Liitujad, liikujad ja lahkujad: hoidke juurdepääs vastutuse all

Juurdepääsumuudatused on nii koordineerimis- kui ka tehniline probleem. Identiteediplatvorm ei saa eemaldada töövõtja kontot, kui keegi ei teata omanikule, et leping on lõppenud. Samamoodi ei tõenda personaliosakonna õigeaegne teade, et kõik rakendused on lõpetanud selle inimese mandaatide aktsepteerimise.

Liitujad, liikujad ja lahkujad vajavad protsessi, mis seob äritegevuse sündmuse kinnitatud juurdepääsuolekuga, viib läbi vajalikud muudatused ja kontrollib tulemust. Tehnilise juhtimise vaatenurgast ei ole oluline küsimus see, kas lahkumise kontrollnimekiri on olemas. Küsimus on selles, kas protsess hõlmab süsteeme, mida inimesed tegelikult kasutavad, käsitleb tõrkeid ja jätab tõendid selle kohta, mis ja millal muutus.

Määratlege elutsükkel ja selle üleandmised

Käsitlege iga elutsükli sündmust inimese volitatud juurdepääsu muudatusena, mitte lihtsalt piletina konto loomiseks või keelamiseks. Sündmuse kirje peaks tuvastama isiku, töö- või lepingusuhte oleku, juhi või sponsori, jõustumise kuupäeva ja kellaaja ning mõjutatud rolli. Kasutage püsivat identifikaatorit, selle asemel et tugineda ainult nimedele või e-posti aadressidele.

Töötajatega seotud sündmusi algatab sageli personaliosakond. Töövõtjatega seotud sündmusi võib algatada hanke omanik, projektijuht või sisemine sponsor. Valige iga populatsiooni jaoks autoriteetne allikas ja määratlege, kuidas parandused, tühistatud tööleasumised, lepingu pikendamised ja kiireloomulised lahkumised IT-ni jõuavad.

Eraldage neli vastutusvaldkonda, isegi kui väike meeskond määrab mitu neist samale inimesele:

Nimetage asendajad ja eskaleerimistee. Planeeritud lahkumine ei tohi sõltuda ühe administraatori kättesaadavusest. Tundlike muudatuste puhul pakub sõltumatu ülevaataja kasulikku kontrolli; kui töötajate arv seda ei võimalda, dokumenteerige korraldus ja kasutage hilisemat ülevaatust.

Määratlege iga sündmuse jaoks lõpetamise kriteeriumid. Liituja on valmis, kui kinnitatud juurdepääs ja nõutavad seadmekontrollid on kontrollitud. Liikuja on lõpetatud, kui nii lisamised kui ka eemaldamised on kontrollitud. Lahkuja on lõpetatud, kui juurdepääsuteed on tühistatud ning lahendamata vara-, andme- või mandaadiküsimustel on selged omanikud.

Need on praktilised kontrollimeetmete kujundamise soovitused, mitte universaalsed seadusjärgsed tähtajad. ISO 27001 ISMS-i raames peaksid juurdepääsukontrollid kajastama organisatsiooni ulatust ja riskikäsitlust. Laiemat kontrollimeetmete konteksti vt artiklist ISO 27001 A-lisa praktikas.

Tehke katvus kindlaks enne muudatuste automatiseerimist

Alustage rakenduste inventarist. Salvestage iga süsteemi kohta selle omanik, identiteediallikas, kasutajate loomise meetod, autentimismeetod, toetatud tühistamistoimingud ja kontrollimise meetod. Kaasake nii tsentraalselt hallatavad rakendused kui ka kohalike kontodega rakendused.

Ühekordne sisselogimine ei tähenda tingimata täielikku elutsükli haldust. Rakendus võib autentida identiteedipakkuja kaudu, säilitades samal ajal kohalikke administraatoreid, API-võtmeid, aktiivseid seansse või taastamisvõimalusi. Kasutajate loomise konnektor võib kasutaja keelata ilma kõiki õigusi eemaldamata. Dokumenteerige, mida iga mehhanism tegelikult teeb.

Kaasake need vähem nähtavad juurdepääsuteed:

• Privilegeeritud kontod, mis on inimese igapäevasest kontost eraldi.
• VPN-juurdepääs, sertifikaadid, SSH-võtmed ja kaugtoe tööriistad.
• Isiklikud juurdepääsulubad, API-mandaadid ja rakenduste paroolid.
• Jagatud mandaadid, mida inimene teadis või mida ta sai kätte.
• Külaliskontod, välise koostöö ruumid ja kliendi hallatavad keskkonnad.
• Teenuseidentiteedid, mille omanik või mandaadi hoidja muutub.

