Hozzáférés-vezérlési szabályzat

A hozzáférés-vezérlési szabályzat a szervezeti biztonság kritikus pillére, amely részletes elveket és kontrollokat határoz meg az információs rendszerekhez, alkalmazásokhoz, fizikai létesítményekhez és adatvagyonelemekhez való hozzáférés kezelésére. A szabályzat biztosítja, hogy a hozzáférés minden formája – legyen az logikai hozzáférés vagy fizikai hozzáférés – az üzleti szükséglet, a munkaköri funkció és a szervezet kockázati pozíciója alapján kerüljön irányításra, összhangban a nemzetközileg elismert szabványokkal, mint az ISO/IEC 27001:2022, NIST SP 800-53, EU GDPR, EU NIS2, EU DORA és COBIT 2019. Célja a legkisebb jogosultság elve, a szükséges ismeret elve és a feladatkörök szétválasztása szigorú érvényesítése, amelyek alapvetőek a jogosulatlan hozzáféréshez és belső fenyegetésekhez kapcsolódó kockázatok mérsékléséhez. A szabályzat támogatja és működteti a logikai hozzáférés és a fizikai hozzáférés, a felhasználóhitelesítés, valamint a teljes hozzáférési életciklus-kezelés követelményeit a beléptetés folyamatától a jogosultságmegszüntetésig. A kontrollok a digitális és a valós erőforrásokra egyaránt kiterjednek a jogosulatlan használat, visszaélés vagy kompromittálódás megelőzése érdekében. A szabályzat a szervezet egészére kiterjed; hatóköre magában foglalja valamennyi felhasználót – beleértve a munkavállalókat és vállalkozókat, a külső beszállítókat és az ideiglenes munkatársakat –, valamint az információbiztonsági irányítási rendszer által lefedett összes rendszert és létesítményt. Kezeli az összetett hozzáférési forgatókönyveket, és kiterjeszti a kontrollokat a helyszíni, felhő- és hibrid környezetekre, a vállalati informatikai eszközökre, valamint a logikai (rendszerek, hálózatok, alkalmazásprogramozási interfészek) és fizikai (épületek, adatközpontok) eszközökre. A szabályzat előírja, hogy a hozzáférés a teljes életciklus során irányított legyen, és szorosan integrálódjon a HR által vezérelt eseményekhez, mint a beléptetés, a belső áthelyezések és a kiléptetés, biztosítva az időszerű frissítéseket és visszavonásokat. A robusztus irányítási követelmények közé tartozik a hozzáférési jogosultságok formális szerepkörmátrix alapján történő meghatározása; a hozzáférés-kiosztás és a jogosultságmegszüntetés integrálása HR- és technikai folyamatokkal; a jóváhagyási munkafolyamatok érvényesítése; valamint a kiváltságos hozzáférés-kezelés (PAM) kötelezővé tétele elkülönített fiókokkal, munkamenet-nyomon követési és -rögzítési megoldással és többtényezős hitelesítés alkalmazásával. E gyakorlatokat negyedéves hozzáférés-felülvizsgálatok, auditnaplózás és a hozzáférés-kezelési gyakorlatok szabályozási és üzleti követelményekhez való igazítása egészíti ki. A szabályzat kifejezett mechanizmusokat ír le a kivételkezelés és a kockázatkezelés, az érvényesítés és a rendszeres felülvizsgálat területén, biztosítva, hogy a program alkalmazkodóképes maradjon a felmerülő fenyegetésekhez, szabályozási változásokhoz és új technológiákhoz. A szabályzat továbbá konkrét rendelkezéseket tartalmaz a felhasználói magatartásra, a harmadik felek hozzáférése kezelésére, a feladatkörök szétválasztására és a visszaélés-bejelentési mechanizmusra vonatkozóan. Egyértelmű keretrendszert érvényesít a szabályzatsértések kezelésére, meghatározza az időszakos felülvizsgálat és frissítés elvárásait, és előírja a korábbi verziók megőrzését a megfelelés érdekében. Ezek az elemek együtt olyan hozzáférés-irányítási környezetet hoznak létre, amely elszámoltatható, auditálható, és képes tanúsítási vagy jogi vizsgálat támogatására, anélkül, hogy a szigorúan dokumentált követelményeken túl bármilyen feltételezést vagy állítást tenne.