Prihodi, premestitve in odhodi: dostopi naj ostanejo pod nadzorom

Spremembe dostopov so tako usklajevalni kot tehnični problem. Platforma za identitete ne more odstraniti računa zunanjega izvajalca, če lastniku nihče ne sporoči, da se je pogodba končala. Prav tako pravočasno obvestilo kadrovske službe ne dokazuje, da so vse aplikacije prenehale sprejemati poverilnice te osebe.

Prihodi, premestitve in odhodi potrebujejo proces, ki poslovni dogodek poveže z odobrenim stanjem dostopov, izvede potrebne spremembe in preveri rezultat. Z vidika tehničnega vodstva pomembno vprašanje ni, ali obstaja kontrolni seznam za odhod. Vprašanje je, ali proces zajema sisteme, ki jih ljudje dejansko uporabljajo, obravnava napake in pušča dokazila o tem, kaj se je spremenilo in kdaj.

Opredelite življenjski cikel in njegove predaje

Vsak dogodek v življenjskem ciklu obravnavajte kot spremembo pooblaščenega dostopa osebe, ne zgolj kot zahtevek za ustvarjanje ali onemogočanje računa. Zapis dogodka naj opredeljuje osebo, status zaposlitve ali angažmaja, vodjo ali skrbnika, datum in uro začetka veljavnosti ter prizadeto vlogo. Uporabite stabilen identifikator, namesto da bi se zanašali le na imena ali e-poštne naslove.

Dogodke za zaposlene bo pogosto sprožila kadrovska služba. Dogodke za zunanje izvajalce lahko sproži lastnik nabave, vodja projekta ali notranji skrbnik. Za vsako populacijo izberite verodostojen vir in opredelite, kako popravki, preklicani začetki dela, podaljšanja pogodb in nujni odhodi dosežejo IT.

Ločite štiri odgovornosti, tudi kadar majhna ekipa več njih dodeli isti osebi:

Imenujte namestnike in pot eskalacije. Načrtovan odhod ne sme biti odvisen od razpoložljivosti enega samega administratorja. Pri občutljivih spremembah je neodvisen pregledovalec koristno preverjanje; kjer kadrovske zmogljivosti tega ne omogočajo, ureditev dokumentirajte in uporabite naknadni pregled.

Za vsak dogodek opredelite merila zaključka. Prihod je pripravljen, ko sta preverjena odobreni dostop in zahtevane kontrole naprav. Premestitev je zaključena, ko so preverjena tako dodajanja kot odstranitve. Odhod je zaključen, ko so poti dostopa odvzete in imajo nerešena vprašanja glede sredstev, podatkov ali poverilnic izrecne lastnike.

To so praktična priporočila za zasnovo kontrol, ne univerzalni zakonski roki. V okviru ISMS po ISO 27001 morajo kontrole dostopa odražati obseg organizacije in obravnavo tveganj. Za širši kontekst kontrol glejte Dodatek A ISO 27001 v praksi.

Pred avtomatizacijo sprememb ugotovite pokritost

Začnite s popisom aplikacij. Za vsak sistem zabeležite lastnika, vir identitet, način dodeljevanja, način avtentikacije, podprta dejanja odvzema in način preverjanja. Vključite centralno upravljane aplikacije in tiste z lokalnimi računi.

Enotna prijava (SSO) ne pomeni nujno celovitega upravljanja življenjskega cikla. Aplikacija se lahko avtenticira prek ponudnika identitet, hkrati pa vzdržuje lokalne administratorje, ključe API, aktivne seje ali možnosti obnovitve. Povezovalnik za dodeljevanje lahko uporabnika onemogoči, ne da bi odstranil vsa upravičenja. Dokumentirajte, kaj posamezen mehanizem dejansko počne.

Vključite te manj vidne poti dostopa:

• privilegirane račune, ločene od vsakodnevnega računa osebe;
• dostop VPN, certifikate, ključe SSH in orodja za oddaljeno podporo;
• osebne žetone za dostop, poverilnice API in gesla aplikacij;
• skupne poverilnice, ki jih je oseba poznala ali bi jih lahko pridobila;
• račune gostov, zunanje prostore za sodelovanje in okolja, ki jih upravljajo stranke;
• storitvene identitete, katerih lastnik ali skrbnik poverilnic se spreminja.