Ärge keelake automaatselt iga lahkuva töötajaga seotud teenuseidentiteeti: see võib käitada tootmiskoormust. Selle asemel andke omandiõigus üle, vaadake õigused üle ja vahetage vajaduse korral paljastunud mandaadid. Eesmärk on eemaldada inimese juurdepääs, põhjustamata välditavat katkestust.

Võrrelge inventari perioodiliselt identiteediekspordi, seadmekirjete, ostukirjete ja meeskondade deklaratsioonidega. Ükski üksik allikas ei pruugi kõiki rakendusi esile tuua. Avastatud hallamata rakendused peaksid sisenema elutsükli protsessi, mitte jääma mitteametlikeks eranditeks.

Liitujad: looge kontrollitud lähteolek

Looge rollipõhised baastasemed piiritletud eranditega

Määratlege juurdepääsupaketid vastutusvaldkondade, mitte ainult ametinimetuste järgi. Klienditoe analüütik võib vajada juurdepääsu klientide piletitele, kuid mitte arveldusandmete eksportidele. Tarkvarainsener võib vajada lähtekoodihoidlaid ja arenduskeskkondi, saamata vaikimisi tootmiskeskkonna haldusõigusi.

Igal baastasemel peaks olema omanik, versioon, sellesse kuuluvad rühmad või õigused ja ülevaatuse kuupäev. Salvestage, milline versioon liitujale rakendati. Vastasel juhul muudab hilisem rolliuuendus ajalooliste juurdepääsuotsuste taastamise keeruliseks.

Taotlege lisajuurdepääsu eraldi. Taotlus peaks märkima ärilise eesmärgi, kinnitava süsteemi või andmete omaniku, õiguste taseme ja vajaduse korral aegumise. Vältige olemasoleva töötaja täieliku õiguste komplekti kopeerimist: see võib taastoota kogunenud erandeid ja varasemate rollide privileege.

Valmistage kontod vajaduse korral ette enne tööleasumise kuupäeva, kuid kontrollige aktiveerimist. Tühistatud töölevõtmine peaks käivitama ettevalmistatud kontode, saadetud seadmete ja kutsete koristamise. Töövõtjatel peaks olema sisemine sponsor ning lõpu- või ülevaatuse kuupäev; pikendamine peaks nõudma jaatavat otsust, selle asemel et vaikselt muutuda püsivaks juurdepääsuks.

Kehtestage seadmete ja autentimise baastase

Salvestage seadme identifikaator, määratud isik, üleandmise kuupäev ja haldussüsteemi registreerimine. Kontrollige enne tundliku juurdepääsu andmist asjakohast baastaset: toetatud operatsioonisüsteem, paikade olek, ketta krüpteerimine, ekraanilukk, lõppseadme kaitse ja kinnitatud autentimise seadistus.

Need on riskipõhised rakendusvalikud, mitte väide, et iga organisatsioon peab kasutama identseid seadistusi. Isiklike seadmete puhul määratlege lubatud juurdepääs ja andmekäitlus selgesõnaliselt, selle asemel et käsitleda neid hallatud sülearvutitega samaväärsena.

Kasutage võimaluse korral seadmehaldussüsteemide dateeritud tähelepanekuid. Käsitsi peetav inventar võib siiski olla kasulik, kui see on kooskõlastatud ja tõenditega toetatud; ka reaalajas inventar vajab tähelepanelikku kontrolli, kui seade on lõpetanud andmete saatmise. Säilitage vaatluse ajad, et vana tervet olekut ei peetaks ekslikult praeguseks kindlustundeks.

Kontrollige autentimisse registreerimist ja esialgsete mandaatide kättetoimetamist. Kui teie poliitika nõuab mitmikautentimist, kinnitage, et see on aktiivne enne juurdepääsu algust, selle asemel et salvestada üksnes registreerimiskutse saatmine. Hoidke mandaadid ja taastekoodid elutsükli piletitest eemal.

Liikujad: eemaldage vana roll, mitte ärge ainult lisage uut

Üleviimised on sageli kõige keerulisemad elutsükli sündmused, sest inimene jääb tööle ja tema olemasolev konto töötab edasi. Uus juurdepääs saab tähelepanu, sest puuduvad õigused katkestavad töö. Vana juurdepääs võib püsida ilma ühegi nähtava sümptomita.

