Politika upravljanja korisničkim računima i privilegijama

Politika upravljanja korisničkim računima i privilegijama (Dokument P11) pruža strukturiran i obvezan okvir za kontrolu načina na koji se korisnički računi i privilegije pristupa upravljaju u svim organizacijskim informacijskim sustavima i tehnologijama. Njezina je temeljna svrha osigurati da se organizacijskim resursima pristupa isključivo od strane ovlaštenih osoba, u skladu s validiranim ulogama i operativnim potrebama. Politika prepoznaje i provodi ključna načela informacijske sigurnosti, kao što su načelo najmanjih privilegija i razdvajanje dužnosti (SoD), te propisuje revizibilne procese za dodjelu pristupa, upravljanje, praćenje i opoziv pristupa korisničkih računa. Primjenjiva na sve korisnike, uključujući zaposlenike, izvođače, pružatelje usluga treće strane i konzultante, ova politika uređuje svaki sustav u kojem je prisutna autentifikacija korisnika. Ovaj sveobuhvatni opseg obuhvaća poslovne aplikacije, oblak i SaaS okruženja, administrativne sustave i alate za udaljeni pristup, kao i platforme za upravljanje identitetom i pristupom (IAM). I standardni i povlašteni računi obuhvaćeni su zahtjevima, uz snažan naglasak na jedinstvenoj identifikaciji svakog računa i sprječavanju uporabe dijeljenih vjerodajnica ili generičkih računa (osim u strogo kontroliranim hitnim scenarijima). Ključni ciljevi politike uključuju provedbu jedinstvenih, opravdanih i pratljivih korisničkih računa; implementaciju kontrola načela najmanjih privilegija radi zaštite od prekomjernih prava pristupa; zahtijevanje pravodobnih promjena statusa računa nakon promjene uloga ili prestanka radnog odnosa; te centralizaciju aktivnosti upravljanja životnim ciklusom pristupa radi dosljednosti i revizibilnosti. Odredbe su postavljene za proaktivno otkrivanje neaktivnih korisničkih vjerodajnica ili zloupotrijebljenih računa putem redovitih pregleda pristupa i uporabe automatiziranih podsjetnika i automatiziranih upozorenja. Politika je izričito osmišljena za usklađivanje s vodećim sigurnosnim standardima (kao što su ISO/IEC 27001:2022, 27002:2022, NIST SP 800-53 Rev.5, EU NIS2, EU DORA, GDPR i COBIT 2019) kako bi se ispunili regulatorni zahtjevi i zahtjevi najboljih industrijskih praksi. Uloge i odgovornosti jasno su definirane, od nadzorne uloge i uloge upravljanja iznimkama glavnog službenika za informacijsku sigurnost (CISO) do tehničkih radnji administratora kontrole pristupa, ovlaštenja pristupa voditelja odjela te integracije ljudskih resursa (HR) s procesima uvođenja u posao i izlaznog procesa. Postupci osiguravaju da su kreiranje, izmjena i deaktivacija računa strogo upravljani, pri čemu je povlašteni pristup podložan dodatnoj provjeri, odobrenjima, vremenski ograničenom pristupu i pojačanom revizijskom bilježenju. Kontrole autentifikacije, uključujući obvezne politike lozinki, višefaktorsku autentifikaciju (MFA) za ključne račune, zaključavanje sesije i sigurne protokole za udaljeni pristup, čine temeljni zahtjev, osiguravajući da se provjera identiteta ne može zaobići. Snažne mjere praćenja, revizijsko bilježenje i periodične revizije pristupa pomažu održati točne popise aktivnih korisnika i provoditi pridržavanje politike. Postupanje s iznimkama temelji se na riziku i kontrolirano je, pri čemu hitni scenariji pristupa („break-glass“) dobivaju posebnu proceduralnu pozornost. Obvezna usklađenost naglašena je progresivnim modelom provedbe, uključujući onemogućavanje pristupa, ciljano ponovno osposobljavanje, disciplinske mjere i pravnu/regulatornu eskalaciju za kršenja. Integracija s povezanim organizacijskim politikama osigurava koherentan pristup u svim domenama informacijske sigurnosti, a zahtjev za godišnjim (ili događajno potaknutim) pregledima politike jamči kontinuirano poboljšanje i usklađenost s razvojem sustava, poslovnih modela i regulatornih okvira. Politika upravljanja korisničkim računima i privilegijama temeljna je za strategiju upravljanja rizicima organizacije, jačajući operativnu sigurnost i usklađenost s propisima.