Ne onemogočite samodejno vsake storitvene identitete, povezane z odhajajočim zaposlenim: lahko poganja produkcijsko delovno obremenitev. Namesto tega prenesite lastništvo, preglejte dovoljenja in po potrebi zamenjajte izpostavljene poverilnice. Cilj je odstraniti dostop osebe, ne da bi povzročili izpad, ki bi se mu lahko izognili.

Popis redno usklajujte z izvozi identitet, zapisi o napravah, zapisi o nabavi in izjavami ekip. Noben posamezen vir ne bo nujno razkril vseh aplikacij. Neupravljane najdbe naj vstopijo v proces življenjskega cikla, namesto da ostanejo neformalne izjeme.

Prihodi: dodelite nadzorovano začetno stanje

Oblikujte osnovne nabore vlog z omejenimi izjemami

Pakete dostopov opredelite glede na odgovornosti, ne le glede na nazive delovnih mest. Analitik podpore morda potrebuje dostop do zahtevkov strank, ne pa izvozov za obračunavanje. Programski inženir morda potrebuje repozitorije izvorne kode in razvojna okolja, ne da bi privzeto dobil upravljanje produkcije.

Vsak osnovni nabor naj ima lastnika, različico, vključene skupine ali upravičenja in datum pregleda. Zabeležite, katera različica je bila uporabljena za novega zaposlenega. Sicer poznejša posodobitev vloge oteži rekonstrukcijo preteklih odločitev o dostopih.

Dodatne dostope zahtevajte ločeno. Zahteva naj navaja poslovni namen, lastnika sistema ali podatkov, ki odobri, raven dovoljenja in po potrebi rok veljavnosti. Izogibajte se kopiranju celotnega nabora dovoljenj obstoječega zaposlenega: tako se lahko ponovijo nakopičene izjeme in privilegiji iz prejšnjih vlog.

Kjer je koristno, račune pripravite pred datumom začetka dela, vendar aktivacijo nadzorujte. Preklicana zaposlitev naj sproži čiščenje pripravljenih računov, odposlanih naprav in povabil. Zunanji izvajalci naj imajo notranjega skrbnika in datum konca ali pregleda; podaljšanja naj zahtevajo izrecno odločitev, namesto da tiho postanejo trajni dostop.

Vzpostavite osnovno raven naprav in avtentikacije

Zabeležite identifikator naprave, dodeljeno osebo, datum predaje in vključitev v upravljanje. Pred dodelitvijo občutljivih dostopov preverite ustrezno osnovno raven: podprt operacijski sistem, stanje popravkov, šifriranje diska, zaklepanje zaslona, zaščito končnih točk in odobreno nastavitev avtentikacije.

To so izvedbene odločitve na podlagi tveganja, ne trditev, da mora vsaka organizacija uporabljati enake nastavitve. Za osebne naprave izrecno opredelite dovoljeni dostop in ravnanje s podatki, namesto da bi jih obravnavali kot enakovredne upravljanim prenosnikom.

Kjer je mogoče, uporabite datirana opažanja iz sistemov za upravljanje naprav. Ročni popis je lahko še vedno koristen, če je usklajen in podprt z dokazili; tudi popis v živo potrebuje kritičen pregled, ko naprava preneha poročati. Ohranite čase opažanj, da staro zdravo stanje ne bi bilo zamenjano za aktualno zagotovilo.

Preverite vpis avtentikacije in začetno predajo poverilnic. Kjer vaša politika zahteva večfaktorsko avtentikacijo, pred začetkom dostopa potrdite, da je aktivna, namesto da zabeležite le, da je bilo poslano povabilo za vpis. Poverilnice in kode za obnovitev naj ne bodo v zahtevkih življenjskega cikla.

Premestitve: odstranite staro vlogo, ne le dodajte nove

Premestitve so pogosto najtežji dogodki življenjskega cikla, ker oseba ostane zaposlena in njen obstoječi račun še naprej deluje. Novi dostopi so deležni pozornosti, ker manjkajoča dovoljenja ovirajo delo. Stari dostopi pa lahko vztrajajo brez vidnih simptomov.