Käsitlege liikumist kolme oleku võrdlusena: praegune juurdepääs, kinnitatud uus baastase ja kinnitatud jätkuvad erandid. Tehke kindlaks, millised õigused tuleb lisada, säilitada, vähendada või eemaldada. Kontrollige otseseid määramisi ning rühmi, pesastatud liikmesusi, haldusrolle ja rakenduste kohalikke õigusi.

Eelmine juht peaks aitama tuvastada lõppenud kohustusi. Vastuvõttev juht kinnitab uued ülesanded, samal ajal kui süsteemide või andmete omanikud kinnitavad tundliku juurdepääsu. See takistab uuel juhil kaudselt volitamast säilitatud juurdepääsu teise osakonna teabele.

Üleminekuperiood võib olla õigustatud. Finantsosakonnast lahkuv inimene võib vajada piiratud juurdepääsu üleandmise lõpetamiseks. Salvestage konkreetne õigus, põhjendus, kinnitav omanik ja aegumine. Kui võimalik, asendage lai kirjutusõigus kitsama või ainult lugemisõigusega. Pange aegumine käivitatavasse ülesandesse või süsteemiseadistusse, mitte ainult kommentaari.

Muudatused võivad mõjutada ka seadmeid, jagatud postkaste, andmete omandiõigust ja privilegeeritud ülesandeid. Haldusrolli liikumine ei tohiks igapäevast kontot automaatselt privilegeeritud identiteediks muuta.

Pärast täitmist võrrelge tegelikku juurdepääsukomplekti kavandatud tulemusega. Osakonnavahelise üleviimise korral võib uue rolli andmine olla lihtne. Oluline kontroll on see, kas vana finants-, kliendi- või haldusjuurdepääs on alles. Liikujate valim, mis kontrollib ainult uut juurdepääsu loomist, jätab selle riski kahe silma vahele.

Lahkujad: koordineerige õiguste tühistamist, vara ja äritegevuse järjepidevust

Määrake ajastus vastavalt riskile ja asjaoludele

Salvestage tühistamise jõustumisaeg koos ajavööndiga. „Viimane päev“ on hajutatud meeskondade ja ajastatud automaatika jaoks liiga mitmetähenduslik. Eristage planeeritud lahkumist kiireloomulisest töösuhte lõpetamisest, kahtlustatavast kompromiteerimisest või ootamatust äraolekust, mis nõuab ajutist peatamist.

Leppige ajastus kokku personaliosakonna ja asjakohase juhtkonnaga. Piirake töösuhte lõpetamise tundlikud üksikasjad nendele, kes neid vajavad, tagades samal ajal, et täitjad saavad tegutsemiseks piisavalt teavet. Kõrge riskiga lahkumised võivad nõuda koordineeritud kohest tegutsemist; tavapärased lahkumised võivad võimaldada planeeritud üleandmist enne juurdepääsu lõppemist.

Ärge laske andmete üleandmisel või seadme saatmisel tühistamist edasi lükata. Neil tegevustel võivad olla eraldi lõpetamise kuupäevad ja omanikud. Kui käivitaja saabub hilja, salvestage kavandatud piiraeg, tegelik täitmine ja kokkupuute vahemik, selle asemel et muuta pabereid nii, et sündmus näiks õigeaegne.

Sulgege kõik asjakohased juurdepääsuteed

Keelake esmane identiteet ja viige läbi inventaris märgitud rakendusepõhised toimingud. Käsitlege vastavalt vajadusele aktiivseid seansse, värskenduslube, kohalikke kontosid, privilegeeritud kontosid, kaugjuurdepääsu, sertifikaate ja isiklikke mandaate. Keskse konto keelamine ei tõenda, et iga olemasolev seanss või sõltumatult väljastatud mandaat on muutunud kasutuskõlbmatuks.

Vahetage jagatud saladused, millele inimesel oli juurdepääs, vastavalt riskile ja kontrollige, et vahetamine ei häiriks sõltuvaid süsteeme. Eemaldage taastamismeetodid või delegeeritud õigused, mis võiksid juurdepääsu taastada. Kui kaasatud on kliendi või tarnija keskkonnad, taotlege tühistamist nende omanikult ja säilitage kinnitus.

