Kdo ima dostop do česa: jedro nadzora dostopa
Nadzor dostopa odgovara na eno vprašanje: kdo ima dostop do katerega sistema in zakaj prav ta oseba in ne nekdo drug. V obvezi skrbnosti NIS2 je to ena od ukrepov, ki ga mora organizacija moći dokazati, in v praksi je tudi ukrep, na katerega se vprašalniki o kibernetski varnosti najbolj pogosto in najbolj ostro osredotočajo. To ni naključje: napadalec, ki enkrat vstopi, išče račune s preveč pravicami, in nadzor dostopa je prav ukrep, ki to omejuje.
Za ponudnika storitev IKT se to pojavlja v treh oblikah: upravljanje na daljavo lastnih in strank-ovih sistemov, neposreden dostop do strank-ovih sistemov in vloga podizvajalcev, ki včasih tudi sami potrebujejo dostop. Vsaka oblika postavlja nekoliko drugačno vprašanje, in kupec, ki pošlje vprašalnik, želi odgovor na vsa tri.
Upravljanje na daljavo: prvo mesto, kamor se landen vprašalniki
Pri upravljanju na daljavo ne gre samo za vprašanje, ali je potrebno geslo, temveč za to, kdo točno sme prijaviti, s katerim računom in ali je to mogoče slediti eni osebi. Skupni upravljalni račun, ki ga uporablja celotna ekipa, je za nadzornika ali kupca težko oceniti: če kaj ne uspe, ni mogoče ugotoviti, kdo je bil v tem trenutku dostopen. Večfaktorska avtentikacija na upravljalnem dostopu je medtem najmanjše, kar se zahteva, in mnogi vprašalniki želijo tudi vedeti, ali se seje beležijo in ali dostop avtomatično poteče po obdobju nedejavnosti.
Temeljna misel, ki ji v predpisih pravimo načelo najmanjšega dostopa: oseba dobi samo pravice, ki so potrebne za njeno nalogo, nič več. Za instalacijsko podjetje ali upravljavca IKT se to sliši abstraktno, vendar v praksi pomeni preprost pregled: ali tehniker, ki samo vzdržuje tiskalnik, dostopa tudi do finančne administracije? Če ne, je to že nakazilo, da je nadzor dostopa v redu.
Dostop do strank-ovih sistemov: zakaj se to posebej sprašuje
Kadar se ponudnik storitev IKT neposredno prijavi v sisteme stranke, nastane dodatna plast. Stranka nato ne želi le vedeti, kako ponudnik storitev zavaruje svoj dostop, temveč tudi kako preprečiti, da bi se račun ponudnika storitev postal vhod v ostalo strank-ovo omrežje. Vprašalniki se zato pogosto posebej sprašujejo o segmentaciji: je dostop omejen na sistem, za katerega je namenjen, ali lahko tehnolog iz tega enega računa dostopa tudi do drugih delov.
To je prav tista причина, da kupci to temo obravnavajo v prednosti pred splošnejšimi vprašanji. Organizacija z obvezami skrbnosti mora oceniti svoje dobavitelje, in dostop do lastnih sistemov je najbolj konkreten preplah, ki ga lahko opozori. Če je tu dobavitelj že jasno odgovoril — kdo sme biti prijavljen, s katerim pravom in kako se to periodično pregleda — si prihrani več nadaljnih vprašanj. za vsak predmet ugotovljeno, kaj ukrep natančno pomeni podaja tam izhodišče za.
Podizvajalci: isto vprašanje, en člen naprej v verigi
Takoj ko podizvajalec sodeluje pri nalogi, se vprašanje ne umakne, ampak se premakne en člen naprej v verigi. Stranka, ki ocenjuje nadzor dostopa ponudnika storitev, želi tudi vedeti, ali ima ponudnik storitev na svojo stran obvladovanje dostopa lastnih podizvajalcev. Sta se račun za podizvajalca posebej ustvarita in umaknjeta takoj, ko je naloga končana, ali dostop mirno obstane? Slednje je ena od največjih ugotovitev, ko se nadzor dostopa presledi: računi, ki so bili kdaj potrebni, vendar nikoli niso bili očiščeni.
Praktično dogovarjanje je torej, da se dostop veže na trajanje naloge in da obstaja stalni lastnik, odgovoren za preklop. Kdor to lahko nakaže — ime, ne funkcija v splošnem pomenu — daje vprašalniku konkretnejši odgovor kot samo opis politike.
Kaj to pomeni za vaš lasten dosje
Nadzor dostopa ni ukrep, ki ga nastaviš enkrat in ga nato pustíš; je register, ki ga je treba voditi, čim se spremenijo vloge, odjemalci ali podizvajalci. Za tiste, ki še morajo ugotoviti, ali je to kot obveznost po sektorju ali v verigi relevantno, daje preverjanje v nekaj vprašanjih prvi pokazatelj tega, kje se organizacija nahaja. Kdor že ve, da vprašalniki še naprej prihajajo, lahko s pogosto zastavljanimi vprašanji o tem, kaj se pravzaprav vpraša svojo situacijo še naprej analizira.
Jedro ostaja enostavno za zapomniti, tudi brez pravne ozadja: ali lahko v vsakem trenutku navedete, kdo ima dostop do katerega sistema, zakaj in od kdaj? Kdor ima ta odgovor pripravljen, je za večino vprašalnikov že precej napredoval. Kdor pa to še mora ugotoviti, lahko s prostim hitrim pregledom na secria.eu dobi prvi pregled, od kod začeti.