegūt pirmo priekšstatu par to, no kurienes sākt.