Vem får tillgång till vad: kärnan i åtkomstkontrollen
Åtkomstkontroll besvarar en fråga: vem har tillgång till vilket system, och varför just denna person och inte någon annan. I NIS2-skyldigheten att vidta åtgärder är detta en av de åtgärder som en organisation måste kunna visa upp, och i praktiken är det också den åtgärd som säkerhetsfrågelistor oftast och skarpast ställer frågor om. Det är ingen slump: en angripare som väl är inne letar efter konton med för många rättigheter, och åtkomstkontroll är precis den åtgärd som begränsar det.
För en IKT-tjänsteleverantör återkommer detta i tre former: fjärrhantering av egna och kundsystem, direktåtkomst till kundens system, och rollen som underleverantörer som ibland också behöver åtkomst. Varje form väcker en något annan fråga, och en mottagare som skickar frågelistan vill ha ett svar på alla tre.
Fjärrhantering: det första frågelistan landar på
Vid fjärrhantering handlar det inte bara om frågan om det behövs ett lösenord, utan om vem som exakt får logga in, med vilket konto, och om det kan spåras till en person. Ett delat administrativa konto som används av hela teamet är svårt för en tillsynsmyndighet eller mottagare att bedöma: om något går fel är det inte möjligt att fastställa vem som var inne vid den tidpunkten. Multifaktorautentisering på administrativ åtkomst är nu det minimum som efterfrågas, och många frågelistor vill också veta om sessioner loggas och om åtkomsten automatiskt upphör efter en period av inaktivitet.
Den bakomliggande tanken kallas i förordningen principen om minsta behörighetsomfattning: en person får endast rättigheter för vad som är nödvändigt för sin uppgift, inte mer. För ett installationsföretag eller en IT-administratör låter det abstrakt, men i praktiken handlar det om en enkel kontroll: kan en montör som bara underhåller skrivare också komma åt den ekonomiska förvaltningen? Om inte, är det redan en indikation på att åtkomstkontrollen fungerar.
Åtkomst till kundsystem: varför detta efterfrågas separat
När en IKT-tjänsteleverantör direkt loggar in på kundens system uppstår ett extra lager. Kunden vill då inte bara veta hur tjänsteleverantören säkrar sin egen åtkomst, utan också hur man förhindrar att ett konto från tjänsteleverantören blir en ingång till resten av kundnätverket. Frågelistor frågar därför ofta särskilt om segmentering: är åtkomsten begränsad till det system som den är avsedd för, eller kan en tekniker från det ena kontot också nå andra delar.
Det är precis anledningen till att mottagare behandlar detta ämne med företräde framför mer allmänna frågor. En organisation med cyberskyddsskyldighet måste bedöma sina leverantörer, och åtkomst till hennes egna system är det mest konkreta risken som hon kan peka på. Den som redan här som leverantör har ett klart svar — vem får logga in, med vilken rättighet, och hur granskas det regelbundet — sparar sig ett antal följdfrågor. utredd för varje ämne vad en åtgärd exakt innebär ger ett utgångspunkt för det.
Underleverantörer: samma fråga, en länk längre fram i kedjan
Så snart en underleverantör medverkar i en uppgift förskjuts frågan inte bort utan en länk längre fram i kedjan. En kund som bedömer åtkomstkontrollen för tjänsteleverantören vill också veta om tjänsteleverantören i sin tur kontrollerar åtkomsten för sina egna underleverantörer. Skapas ett konto för en underleverantör separat och återkallas så snart uppgiften är klar, eller kvarstår den åtkomsten tyst? Det senare är ett av de vanligaste fynd när åtkomstkontrollen granskas: konton som en gång var nödvändiga, men aldrig rensades.
En praktisk överenskommelse är därför att åtkomst kopplas till uppdragens löpande tid, och att det finns en bestämd ägare som är ansvarig för att återkalla den. Den som kan peka ut detta — ett namn, ingen tjänst i allmän mening — ger en enkät ett mer konkret svar än en endast policybeskrivning.
Vad detta betyder för er eget dossier
Åtkomsthantering är inte en åtgärd som du ställer in en gång och sedan låter ligga; det är ett register som måste upprätthållas när roller, kunder eller underleverantörer ändras. För den som ännu måste utreda om detta är relevant som sektor- eller kedjeförpliktelse ger kontrollen i ett par frågor en första indikation på var en organisation befinner sig. Den som redan vet att enkäterna fortsätter att komma kan med de vanligaste frågorna om vad som exakt efterfrågas fördjupa sin egen situation ytterligare.
Kärnan förblir enkel att komma ihåg, även utan juridisk bakgrund: kan ni när som helst säga vem som har åtkomst till vilket system, varför och sedan när? Den som har detta svar redo är redan långt fram för de flesta enkäter. Den som ännu måste utreda detta kan med den kostnadsfria snabbsökningen på secria.eu få en första bild av var man ska börja.