Salvestage üksikud tulemused. Konnektori ajalõpp ei ole edukas sulgemine lihtsalt sellepärast, et üldine töö lõppes. Suunake tõrked nimelisele lahendajale, kasutage kinnitatud varulahendust ja kontrollige lõplikku olekut. Kiireloomuline lahendamata juurdepääs peaks sisenema turvaintsidentide eskaleerimisprotsessi.

Taastage seadmed, eeldamata, et kaugkäsud õnnestusid

Jälgige iga määratud vara tagastamist, kontrollimist ja kinnitatud lähtestamist või utiliseerimist. Kaugtöötajate puhul salvestage saatmiskorraldus ja lahendamata hoidmisküsimused. Eemaldage füüsiline juurdepääs ja võtke vajaduse korral tagasi turvavõtmed või võtmed.

Kui tagastamine viibib, kasutage olemasolevaid lukustamis- või kustutamiskontrolle vastavalt poliitikale ja riskile. Eristage käsu väljastamist sellest, et seade käsu kinnitab ja selle lõpule viib. Võrguühenduseta sülearvuti ei pruugi käsku kätte saada. Hinnake jääkriski krüpteerimise oleku, kohalike mandaatide, vahemällu salvestatud andmete ja olemasolevate võrgupiirangute põhjal, selle asemel et käsitleda olekut „kustutamine järjekorras“ kustutamise tõendina.

Säilitage vajalikud andmed ja vabastage litsentsid

Määrake järglane äridokumentidele, koodihoidlatele, jagatud töövoogudele ja teenuste omandiõigusele. Kasutage volitatud halduslikke üleandmismehhanisme, selle asemel et paluda kellelgi endist töötajat kehastada. Piirake postkasti või failide juurdepääsu ulatust, salvestage eesmärk ja piirake inimeste ringi, kes selle saavad.

Eristage juurdepääsu tühistamist, litsentside vabastamist, säilitamist ja kustutamist. Litsentsi eemaldamine võib eri rakendustes andmete kättesaadavust erinevalt mõjutada. Kontrollige enne pöördumatut koristamist säilitamisnõudeid ja võimalikku õiguslikku säilitamiskohustust.

Isikuandmete puhul kehtestab GDPR-i artikkel 5 säilitamise piiramise põhimõtte; see ei loo ühtset universaalset töötajakontode kustutamise tähtaega. Määratlege põhjendatud säilitusajad ja koristamise vastutus. Artikkel 32 nõuab riskile vastavaid turvameetmeid, seega dokumenteerige lahkumisega seotud kontrollimeetmete põhjendus, selle asemel et käsitleda kontrollnimekirja iseenesest õigusliku vastavusena.

Säilitage tõendid tegeliku muudatuse kohta

Kasulik kirje seob volitatud otsuse täheldatud tulemusega. Säilitage sündmus, kinnitus, mõjutatud süsteemid, täitmise ajad, kontrollimise tulemused ja erandite käsitlemine. Lisage kavandatud jõustumisaeg, et ülevaatajad saaksid hinnata õigeaegsust.

Praktiline tõendipakett sisaldab:

• Püsivat isiku- ja sündmuseidentifikaatorit koos algatava allikaga.
• Kinnitatud baastaset ning kõiki säilitatud või lisaõigusi.
• Süsteemipõhiseid toiminguid, tulemusi, ajatempleid ja asjakohaseid logiviiteid.
• Kontrolli, mis näitab tulemuseks olevat juurdepääsuolekut.
• Vajaduse korral vara, andmete üleandmise ja litsentside tulemusi.
• Ebaõnnestunud toiminguid ja erandeid koos omaniku, tähtaja ja sulgemise tõendiga.

Poliitika näitab kavatsust. Pilet näitab koordineerimist. Rakenduse tulemus või juurdepääsu eksport aitab näidata rakendamist. Ühtki neist ei tohiks teisega asendada. Kuvatõmmised võivad olla kasulikud, kui tugevamaid eksporte ei ole saadaval, kuid lisage piisavalt konteksti süsteemi, subjekti ja vaatlusaja tuvastamiseks.

Kaitske neid kirjeid: need sisaldavad töösuhteteavet ja turvatundlikke üksikasju. Rakendage juurdepääsupiiranguid ja säilitamisgraafikut ning vältige tõenditena paroolide, mittevajalike töösuhte lõpetamise kirjelduste või tervete postkastide kogumist. Ajaloolised kirjed peaksid jääma arusaadavaks ka pärast tegevuskontode kustutamist.

