Kto ma dostęp dokąd: jądro zarządzania dostępem
Zarządzanie dostępem odpowiada na jedno pytanie: kto ma dostęp do którego systemu i dlaczego dokładnie ta osoba, a nie ktoś inny. W ramach obowiązku staranności NIS2 jest to jeden ze środków, które organizacja musi być w stanie wykazać, a w praktyce jest to również środek, na który listy kontrolne bezpieczeństwa najczęściej i najbardziej wnikliwie zwracają uwagę. To nie przypadek: atakujący, który raz się dostanie do środka, szuka kont z zbyt dużymi uprawnieniami, a zarządzanie dostępem to dokładnie środek, który to ogranicza.
Dla świadczącego usługi ICT przejawia się to w trzech formach: zdalne zarządzanie własnymi i klientami systemami, bezpośredni dostęp do systemów klienta oraz rola podwykonawców, którzy czasami sami potrzebują dostępu. Każda forma rodzi nieco inne pytanie, a nabywca, który wysyła listę kontrolną, chce odpowiedź na wszystkie trzy.
Zarządzanie zdalne: pierwszy temat, na który trafia lista kontrolna
W zarządzaniu zdalnym nie chodzi tylko o pytanie, czy wymagane jest hasło, ale o to, kto dokładnie może się zalogować, na jakim koncie i czy można to przypisać jednej osobie. Wspólne konto administracyjne używane przez cały zespół jest trudne do oceny dla organu nadzorczego lub nabywcy: jeśli coś pójdzie nie tak, nie można ustalić, kto w tym momencie miał dostęp. Uwierzytelnianie wieloskładnikowe na dostępie administracyjnym to dziś minimum, o które się prosi, a wiele list kontrolnych chce również wiedzieć, czy sesje są logowane i czy dostęp automatycznie wygasa po okresie braku aktywności.
Podstawową ideą zawartą w przepisach jest zasada najmniejszych uprawnień: osoba otrzymuje prawa tylko do tego, co jest niezbędne do jej zadania, nic więcej. Dla firmy instalacyjnej lub administratora IT to może brzmieć abstrakcyjnie, ale w praktyce sprowadza się to do prostego sprawdzenia: czy technik, który zajmuje się tylko drukarkami, ma również dostęp do administracji finansowej? Jeśli nie, to już wskazuje, że zarządzanie dostępem jest w porządku.
Dostęp do systemów klienta: dlaczego jest to pytane osobno
Kiedy świadczący usługę ICT loguje się bezpośrednio do systemów klienta, pojawia się dodatkowa warstwa. Klient chce wtedy wiedzieć nie tylko, jak świadczący usługę zabezpiecza własny dostęp, ale także jak zapobiega się temu, aby konto świadczącego usługę stało się wejściem do reszty sieci klienta. Listy kontrolne dlatego często oddzielnie pytają o segmentację: czy dostęp ogranicza się do systemu, do którego jest przeznaczony, czy technik może z tego jednego konta również dostać się do innych części.
To jest dokładnie powód, dla którego nabywcy traktują ten temat z priorytetem w stosunku do pytań bardziej ogólnych. Organizacja zobowiązana do obowiązku staranności musi oceniać swoich dostawców, a dostęp do jej własnych systemów to najbardziej konkretne ryzyko, które może wskazać. Jeśli dostawca już tutaj ma jasną odpowiedź — kto może się zalogować, z jakimi uprawnieniami i jak jest to okresowo przeglądarane — oszczędza sobie szereg pytań uzupełniających. dla każdego tematu zbadane, co środek dokładnie oznacza stanowi punkt wyjścia.
Podwykonawcy: to samo pytanie, jedno ogniwo dalej w łańcuchu
Gdy podwykonawca wspomaga zadanie, pytanie nie znika, ale przesuwa się o jedno ogniwo dalej w łańcuchu. Klient oceniający zarządzanie dostępem dostawcy chce również wiedzieć, czy ten dostawca z kolei ma kontrolę nad dostępem swoich własnych podwykonawców. Czy konto dla podwykonawcy jest tworzone oddzielnie i wycofywane, gdy zadanie się kończy, czy dostęp pozostaje milcząco? To ostatnie jest jednym z najczęściej stwierdzanych ustaleń, gdy zarządzanie dostępem jest badane szczegółowo: konta, które kiedyś były potrzebne, ale nigdy nie zostały usunięte.
Praktyczną umową jest zatem powiązanie dostępu z czasem trwania zadania i wyznaczenie stałego właściciela odpowiedzialnego za jego cofnięcie. Kto potrafi to wskazać — imię i nazwisko, nie stanowisko w ogólnym sensie — udzieli bardziej konkretnej odpowiedzi na pytania niż samo opisanie polityki.
Co to oznacza dla Twojego własnego dossier
Zarządzanie dostępem to nie środek, który się ustawia raz i potem się go zostawia; to rejestr, który musi być prowadzony, gdy tylko zmienią się role, klienci lub podwykonawcy. Dla tych, którzy jeszcze muszą ustalić, czy jest to istotne jako wymóg sektora lub łańcucha dostaw, podaje test w kilku pytaniach wstępne wskazanie tego, gdzie organizacja się znajduje. Ci, którzy już wiedzą, że pytania będą nadchodzić, mogą na podstawie najczęściej zadawanych pytań dotyczących tego, co dokładnie się pyta dalej przeanalizować własną sytuację.
Istota pozostaje prosta do zapamiętania, nawet bez prawniczego tła: czy możesz w każdej chwili powiedzieć, kto ma dostęp do którego systemu, dlaczego i od kiedy? Kto ma tę odpowiedź pod ręką, jest już na bardzo dobrej drodze w przypadku większości pytań. Ci, którzy to jeszcze muszą ustalić, mogą za pomocą bezpłatnego szybkiego skanowania na secria.eu uzyskać wstępny obraz tego, od czego zacząć.