Страница 15 из 60
– изменения пользовательских разрешений, инициированные автоматически ИС и администратором;
– наличие правил, требующих определенного утверждения перед введением в действие и не требующих.
Правила разграничения доступа должны поддерживаться формальными процедурами и определять ответственности.
Разграничение ролевого доступа является тем подходом, которым пользуются многие организации для связывания прав доступа с бизнес-ролями.
Два общепризнанных принципа правил разграничения доступа:
– знание: наличие доступа только к информации, необходимой для выполнения задач (разные задачи/роли означают разную потребность знаний и следовательно разный профиль доступа);
– использование: наличие доступа только к средствам обработки информации, необходимым для выполнения задачи/работы/роли (ИТ оборудование, приложения, процедуры, кабинеты).
Доступ к сетям и сетевым сервисам
Меры и средства
Пользователям должен предоставляться доступ к сетям и сетевым сервисам, когда они имеют официальные полномочия на это.
Рекомендации по реализации
Следует сформулировать политику использования сетей и сетевых услуг.
В политике необходимо рассмотреть:
– сети и сетевые услуги, к которым разрешен доступ;
– процедуры авторизации для определения того, кому и к каким сетям и сетевым услугам разрешен доступ;
– процедуры и средства управления по защите доступа к сетевым подключениям и сетевым услугам;
– средства доступа к сетям и сетевым услугам (например, VPN или беспроводной сети);
– требования пользовательской аутентификации для доступа к разным сетевым сервисам;
– мониторинг использования сетевых сервисов.
Политика использования сетевых сервисов должна быть согласована с правилами разграничения доступа организации.
Неавторизованные и незащищенные подключения к сетевым сервисам могут повлиять на всю организацию. Такой контроль очень важен для сетевых подключений к чувствительным и критичным бизнес-приложениям или к пользователям в местах повышенного риска, например, публичных или удаленных регионах, находящихся вне зоны контроля и управления ИБ организации.
5.2. Управление доступом пользователей
Цель: Обеспечить авторизованный доступ пользователей и предотвратить неавторизованный доступ к системам и сервисам.
Управление доступом пользователей обеспечивают следующие мероприятия:
– регистрация и ее отмена;
– предоставление доступа;
– пересмотр прав доступа;
– удаление или изменение прав доступа.
Управление доступом пользователей обеспечивает также управление следующим:
– правами привилегированного доступа;
– паролями.
Регистрация и ее отмена
Меры и средства
Формальный процесс регистрации пользователя ее отмены должен быть внедрен для предоставления прав доступа.
Рекомендации по реализации
Процесс управления идентификаторами пользователя должен включать:
– использование уникальных идентификаторов пользователя, позволяющих отследить их действия и ответственность за них; использование распространенных идентификаторов должно быть разрешено только в случае оперативной или бизнес-необходимости, задокументировано и утверждено;
– немедленную деактивацию или удаление идентификаторов пользователя после его увольнения;
– периодическую идентификацию и деактивацию или удаление ненужных идентификаторов пользователя;
– гарантию того, что деактивированные идентификаторы не достались другим пользователям.
Разрешение или запрет доступа к информации и средствам ее обработки состоит из следующих двух этапов:
– создание и активация или деактивация идентификатора пользователя;
– активация или деактивация прав доступа идентификатора пользователя.
Предоставление доступа
Меры и средства
Формальный процесс предоставления доступа должен быть внедрен для назначения или отмены прав доступа для всех типов пользователя во всех системах и сервисах.
Рекомендации по реализации
Процесс предоставления доступа должен включать:
– получение полномочий от собственника ИС или сервиса для их использования;
– проверку того, что уровень предоставленного доступа соответствует правилам доступа и другим требованиям, например, разделения обязанностей;
– гарантию того, что права доступа не будут активированы (например, провайдером услуг) до завершения процедур авторизации;
– ведение централизованной записи прав доступа, предоставленных идентификатору пользователя для доступа к ИС и сервисам;
– изменение прав доступа пользователей, у которых изменилась роль или работа, и немедленную отмену или блокирование прав доступа пользователей после их увольнения;
– периодический пересмотр прав доступа вместе с собственниками ИС и сервисов.
Пересмотр прав доступа
Меры и средства
Владельцы активов должны пересматривать права доступа пользователей на регулярной основе.
Рекомендации по реализации
При пересмотре прав доступа должны учитываться следующие рекомендации:
– права доступа должны пересматриваться регулярно через определенные интервалы времени и после любых изменений, таких как повышение, понижение в должности или увольнение;
– права доступа пользователей должны пересматриваться и перераспределяться при переходе с одной должности на другую в пределах одной организации;
– полномочия привилигированных прав доступа должны пересматриваться чаще;
– присвоение привилегий должно регулярно проверяться, чтобы излишних привилегий никто не имел;
– изменения привилегированных учетных записей должны регистрироваться для периодического пересмотра.
Удаление или изменение прав доступа
Меры и средства
Права доступа к информации и средствам обработки информации всех сотрудников и представителей сторонней организации должны быть удалены по окончании их трудового договора, контракта или соглашения или откорректированы в случае каких-либо изменений.
Рекомендации по реализации
После увольнения права доступа к информации и активам, связанным со средствами обработки информации, должны быть удалены или блокированы. Изменение работы должно повлечь удаление тех прав доступа, которые не нужны на новой работе.
При удалении или изменении прав доступа необходимо учитывать как физические, так и логические аспекты доступа. Удаление или изменение прав доступа должно сопровождаться удалением, аннулированием или заменой ключей, карт идентификации, средств обработки информации или подписок.
Любая документация, определяющая права доступа сотрудников и подрядчиков, должна отражать удаление или изменения прав доступа.
Если увольняющийся сотрудник или представитель сторонней организации знает еще действующие пароли пользователей, они должны быть изменены после его увольнения или изменения условий трудового договора, контракта или соглашения.
Права доступа к информации и активам, связанным со средствами обработки информации, должны быть изменены или удалены до момента увольнения или изменения условий труда с учетом оценки следующих факторов риска:
– было ли увольнение или изменение условий труда инициировано сотрудником, представителем сторонней организации или руководством, и причина этого;
– текущие обязанности сотрудника, представителя сторонней организации или любого другого пользователя;
– ценность активов, доступных в настоящий момент.
В случае инициации увольнения руководством организации недовольные сотрудники или представители сторонней организации могут умышленно повредить информацию или средства ее обработки. Кроме того, увольняемые лица могут собирать информацию для последующего использования.
Управление правами привилегированного доступа