zabezpieczenie
przeglądy dostępów
Cykl, który utrzymuje dostęp zgodny z ludźmi: co dzieje się, gdy ktoś przychodzi, zmienia stanowisko lub odchodzi, oraz okresowy przegląd, w którym właściciel każdego systemu podpisuje, kto nadal potrzebuje dostępu.
- co chroni
- przed dostępem, który przeżył stanowisko: odeszli nadal z aktywnym kontem, zmieniający rolę ze wszystkimi starymi prawami
- kto za to odpowiada
- HR i szef IT, z wskazanym właścicielem każdego systemu
- zacznij od
- porównaj listę odejść z HR z aktywnymi kontami i wyłącz różnice
czym jest
Przegląd dostępów to sposób, w jaki dostęp pozostaje dopasowany do ludzi. Ma dwie części. Pierwsza działa przez cały rok: gdy ktoś przychodzi, zmienia stanowisko lub odchodzi, jego dostęp zmienia się odpowiednio. Druga działa w odstępie, który wybierzesz: właściciel każdego systemu patrzy, kto ma dostęp, potwierdza go, a wynik jest podpisany i zachowany.
Pierwsza część zawodzi po cichu. HR zapisuje odejście, a IT nigdy się o nim nie dowiaduje, albo ktoś zmienia zespół i zachowuje wszystkie stare prawa. Comiesięczne porównanie listy z HR z aktywnymi kontami wyłapuje większość. Druga część wyłapuje resztę i zostawia zapis, który pokazuje, że przegląd się odbył.
Poza sektorem finansowym żaden tekst nie podaje liczby dla odstępu. Rozporządzenie wykonawcze dla wymienionych dostawców usług cyfrowych mówi o zaplanowanych odstępach. Wybierz własny, krótszy dla systemów krytycznych i administratorów, i trzymaj się go.
podstawa NIS2 art. 21(2)(i); IR 2024/2690 załącznik 11.2.2(b), 11.2.3 jako punkt odniesienia. Odstęp to Twój wybór.
jak porównanie wyłapuje dostęp, który przeżył stanowisko
- 1lista z HRkto odszedł lub zmienił rolę od ostatniego razu
- 2aktywne kontaeksport z każdego ważnego systemu
- 3porównaniekażde nazwisko, które jest na jednej liście, a na drugiej nie
- 4poprawka i zapiswyłączenie, ograniczenie, pytanie do właściciela i data
co może wyjść z porównania
- odeszli, a konto aktywneotwarte drzwi z nazwiskiem
- zmiana roli, stare prawadostęp, który rósł z każdą nową rolą
- konta bez właścicielanie ma kogo zapytać, więc nie ma kto zatwierdzić
- konta uśpionebez logowania przez ustawiony okres
podstawa praktyka robocza. Żaden tekst prawny tego nie ustala.
przykład
Wyobraź sobie firmę ze 150 osobami, kilkoma systemami biznesowymi i systemem HR, który zapisuje każde odejście.
HR zapisuje odejście i informacja zostaje w HR. Handlowiec, który przeszedł do finansów, nadal otwiera bazę klientów. Raz w roku ktoś klika zatwierdź na liście, której nikt nie czytał, a zapis pokazuje, że nic nie usunięto.
Co miesiąc lista odejść i zmian stanowisk z HR jest porównywana z aktywnymi kontami, a różnice naprawia się w tym samym tygodniu. Każdy system ma wskazanego właściciela, który w ustalonym rytmie potwierdza listę dostępów, a podpisany wynik pokazuje, co usunięto.
To ilustracja, a nie opis prawdziwego przypadku.
co musi robić dla każdego przepisu
| przepis | gdzie | czego wymaga tekst | co musi robić zabezpieczenie |
|---|---|---|---|
| NIS2 | NIS2 art. 21(2)(i) | Bezpieczeństwo zasobów ludzkich, polityki kontroli dostępu i zarządzanie aktywami. | Powiąż dostęp z rekordem w HR: przyjęcie, zmiana stanowiska lub odejście uruchamia zmianę, a ktoś ją kończy. |
| IR 2024/2690 | IR 2024/2690 załącznik 11.2.2(b) | Wymienieni dostawcy usług cyfrowych: zmiana praw przy zakończeniu zatrudnienia lub zmianie stanowiska. | Wyłączaj lub zmieniaj konta w ostatnim dniu pracy albo przy zmianie stanowiska i porównuj listę z HR z aktywnymi kontami. |
| IR 2024/2690 | IR 2024/2690 załącznik 11.2.2(e) | Wymienieni dostawcy usług cyfrowych: rejestr przyznanych praw dostępu. | Prowadź rejestr dostępu dla ważnych systemów, z eksportem dla każdego. |
| IR 2024/2690 | IR 2024/2690 załącznik 11.2.3 | Wymienieni dostawcy usług cyfrowych: przegląd praw dostępu w zaplanowanych odstępach i udokumentowanie wyniku. | Wybierz odstęp, niech właściciel każdego systemu potwierdzi, kto powinien mieć dostęp, i zachowaj podpisany wynik razem z usunięciami. |
| IR 2024/2690 | IR 2024/2690 załącznik 11.5.4 | Wymienieni dostawcy usług cyfrowych: przegląd tożsamości i niezwłoczna dezaktywacja tych, które nie są już potrzebne. | Przeglądaj aktywne konta bez niedawnego logowania i dezaktywuj te, których nikt nie przypisze do siebie. |
| DORA | DORA art. 9(4)(c) | Ograniczenie dostępu fizycznego i logicznego do tego, czego potrzebują zatwierdzone funkcje. | Usuń prawa, które zmiana roli uczyniła zbędnymi, razem z prawami osób, które odeszły. |
| RODO | RODO art. 32(1)(b) | Stała poufność systemów przetwarzania, dobrana do ryzyka. | Systemy z danymi osobowymi przeglądaj częściej niż pozostałe. |
podstawa NIS2 art. 21(2)(i); IR 2024/2690 załącznik 11.2.2(b), 11.2.2(e), 11.2.3, 11.5.4 jako punkt odniesienia; DORA art. 9(4)(c); RODO art. 32(1)(b). To, co zabezpieczenie ma robić, jest praktyką.
