Isikut tuvastava teabe turbe ja juurdepääsukontrolli poliitika

Isikut tuvastava teabe turbe ja juurdepääsukontrolli poliitika määratleb organisatsiooni isikut tuvastava teabe spetsiifilised nõuded isikuandmete kaitsmiseks süsteemides, rakendustes, teenustes, seadmetes, pilvekeskkondades ja operatiivsetes protsessides. Seda kohaldatakse olukordades, kus isikut tuvastavat teavet säilitatakse, edastatakse, töödeldakse, sellele juurde pääsetakse, seda hallatakse või kaitstakse, ning see hõlmab vastutava töötleja, kaasvastutava töötleja, volitatud töötleja ja alltöötleja kontekste. Poliitika on selgesõnaliselt kavandatud integreeruma olemasolevate infoturbe praktikatega, mitte asendama täielikku infoturbe juhtimissüsteemi, võrguturbe poliitikat, turvalise arenduse poliitikat, varunduspoliitikat, lõppseadmete poliitikat, pilveturbe poliitikat, krüptograafilist standardit, haavatavuste halduse protseduuri või intsidentidele reageerimise protseduuri. Selle peamine eesmärk on tagada, et isikut tuvastav teave oleks kogu töötlemise vältel kaitstud asjakohaste, riskipõhiste ja auditiks sobivate turbe- ja juurdepääsukontrollidega. Selle eesmärgi toetamiseks kehtestab poliitika isikut tuvastava teabe turbe baastaseme ning nõuab jälgitavat tõendusmaterjali REG02, REG08, REG10 ja REG12 kaudu. See tõendusmudel on poliitika keskne osa: operatiivsed logid, turbetööriistade väljundid, juurdepääsuõiguste läbivaatamise ekspordid, haavatavuste aruanded ja konfiguratsiooni tõendusmaterjal võib lisada kanoonilistele tõendusobjektidele, nendes kokku võtta või neile viidata, kuid neid ei käsitata eraldi PIMS-i registritena. See võimaldab organisatsioonil tõendada, et kontrollimeetmed on kavandatud, rakendatud, läbi vaadatud, seiratud ja täiustatud, ilma turbekirjeid dubleerimata. Poliitika sätestab üksikasjalikud nõuded juurdepääsukontrollile, autentimisele ja privilegeeritud juurdepääsule. Juurdepääs isikut tuvastavale teabele peab olema piiratud heakskiidetud rollide ja autoriseeritud kasutajatega, kes on registreeritud või jälgitavad REG02-s või REG12-s, ning ärieesmärk peab olema heaks kiidetud enne juurdepääsuõiguste andmist. Suure mõjuga või tundlikku isikut tuvastavat teavet sisaldavad süsteemid nõuavad kasutajate juurdepääsuõiguste läbivaatamist vähemalt kord kvartalis, samas kui muud isikut tuvastavat teavet sisaldavad süsteemid nõuavad läbivaatamist vähemalt kord aastas. Juurdepääs tuleb eemaldada või muuta ühe tööpäeva jooksul pärast rollimuudatust, töösuhte lõpetamist, lepingu lõppemist või siis, kui juurdepääsu enam ei vajata. Privilegeeritud juurdepääs nõuab enne andmist dokumenteeritud põhjendust, kohaldamisala ja heakskiitu, suure mõjuga või tundlikku isikut tuvastavat teavet sisaldavate süsteemide puhul igakuist läbivaatamist ning muude isikut tuvastavat teavet sisaldavate süsteemide puhul kvartaalset läbivaatamist. Poliitika käsitleb ka tehnilisi turbeootusi autentimise, krüptimise, turvalise salvestamise, logimise, seire, konfiguratsiooni, haavatavuste halduse, lõppseadmete juurdepääsu ja pilvejuurdepääsu kohta. Isikut tuvastavale teabele juurdepääsuga kontode puhul nõutakse unikaalseid kasutajaidentiteete ning privilegeeritud, kaug-, haldus- või suure mõjuga juurdepääsu puhul isikut tuvastavale teabele nõutakse tugevat autentimist. Krüptimine või heakskiidetud kompenseeriv kaitse tuleb määratleda enne, kui suure mõjuga, tundlikku või väliselt edastatavat isikut tuvastavat teavet säilitatakse, edastatakse või tehakse kättesaadavaks. Logimise kohaldamisala peab hõlmama autentimissündmusi, juurdepääsusündmusi, privilegeeritud toiminguid, isikut tuvastava teabe eksporditegevust ja olulisi konfiguratsioonimuudatusi. Konfiguratsiooni staatus ja haavatavuste katvus tuleb registreerida REG12-s ning lahendamata kõrge riskiga haavatavused, mis mõjutavad isikut tuvastavat teavet, tuleb registreerida viie tööpäeva jooksul pärast valideerimist. Juhtimiskohustused on jaotatud tippjuhtkonna, privaatsusvaldkonna juhi / PIMS-i juhi, andmekaitseametniku / privaatsusnõustaja, infoturbe juhi, protsessiomaniku / ettevõtte omaniku, süsteemiomaniku / rakenduse omaniku, tarnija / hanke omaniku, intsidentidele reageerimise koordinaatori ning siseauditi / vastavuse läbivaataja vahel. Poliitika nõuab REG02, REG08, REG10 ja REG12 lõikes tõendusmaterjali täielikkuse kvartaalset läbivaatamist, baastaseme tõhususe ja lahendamata puudujääkide kvartaalset läbivaatamist ning juurdepääsuõiguste läbivaatamiste, privilegeeritud juurdepääsu läbivaatamiste, logimise tõendusmaterjali ja konfiguratsiooni tõendusmaterjali auditivalimit. Erandid tuleb registreerida enne aktiveerimist, need peavad sisaldama aegumistähtaega, kompenseerivat kontrollimeedet ja läbivaatamise kuupäeva ning need peavad saama tippjuhtkonna heakskiidu, kui need mõjutavad suure mõjuga isikut tuvastavat teavet, tundlikku isikut tuvastavat teavet, privilegeeritud juurdepääsu, krüptimist, logimist või lahendamata kõrge riskiga haavatavusi.