Premestitev obravnavajte kot primerjavo treh stanj: trenutnih dostopov, odobrenega novega osnovnega nabora in odobrenih nadaljevalnih izjem. Ugotovite, katera upravičenja je treba dodati, ohraniti, zmanjšati ali odstraniti. Preverite neposredne dodelitve ter skupine, gnezdena članstva, administrativne vloge in lokalna dovoljenja v aplikacijah.

Prejšnji vodja naj pomaga prepoznati odgovornosti, ki so se končale. Novi vodja potrdi nove naloge, lastniki sistemov ali podatkov pa odobrijo občutljive dostope. Tako novi vodja ne more posredno odobriti ohranjenega dostopa do informacij drugega oddelka.

Prehodno obdobje je lahko upravičeno. Oseba, ki zapušča finance, morda potrebuje omejen dostop za dokončanje predaje. Zabeležite posamezno dovoljenje, utemeljitev, lastnika, ki je odobril, in rok veljavnosti. Kjer je izvedljivo, široke pravice pisanja nadomestite z ožjimi ali samo bralnimi pravicami. Rok veljavnosti vnesite v izvedljivo nalogo ali nastavitev sistema, ne le v komentar.

Spremembe lahko vplivajo tudi na naprave, skupne poštne predale, lastništvo podatkov in privilegirane naloge. Prehod v administrativno vlogo ne sme samodejno spremeniti vsakodnevnega računa v privilegirano identiteto.

Po izvedbi primerjajte dejanski nabor dostopov s predvidenim rezultatom. Pri premestitvi med oddelki je dodelitev nove vloge morda enostavna. Pomembno preverjanje je, ali ostajajo stari dostopi do financ, strank ali administracije. Vzorec premestitev, ki preverja le novo dodeljevanje, to tveganje spregleda.

Odhodi: uskladite odvzem dostopov, sredstva in neprekinjenost poslovanja

Čas določite glede na tveganje in okoliščine

Zabeležite čas začetka veljavnosti odvzema, vključno s časovnim pasom. „Zadnji dan“ je za razpršene ekipe in načrtovano avtomatizacijo preveč dvoumen. Ločite načrtovan odhod od nujne prekinitve, suma kompromitacije ali nepričakovane odsotnosti, ki zahteva začasno blokado.

Čas uskladite s kadrovsko službo in ustreznim vodstvom. Občutljive podrobnosti o prekinitvi omejite na tiste, ki jih potrebujejo, hkrati pa zagotovite, da izvajalci prejmejo dovolj informacij za ukrepanje. Odhodi z visokim tveganjem lahko zahtevajo usklajeno takojšnje ukrepanje; rutinski odhodi lahko omogočajo načrtovano predajo, preden se dostop konča.

Ne dovolite, da bi prenos podatkov ali pošiljanje naprav zamaknilo odvzem. Te dejavnosti imajo lahko ločene datume zaključka in lastnike. Če sprožilec prispe pozno, zabeležite predvideni čas prekinitve, dejansko izvedbo in interval izpostavljenosti, namesto da bi dokumentacijo spremenili tako, da bi bil dogodek videti pravočasen.

Zaprite vse ustrezne poti dostopa

Onemogočite primarno identiteto in izvedite dejanja, specifična za aplikacije iz popisa. Po potrebi obravnavajte aktivne seje, žetone za osvežitev, lokalne račune, privilegirane račune, oddaljeni dostop, certifikate in osebne poverilnice. Centralno onemogočanje računa ne dokazuje, da je vsaka obstoječa seja ali neodvisno izdana poverilnica postala neuporabna.

Skupne skrivnosti, do katerih je oseba lahko dostopala, zamenjajte glede na tveganje in preverite, da zamenjava ne bo zmotila odvisnih sistemov. Odstranite načine obnovitve ali prenesena dovoljenja, ki bi lahko povrnila dostop. Kjer gre za okolja strank ali dobaviteljev, od njihovega lastnika zahtevajte odvzem in shranite potrditev.

