Käyttäjätilien ja käyttöoikeuksien hallintapolitiikka

Käyttäjätilien ja käyttöoikeuksien hallintapolitiikka (asiakirja P11) tarjoaa jäsennellyn ja pakollisen viitekehyksen sille, miten käyttäjätilit ja käyttöoikeudet hallitaan kaikissa organisaation tietojärjestelmissä ja teknologioissa. Sen keskeinen tarkoitus on varmistaa, että organisaation resursseihin pääsevät vain valtuutetut henkilöt validoitujen roolien ja operatiivisten tarpeiden mukaisesti. Politiikka tunnistaa ja toimeenpanee keskeiset tietoturvaperiaatteet, kuten vähimmän etuoikeuden periaatteen ja tehtävien eriyttämisen, ja edellyttää auditoitavia prosesseja käyttäjätilien käyttöoikeuksien myöntämis-, hallinta-, seuranta- ja käyttöoikeuksien peruminen -toiminnoille. Sovellettavissa kaikkiin käyttäjäryhmiin, mukaan lukien työntekijät, urakoitsijat, kolmannen osapuolen palveluntarjoajat ja konsultit, tämä politiikka koskee kaikkia järjestelmiä, joissa käyttäjän todentaminen on käytössä. Tämä kattava soveltamisala kattaa yrityssovellukset, pilvi- ja SaaS-ympäristöt, hallinnolliset järjestelmät ja etäkäyttötyökalut sekä identiteetin- ja pääsynhallinta (IAM) -alustat. Sekä standardi- että etuoikeutetut tilit kuuluvat vaatimusten piiriin, ja painopisteenä on jokaisen tilin yksilöllinen tunnistettavuus sekä jaettujen tunnusten tai yleiskäyttöisten tilien käytön estäminen (poikkeuksena tiukasti hallitut hätätilanteet). Politiikan keskeisiä tavoitteita ovat yksilöllisten, perusteltavien ja jäljitettävien käyttäjätilien toimeenpano; vähimmän etuoikeuden periaate -kontrollien toteuttaminen liiallisen käytön riskin ehkäisemiseksi; tilan nopea päivittäminen roolimuutosten tai työsuhteen päättymisen jälkeen; sekä käyttöoikeuksien elinkaaren hallinta -toimintojen keskittäminen yhdenmukaisuuden ja auditoitavuuden varmistamiseksi. Määräykset mahdollistavat passiivisten tai väärinkäytettyjen tilien ennakoivan havaitsemisen säännöllisten käyttöoikeuksien tarkastuskatselmointien ja automatisoitujen työkalujen avulla. Politiikka on nimenomaisesti suunniteltu yhdenmukaistumaan johtavien tietoturvastandardien kanssa (kuten ISO/IEC 27001:2022, 27002:2022, NIST SP 800-53 Rev.5, EU NIS2, EU DORA, GDPR ja COBIT 2019) täyttääkseen sekä sääntely- että parhaiden käytäntöjen vaatimukset. Roolit ja vastuut on määritelty selkeästi, tietoturvajohtajan (CISO) valvonta- ja poikkeusten hallinta -roolista pääsynhallinnan ylläpitäjien roolien teknisiin toimiin, osastopäälliköiden roolien pääsyn valtuutuksiin sekä henkilöstöhallinnon toiminnon integraatioon perehdytysprosessi- ja poistumismenettelyprosesseihin. Menettelyt varmistavat, että tilien luonti, muokkaus ja deaktivointi ovat tiukasti hallittuja, ja etuoikeutettu pääsy edellyttää lisävalvontaa, hyväksyntöjä, aikarajoitettuja käyttöoikeusrajoituksia ja tehostettua tarkastuslokitusvalvontaa. Todennuskontrollit, mukaan lukien pakolliset salasanojen hallinta -vaatimukset, monivaiheinen todennus keskeisille tileille, istuntojen lukitus ja suojatut etäkäyttöprotokollat, muodostavat ydinkokonaisuuden ja varmistavat, ettei identiteetin varmistusta voida ohittaa. Vahva seuranta, lokitus ja säännölliset katselmoinnit auttavat ylläpitämään tarkkoja tili-inventaarioita ja varmistamaan politiikkojen noudattamisen. Poikkeusten käsittely on riskiperusteista ja hallittua, ja hätäkäyttötilanteet ("break-glass") saavat erityistä menettelyllistä huomiota. Pakollista noudattamista korostetaan asteittaisella täytäntöönpanomallilla, joka sisältää pääsyn poistamisen käytöstä, kohdennetun uudelleenkoulutuksen, kurinpitotoimet ja laki- ja sääntelyasioiden eskaloinnin rikkomustapauksissa. Integraatio organisaation muihin politiikkoihin varmistaa yhtenäisen lähestymistavan kaikilla tietoturvakontrollien osa-alueilla, ja vaatimus vuosittaisista (tai tapahtumapohjaisista) katselmoinneista takaa jatkuvan parantamisen periaatteen mukaisen yhdenmukaisuuden kehittyvien järjestelmien, liiketoimintamallien ja sääntely-ympäristöjen kanssa. Käyttäjätilien ja käyttöoikeuksien hallintapolitiikka on organisaation riskienhallintaprosessistrategian perusta, joka vahvistaa operatiivista turvallisuutta ja sääntelyvaatimusten noudattamisen tavoitteita.