pääsynhallintapolitiikka

Pääsynhallintapolitiikka toimii organisaation turvallisuuden kriittisenä pilarina ja määrittää yksityiskohtaiset periaatteet ja hallintakeinot pääsyn hallintaan organisaation tietojärjestelmiin, sovelluksiin, fyysisiin toimitiloihin ja tietovarallisuuteen. Tämä politiikka varmistaa, että kaikki pääsyn muodot, olipa kyse loogisesta pääsystä tai fyysisestä pääsystä, ovat liiketoiminnan tarpeen, työtehtävän ja organisaation riskiasematason mukaisesti hallittuja, yhdenmukaisesti maailmanlaajuisesti tunnustettujen standardien, kuten ISO/IEC 27001:2022, NIST SP 800-53, EU GDPR, EU NIS2, EU DORA ja COBIT 2019, kanssa. Sen tarkoitus on panna täytäntöön tiukat periaatteet, kuten vähimmän etuoikeuden periaate, tarve tietää -periaate ja tehtävien eriyttäminen, jotka ovat olennaisia luvattomaan pääsyyn ja sisäpiiriuhkiin liittyvien uhkien lieventämiseksi. Politiikka tukee ja operoi vaatimuksia loogisen pääsyn ja fyysisen pääsyn hallinnalle, käyttäjän todentamiskäytännöille sekä käyttöoikeuksien elinkaaren hallinnan toiminnoille käyttäjän käyttöönotto-vaiheesta käytöstäpoisto-vaiheeseen. Hallintakeinot määritellään sekä digitaalisille että fyysisille resursseille luvattoman käytön, väärinkäytön tai vaarantumisen estämiseksi. Tämä politiikka koskee koko organisaatiota; sen soveltamisala kattaa kaikki käyttäjät, mukaan lukien työntekijät ja urakoitsijat, ulkoiset toimittajat ja väliaikaisen henkilöstön, sekä kaikki järjestelmät ja toimitilat, jotka kuuluvat tietoturvallisuuden hallintajärjestelmäkokonaisuuteen. Se käsittelee monimutkaisia pääsyskenaarioita ja ulottaa hallintakeinot omissa tiloissa oleviin pilvi- ja hybridiympäristöihin, yrityksen IT-omaisuuseriin (laitteistoihin ja ohjelmistoihin) sekä sekä loogisen pääsyn kohteisiin (järjestelmät, verkot, ohjelmointirajapinnat) että fyysisen pääsyn kohteisiin (rakennukset, datakeskukset). Politiikka edellyttää, että pääsyä hallitaan koko elinkaaren ajan ja että se integroidaan tiiviisti henkilöstöhallintovetoisiin tapahtumiin, kuten käyttöönottoon, sisäisiin siirtoihin ja työsuhteen päättämisprosessiin, jotta päivitykset ja käyttöoikeuksien peruminen tehdään ajallaan. Vahvat hallintotapavaatimukset sisältävät käyttöoikeuksien määrittelyn muodollisen roolimatriisirakenteen kautta; käyttöoikeuksien myöntämis- ja käytöstäpoistoprosessien integroinnin henkilöstöhallinto- ja teknisiin prosesseihin; hyväksyntätyönkulkuvaatimusten täytäntöönpanon; sekä etuoikeutetun pääsyn hallinnan käytäntöjen edellyttämisen erillisillä tileillä, istuntojen valvonta- ja tallennustoiminnoilla ja monivaiheisen todennuksen vaatimuksilla. Näitä käytäntöjä täydentävät neljännesvuosittaiset käyttöoikeuksien tarkastusvaatimukset, tarkastuslokitusvaatimukset sekä pääsynhallinnan käytäntöjen yhdenmukaistaminen sääntely- ja liiketoimintavaatimusten kanssa. Politiikka kuvaa myös selkeät mekanismit poikkeusten hallinta- ja riskienhallintaprosessitoiminnoille, täytäntöönpano- ja vaatimustenmukaisuuskäytännöille sekä säännölliselle katselmoinnille, jotta ohjelma pysyy mukautuvana uusiin uhkiin, sääntelymuutoksiin ja uusiin teknologioihin. Lisäksi politiikka sisältää erityiset määräykset käyttäjien toiminnalle, kolmansien osapuolten pääsytilanteille, tehtävien eriyttämisvaatimuksille ja väärinkäytösten ilmoitusmekanismikanavalle. Se määrittää selkeän viitekehyksen politiikkarikkomusten käsittelylle, asettaa odotukset katselmointi- ja päivitysvaatimustoiminnoille ja edellyttää historiallisten versioiden säilyttämistä vaatimustenmukaisuuden varmistamiseksi. Nämä elementit yhdessä muodostavat käyttöoikeuksien hallinnointiympäristön, joka on vastuullinen, auditoitava ja kykenevä tukemaan sertifiointia tai oikeudellista tarkastelua tekemättä oletuksia tai väitteitä, jotka ylittävät sen, mitä on nimenomaisesti dokumentoitu.