Zajemite posamezne izide. Časovna omejitev povezovalnika ni uspešno zaprtje samo zato, ker se je celotno opravilo končalo. Napake usmerite k imenovanemu odzivniku, uporabite odobreno nadomestno pot in preverite končno stanje. Nujni nerešeni dostopi naj vstopijo v proces varnostne eskalacije.

Vrnite naprave, ne da bi predpostavili, da so oddaljeni ukazi uspeli

Vsako dodeljeno sredstvo spremljajte skozi vračilo, pregled in odobreno ponastavitev ali odstranitev. Za zaposlene na daljavo zabeležite ureditve pošiljanja in nerešeno skrbništvo. Kjer je ustrezno, odstranite fizični dostop in vrnite žetone ali ključe.

Če vračilo zamuja, uporabite razpoložljive kontrole zaklepanja ali brisanja v skladu s politiko in tveganjem. Ločite izdajo ukaza od tega, da ga naprava potrdi in dokonča. Prenosnik brez povezave ukaza morda ne prejme. Preostalo izpostavljenost ocenite na podlagi stanja šifriranja, lokalnih poverilnic, predpomnjenih podatkov in razpoložljivih omrežnih omejitev, namesto da bi „brisanje v čakalni vrsti“ obravnavali kot dokaz izbrisa.

Ohranite potrebne podatke in vrnite licence

Za poslovne dokumente, repozitorije, skupne poteke dela in lastništvo storitev dodelite naslednika. Uporabite pooblaščene administrativne mehanizme prenosa, namesto da bi koga prosili, naj se izdaja za nekdanjega zaposlenega. Dostop do poštnega predala ali datotek omejite po obsegu, zabeležite namen in omejite krog ljudi, ki ga prejmejo.

Ločite odvzem dostopa, vračilo licenc, hrambo in brisanje. Odstranitev licence lahko v različnih aplikacijah različno vpliva na razpoložljivost podatkov. Pred nepovratnim čiščenjem preverite zahteve glede hrambe in morebitno zadržanje zaradi pravnih postopkov.

Za osebne podatke člen 5 GDPR določa načelo omejitve shranjevanja; ne določa enotnega univerzalnega roka za brisanje računov zaposlenih. Opredelite utemeljena obdobja hrambe in odgovornosti za čiščenje. Člen 32 zahteva varnostne ukrepe, ki ustrezajo tveganju, zato dokumentirajte utemeljitev kontrol ob odhodu, namesto da bi kontrolni seznam sam po sebi obravnavali kot pravno skladnost.

Hranite dokazila o dejanski spremembi

Uporaben zapis povezuje pooblaščeno odločitev z opaženim rezultatom. Hranite dogodek, odobritev, prizadete sisteme, čase izvedbe, rezultate preverjanja in obravnavo izjem. Vključite predvideni čas začetka veljavnosti, da lahko pregledovalci ocenijo pravočasnost.

Praktičen paket dokazil vsebuje:

• stabilen identifikator osebe in dogodka skupaj z virom sprožitve;
• odobreni osnovni nabor in morebitna ohranjena ali dodatna dovoljenja;
• dejanja, rezultate, časovne žige in ustrezne sklice na dnevnike po sistemih;
• preverjanje, ki prikazuje nastalo stanje dostopov;
• izide glede sredstev, prenosa podatkov in licenc, kjer je to ustrezno;
• neuspela dejanja in izjeme z lastnikom, rokom in dokazilom o zaprtju.

Politika izkazuje namen. Zahtevek izkazuje usklajevanje. Rezultat aplikacije ali izvoz dostopov pomaga izkazati izvedbo. Nobenega ne smete nadomestiti z drugim. Posnetki zaslona so lahko koristni, kadar močnejši izvozi niso na voljo, vendar morajo vsebovati dovolj konteksta za prepoznavo sistema, osebe in časa opažanja.

Te zapise zaščitite: vsebujejo podatke o zaposlitvi in varnostno občutljive podrobnosti. Uporabite omejitve dostopa in načrt hrambe ter se izogibajte zbiranju gesel, nepotrebnih opisov prekinitev ali celotnih poštnih predalov kot dokazil. Pretekli zapisi naj ostanejo razumljivi tudi po izbrisu operativnih računov.

