Cine are voie unde: esența controlului accesului
Controlul accesului răspunde la o singură întrebare: cine are acces la care sistem și de ce exact acea persoană și nu altcineva. În cadrul obligației de diligență din NIS2, aceasta este una dintre măsurile pe care o organizație trebuie să o demonstreze, iar în practică este și măsura la care chestionarele de securitate pun cel mai des și cel mai strict întrebări. Nu este întâmplător: un atacator odată ce a intrat, caută conturi cu prea multe drepturi, iar controlul accesului este exact măsura care limitează asta.
Pentru un furnizor de servicii TIC, aceasta apare în trei forme: administrarea de la distanță a sistemelor proprii și ale clienților, acces direct la sistemele clientului și rolul subcontractanților care uneori au nevoie și ei de acces. Fiecare formă ridică o întrebare ușor diferită, iar un cumparator care trimite chestionarul, dorește răspunsuri la toate trei.
Administrarea de la distanță: primul loc unde aterizează un chestionar
La administrarea de la distanță nu este vorba doar de întrebarea dacă este necesar un parol, ci despre cine exact are voie să se conecteze, cu care cont și dacă asta poate fi atribuit unei singure persoane. Un cont de administrare partajat folosit de întreaga echipă este greu de evaluat pentru un organism de supraveghere sau un cumpărator: dacă ceva merge prost, nu se poate stabili cine era conectat la acel moment. Autentificarea multifactorială pentru accesul de administrare este între timp minimul care se cere, iar multe chestionare vor să știe și dacă sesiunile sunt înregistrate și dacă accesul se termină automat după o perioadă de inactivitate.
Gândul care stă la baza acestui regulament se numește principiul accesului minim: cineva primește drepturi doar pentru ceea ce are nevoie pentru sarcina sa, nu mai mult. Pentru o companie de instalații sau un administrator IT, asta sună abstract, dar în practică se rezumă la o verificare simplă: poate un tehnician care doar întreține imprimante, să acceseze și administratia financiară? Dacă nu, atunci asta este deja o indicație că controlul accesului este în ordine.
Accesul la sistemele clienților: de ce se pun separat întrebări despre asta
Când un furnizor de servicii TIC se conectează direct la sistemele unui client, apare un nivel suplimentar. Clientul atunci nu vrea doar să știe cum furnizorul asigură propriul acces, ci și cum se previne ca un cont al furnizorului să devină o intrare în restul rețelei clientului. Chestionarele pun deci adesea separat întrebări despre segmentare: accesul este limitat la sistemul pentru care este destinat, sau poate un tehnician din acel singur cont să acceseze și alte componente.
Asta este exact motivul pentru care cumparatorii tratează acest subiect prioritar față de întrebări mai generale. O organizație care are obligații de diligență trebuie să evalueze furnizorii săi, iar accesul la propriile sisteme este cel mai concret risc pe care o poate arăta. Cine aici ca furnizor are deja un răspuns clar — cine poate să se conecteze, cu ce drepturi și cum se revizuiește asta periodic — se scutește de o serie de întrebări următoare. pentru fiecare subiect, am scos la lumină ce înseamnă exact o măsură oferă un punct de plecare pentru asta.
Subcontractanți: aceeași întrebare, cu o verigă mai departe în lanț
Imediat ce un subcontractant colaborează la o sarcină, întrebarea nu dispare, ci se mută cu o verigă mai departe în lanț. Un client care evaluează controlul accesului al furnizorului, vrea să știe și dacă acel furnizor la rândul lui are control asupra accesului propriilor subcontractanți. Se crează un cont pentru un subcontractant separat și se revocare imediat ce sarcina se încheie, sau acel acces rămâne tacit în vigoare? Ultimul caz este una dintre cele mai frecvente constatări când se analizează controlul accesului: conturi care au fost odată necesare, dar nu au fost niciodată curățate.
O practică rațională este, prin urmare, ca accesul să fie legat de durata misiunii, iar acolo să existe un proprietar fix responsabil pentru retragerea acestuia. Cel care poate indica acest lucru — un nume, nu o funcție în sens general — oferă unui chestionar un răspuns mai concret decât o descriere a politicii singură.
Ce înseamnă aceasta pentru dosarul dumneavoastră propriu
Controlul accesului nu este o măsură pe care o configurezi o singură dată și apoi o lași deoparte; este un registru care trebuie ținut la zi ori de câte ori se schimbă rolurile, clienții sau subcontractorii. Pentru cei care trebuie să afle dacă aceasta este relevantă ca o obligație de sector sau de lanț, verificarea din câteva întrebări oferă o indicație inițială privind poziția unei organizații. Cei care știu deja că chestionarele vor continua să vină, pot cu întrebările cele mai frecvente cu privire la ceea ce se cere exact să analizeze mai în profunzime propria situație.
Esența rămâne simplă de reținut, chiar și fără cunoștințe juridice: puteți spune în orice moment cine are acces la care sistem, de ce și de când? Cel care are răspunsul gata la îndemână este deja departe pentru majoritatea chestionarelor. Cel care trebuie să afle încă, poate cu analiza rapidă gratuită de pe secria.eu obține o imagine inițială cu privire la unde să înceapă.