Läbitöötatud näide: üleviimine, millele järgneb lahkumine

Vaatleme illustratiivset ettevõtet, millel on keskne identiteedipakkuja, hallatud sülearvutid ja kohalike õigustega finantsrakendus. Oletame, et töötaja liigub 1. juunil finantstegevuse meeskonnast kliendiedu meeskonda, vajab viie tööpäeva pikkust üleandmisperioodi ja lahkub hiljem 30. septembril. Need kuupäevad ja korraldused on näite eeldused, mitte ettekirjutatud ajastus.

Liikumise puhul salvestab IT praegused õigused. Kliendiedu juurdepääs kinnitatakse, finantsrakenduse kirjutusõigus eemaldatakse jõustumisajal ja piiratud finantsandmete lugemisõigus säilitatakse kuni üleandmisperioodi lõpuni. Finantsrakenduse omanik kinnitab selle erandi. Kuna finantsrakendus haldab kohalikke õigusi, viib selle administraator muudatuse läbi ja kontrollib seda identiteedipakkuja rühmauuendusest eraldi.

Aegumisel selgub kontrollimisel, et kohalik ekspordiõigus on alles. Liikumise kirje jääb avatuks, administraator eemaldab õiguse ja ülevaataja salvestab lõpliku oleku. Õppetund on konkreetne: rollimuudatus õnnestus tsentraalselt, kuid rakenduse õigusmudel nõudis lisatoimingut.

Hilisema lahkumise puhul määrab protsess täpse piiraja, annab äritegevuse failid üle kinnitatud järglasele, keelab identiteedid, tühistab kohaldatavad seansid ja load ning kontrollib finantsrakenduse kontot otse. Sülearvuti ei ole kulleriga veel kohale jõudnud. Selle tagastamine jääb vara erandiks ning ohjeldamismeetmed ja seadme tähelepanekud salvestatakse konto tühistamisest eraldi.

Tulemuseks olevad tõendid näitavad nii edukaid muudatusi kui ka algset eemaldamise tõrget. Tõrke varjamine kaotaks teabe, mida on vaja töövoo parandamiseks.

Testige katvust ja muutke järgmine parendus konkreetseks

Võtke valimisse tegelikke elutsükli sündmusi ja võrrelge neid rakenduste inventariga. Kaasake töövõtjad, privilegeeritud kasutajad, kaugtöötajad, ajutise kattuvusega liikujad ja identiteedipakkujast väljaspool olevad rakendused. Juurdepääsu ülevaatused peaksid samuti uurima, kas praegused õigused vastavad endiselt iga inimese vastutusalale; need täiendavad sündmuspõhiseid muudatusi, mitte ei asenda neid.

Testige nii tõrketeid kui ka tavapärast täitmist: vahele jäänud personalisündmus, ebaõnnestunud konnektor, kättesaamatu administraator, hilinenud seadme tagastamine või tühistatud tööleasumine. Kontrollige, et hoiatused jõuavad lahendajani ning et kordusproovid või käsitsi tehtud toimingud annavad kontrollitavaid tulemusi.

Kasulikud mõõdikud on tühistamise viivitus võrreldes kokkulepitud piirajaga, lahendamist ootavad ebaõnnestunud toimingud, tähtaja ületanud ajutine juurdepääs ja ilma kontrollita suletud sündmused. Määratlege, mida iga mõõdik loeb. Hea keskmine võib varjata ühte pikaajalist privilegeeritud erandit. Kasutage leide rollipõhiste baastasemete, konnektorite käitumise, omandiõiguse ja eskaleerimisreeglite uuendamiseks.

Secani saab toetada ülevaadatavat kontrollimeetmete kirjet, sidudes nõuded süsteemide, omanike, tõendite ja otsustega. Hoidke kontomuudatused tegevuslikes identiteedi- ja seadmesüsteemides; kasutage vastavuse tööruumi ulatuse, üles laaditud tulemuste, erandite ja ülevaatusotsuste säilitamiseks. Inimestest ülevaatajad peaksid enne tehisintellekti abil tehtud tõendijäreldustele tuginemist need üle kontrollima.

Alustage ühest esinduslikust meeskonnast ning hiljutisest liitujast, liikujast ja lahkujast. Jälgige iga sündmust teavitusest kuni süsteemi tegeliku olekuni. Parandage esimene avastatud üleandmise või juurdepääsutee lünk, määrake sellele omanik ja testige see uuesti enne protsessi laiendamist.