Kto smie kde: jadro riadenia prístupu
Riadenie prístupu odpovedá na jednu otázku: kto má prístup ku ktorému systému a prečo práve táto osoba a nie niekto iný. V rámci povinnosti starostlivosti podľa NIS2 je to jedna z opatrení, ktoré musí organizácia vedieť preukázať, a v praxi je to aj opatrenie, na ktoré dotazníky na kybernetickú bezpečnosť najčastejšie a najostrejšie kladú otázky. To nie je náhoda: útočník, ktorý sa raz dostane dovnútra, hľadá účty s príliš vysokými právami, a riadenie prístupu je práve opatrenie, ktoré to obmedzuje.
Pre poskytovateľa služieb ICT sa to objavuje v troch formách: vzdialená správa vlastných a zákazníckych systémov, priamy prístup k systémom zákazníka a úloha subdodávateľov, ktorí niekedy potrebujú aj sami prístup. Každá forma vzbudzuje trochu inú otázku, a odberateľ, ktorý posiela dotazník, chce odpoveď na všetky tri.
Vzdialená správa: prvá vec, na ktorú dotazník dopadá
Pri vzdialenej správe nejde len o otázku, či je potrebné heslo, ale o to, kto presne smie prihlásiť, s ktorým účtom a či sa to dá vysledovať na jednu osobu. Zdieľaný účet na správu, ktorý používa celý tím, je pre regulačný orgán alebo odberateľa ťažko posudzovateľný: ak sa niečo pokazí, nie je možné zistiť, kto bol v tom čase pripojený. Multifaktorová autentifikácia pri správcovskom prístupe je medzitým minimum, o ktoré sa žiada, a mnohé dotazníky chcú vedieť aj to, či sú relácie zaznamenávané a či prístup automaticky vypršiava po období nečinnosti.
Základná myšlienka sa v predpisoch nazýva princíp minimálneho prístupu: osoba dostane iba práva, ktoré potrebuje pre svoju úlohu, nie viac. Pre inštalačnú firmu alebo IT správcu to môže znieť abstraktne, ale v praxi to znamená jednoduchou kontrolu: môže technician, ktorý sa stará len o tlačiarne, pristúpiť aj k finančnej účtovníctvu? Ak nie, potom je to už náznak toho, že riadenie prístupu je v poriadku.
Prístup k zákazníckym systémom: prečo sa to posudzuje osobitne
Keď sa poskytovateľ služieb ICT priamo prihlasuje do systémov zákazníka, vzniká dodatočná vrstva. Zákazník potom chce vedieť nielen to, ako poskytovateľ služieb zabezpečuje svoj vlastný prístup, ale aj to, ako sa zabráni tomu, aby sa účet poskytovateľa stal vstupom do zvyšku zákazníkovej siete. Dotazníky preto často osobitne pýtajú na segmentáciu: je prístup obmedzený na systém, na ktorý je určený, alebo môže technik z toho jediného účtu pristúpiť aj k iným častiam.
Toto je presne dôvod, prečo obeňujúce organizácie túto tému spracúvajú s prednosťou pred všeobecnejšími otázkami. Organizácia s povinnosťou starostlivosti musí posudzovať svojich dodávateľov, a prístup k jej vlastným systémom je najkonkrétnejšie riziko, ktoré môže určiť. Poskytovateľ, ktorý tu ako dodávateľ už má jasnú odpoveď — kto smie prihlásiť, s akým právom a ako sa to periodicky prehodnocuje — ušetrí si niekoľko ďalších otázok. skúmal pre každý predmet, čo opatrenie presne znamená poskytuje tam počiatočný bod.
Subdodávatelia: tá istá otázka, o jedno spojenie ďalej v reťazci
Akonáhle sa subdodávateľ podieľa na úlohe, otázka sa neposúva preč, ale o jedno spojenie ďalej v reťazci. Zákazník, ktorý posudzuje riadenie prístupu poskytovateľa, chce vedieť aj to, či má poskytovateľ sám kontrolu nad prístupom svojich subdodávateľov. Je účet pre subdodávateľa vytvorený osobitne a stiahnutý, akonáhle je úloha hotová, alebo zostane tento prístup mlčky existovať? Toto druhé je jeden z najčastejších zistení, keď sa riadenie prístupu kontroluje: účty, ktoré boli kedysi potrebné, ale nikdy sa nevyčistili.
Praktickou dohodou je teda také to, že prístup je viazaný na trvanie úlohy a že existuje pevný vlastník zodpovedný za jeho zrušenie. Kto to vie preukázať — meno, nie funkcia vo všeobecnom zmysle — dá zoznamu otázok konkrétnejšiu odpoveď ako opis len politiky.
Čo to znamená pre váš vlastný spis
Riadenie prístupu nie je opatrenie, ktoré nastavíte raz a potom necháte ležať; je to register, ktorý sa musí viesť vždy, keď sa zmenia role, zákazníci alebo subdodávatelia. Pre tých, ktorí ещte musia zistiť, či je to ako sektorová alebo povinnosť v dodávateľskom reťazci relevantné, ponúka kontrola v niekoľkých otázkach prvú indikáciu toho, kde sa organizácia nachádza. Kto už vie, že zoznamy otázok budú naďalej prichádzať, môže si s pomocou najčastejšie kladeným otázky o tom, čo sa presne pýta vyjasniť vlastnú situáciu ďalej.
Jadro zostáva jednoduché na zapamätanie, aj bez právneho pozadia: Viete kedykoľvek povedať, kto má prístup ku ktorému systému, prečo a od kedy? Kto má túto odpoveď pripravenú, je už na väčšinu zoznamov otázok dlhý kúsok. Kto to ešte musí zistiť, môže si s bezplatným rýchlym skenom na secria.eu urobiť prvú predstavu o tom, kde začať.