na co patrzeć przy wyborze
- Czy odejście zapisane w systemie HR dociera do IT samo, czy ktoś musi pamiętać, żeby je przesłać?
- Czy możesz wyeksportować dla każdego systemu, kto ma dostęp i przez jaką grupę lub rolę?
- Czy właściciel systemu może zatwierdzić albo usunąć dostęp z tej listy bez pomocy IT?
- Czy przegląd zapisuje datę, osobę przeglądającą i to, co usunięto?
- Czy pokazuje ostatnie logowanie, tak by konta uśpione rzucały się w oczy?
- Czy da się ustawić inny odstęp dla systemów krytycznych?
- Czy obejmuje konta gości, dostawców i konta współdzielone, z opiekunem i datą końca?
- Czy coś przypomina właścicielom, którzy nie skończyli, i czy zapis zachowuje ich odpowiedź?
podstawa praktyka robocza. Żaden tekst prawny tego nie ustala.
trzy poziomy, od pierwszego kroku do mocnego
Każdy poziom dodaje coś widocznego. Zatrzymaj się tam, gdzie pozwala na to ryzyko, które akceptujesz.
- start
Porównaj listę odejść z HR z ostatnich sześciu miesięcy z aktywnymi kontami, wyłącz różnice i wskaż właściciela każdego ważnego systemu.
- solidnie
Rób to porównanie co miesiąc, eksportuj dostępy dla każdego ważnego systemu i niech właściciele podpisują przegląd w ustalonym rytmie, z zapisem usunięć.
- mocno
Przeglądaj częściej systemy krytyczne i administratorów, oznaczaj konta bez niedawnego logowania, daj gościom i dostawcom opiekuna i datę końca, a gdy przegląd niczego nie usuwa, zapytaj dlaczego.
podstawa praktyka robocza. Żaden tekst prawny tego nie ustala.
gdzie się psuje
HR wie, a IT nie
Bez comiesięcznego porównania listy odejść z HR z aktywnymi kontami luka zostaje otwarta tak długo, jak długo nikt nie patrzy.
osoby zmieniające stanowisko zachowują wszystkie stare prawa
Ludzie zmieniający rolę gromadzą dostęp. Krok zmiany stanowiska jest pomijany najczęściej, bo nic nie jest wyłączane, gdy nikt nie odchodzi.
przegląd jako przeklikanie
Właściciel, który zatwierdza wszystko, niczego nie przejrzał. Zapisuj, co usunięto, i zapytaj, co to znaczy, gdy odpowiedź brzmi: nic.
właściciele, których nikt nie wskazał
System bez właściciela nie ma kogo zapytać o zatwierdzenie dostępu, więc jego przegląd się nie odbywa. Najpierw wskaż właściciela.
podstawa praktyka robocza. Żaden tekst prawny tego nie ustala.
dowód, który zostawia
| co możesz pokazać | kto jest właścicielem | odświeżanie |
|---|---|---|
| lista odejść z HR porównana z aktywnymi kontami | HR i szef IT | co miesiąc |
| rejestr dostępu: po jednym eksporcie dla każdego ważnego systemu | właściciele systemów | co kwartał |
| podpisany przegląd dostępów z usunięciami | właściciele systemów | co 6 miesięcy, systemy krytyczne co kwartał (Twój wybór) |
| lista kont bez logowania przez ustawiony okres, z decyzją dla każdego | szef IT | co miesiąc |
| eksport gości i dostawców z opiekunem i datą końca | szef IT | co kwartał |
podstawa practice. Częstotliwości to Twój wybór; rozporządzenie wykonawcze mówi o zaplanowanych odstępach.
sprawdź sam
- Dyrektywa (UE) 2022/2555 (NIS2) (EUR-Lex)
- Rozporządzenie wykonawcze Komisji (UE) 2024/2690 (EUR-Lex)
- Rozporządzenie (UE) 2022/2554 (DORA) (EUR-Lex)
- Rozporządzenie (UE) 2016/679 (RODO) (EUR-Lex)
twój następny krok
Porównaj listę osób, które odeszły w ostatnich sześciu miesiącach, z aktywnymi kontami i wyłącz różnice.