Primer iz prakse: premestitev, ki ji sledi odhod

Vzemimo ponazoritveno podjetje z osrednjim ponudnikom identitet, upravljanimi prenosniki in finančno aplikacijo z lokalnimi dovoljenji. Predpostavimo, da se zaposleni 1. junija premesti iz finančnega poslovanja v uspešnost strank, potrebuje predajo v trajanju petih delovnih dni in pozneje, 30. septembra, odide. Ti datumi in ureditve so predpostavke primera, ne predpisani roki.

Pri premestitvi IT zajame trenutna upravičenja. Dostop za uspešnost strank je odobren, pravice pisanja v financah so ob začetku veljavnosti odstranjene, omejen bralni dostop do financ pa je ohranjen do izteka predaje. Lastnik finančne aplikacije to izjemo odobri. Ker finančna aplikacija vzdržuje lokalna dovoljenja, njen administrator spremembo izvede in preveri ločeno od posodobitve skupine pri ponudniku identitet.

Ob izteku preverjanje ugotovi, da je ostalo lokalno dovoljenje za izvoz. Zapis o premestitvi ostane odprt, administrator dovoljenje odstrani, pregledovalec pa zabeleži končno stanje. Nauk je konkreten: sprememba vloge je centralno uspela, vendar je model dovoljenj aplikacije zahteval dodatno dejanje.

Pri poznejšem odhodu proces določi natančen čas prekinitve, poslovne datoteke prenese na odobrenega naslednika, onemogoči identitete, odvzame veljavne seje in žetone ter neposredno preveri finančni račun. Prenosnik s kurirjem še ni prispel. Njegovo vračilo ostane izjema pri sredstvih, ukrepi zamejitve in opažanja naprave pa so zabeleženi ločeno od odvzema računa.

Nastala dokazila prikazujejo tako uspešne spremembe kot prvotno napako pri odstranitvi. Če bi napako prikrili, bi izgubili informacije, potrebne za izboljšanje poteka dela.

Preizkusite pokritost in naslednjo izboljšavo naredite konkretno

Vzorčite resnične dogodke življenjskega cikla glede na popis aplikacij. Vključite zunanje izvajalce, privilegirane uporabnike, zaposlene na daljavo, premestitve z začasnim prekrivanjem in aplikacije zunaj ponudnika identitet. Pregledi dostopov naj preučijo tudi, ali se trenutna dovoljenja še ujemajo z odgovornostmi posamezne osebe; spremembe, ki jih sprožijo dogodki, dopolnjujejo, ne nadomeščajo.

Preizkusite poti napak in ne le običajne izvedbe: zgrešen dogodek kadrovske službe, neuspeli povezovalnik, nedosegljivega administratorja, zapoznelo vračilo naprave ali preklican začetek dela. Preverite, ali opozorila dosežejo odzivnika in ali ponovni poskusi ali ročna dejanja dajo preverljive izide.

Uporabna merila vključujejo zamik odvzema glede na dogovorjeni čas prekinitve, neuspela dejanja, ki čakajo na razrešitev, zapadle začasne dostope in dogodke, zaprte brez preverjanja. Opredelite, kaj posamezno merilo šteje. Dobro povprečje lahko prikrije eno dolgotrajno privilegirano izjemo. Ugotovitve uporabite za posodobitev osnovnih naborov vlog, delovanja povezovalnikov, lastništva in pravil eskalacije.

Secani lahko podpira pregleden zapis kontrol tako, da zahteve povezuje s sistemi, lastniki, dokazili in odločitvami. Spremembe računov ohranite v operativnih sistemih za identitete in naprave; delovni prostor za skladnost uporabite za ohranjanje obsega, naloženih rezultatov, izjem in odločitev pregledov. Človeški pregledovalci naj sklepe o dokazilih, ki jih pomaga pripraviti umetna inteligenca, preverijo, preden se nanje zanesejo.

Začnite z eno reprezentativno ekipo ter nedavnim prihodom, premestitvijo in odhodom. Vsak dogodek sledite od obvestila do dejanskega stanja sistema. Odpravite prvo odkrito predajo ali pot dostopa, dodelite ji lastnika in jo ponovno preizkusite, preden proces razširite.