Felhasználói fiók- és jogosultságkezelési szabályzat – KKV

A Felhasználói fiók- és jogosultságkezelési szabályzat (P11S) egy átfogó, KKV-kra fókuszáló szabályzat, amely a felhasználói fiókok és hozzáférési jogosultságok létrehozását, használatát, monitorozását és megszüntetését irányítja a szervezeten belül. A globális szabványokból és szabályozói előírásokból adaptált szabályzat keretrendszert hoz létre annak biztosítására, hogy kizárólag jogosult felhasználók rendelkezzenek megfelelő hozzáféréssel; ez kritikus kontroll a jogosulatlan tevékenységek megelőzéséhez és a belső fenyegetések mérsékléséhez. A P11S kifejezetten kis- és középvállalkozások számára készült, amit a vezérigazgató (GM) elszámoltathatósága és a dedikált SOC-ok vagy CISO-k jellegű összetett IT-irányítási struktúrák hiánya is jelez. Ez a megközelítés a magas biztonsági szintű hozzáférés-ellenőrzést megvalósíthatóvá és kezelhetővé teszi a nagy biztonsági csapatokkal nem rendelkező szervezetek számára, miközben megőrzi az ISO/IEC 27001:2022 és kapcsolódó keretrendszerek szerinti összhangot. A szabályzat valamennyi munkatársra, vállalkozóra, gyakornokra és harmadik félre vonatkozik, akik hozzáférnek a szervezet informatikai infrastruktúrájához és információs rendszereihez. Lefedi a hagyományos felhasználói fiókokat, a rendszergazdai és szolgáltatásfiókokat, valamint az ideiglenes vagy vendég hitelesítő adatokat. A szabályok a teljes fiókéletciklust lefedik: a beléptetés és hozzáférés-kiosztás kezdeti lépéseitől az időszakos felülvizsgálatokon át a kiléptetés során végrehajtott hozzáférés visszavonásáig. Minden felhasználó egyedi felhasználónevet kap az elszámoltathatóság biztosítására; a megosztott hitelesítő adatok használata kifejezetten tiltott, kivéve ellenőrzött, dokumentált kivételek esetén. A kiemelt jogosultságok további indoklási és engedélyezési rétegen mennek keresztül, és minden esetben dokumentálás és időszakos felülvizsgálat tárgyát képezik. A szerepkörök és felelősségek egyszerűek és egyértelműek: a GM átfogó felügyeletet biztosít, gondoskodik a szabályzatok betartásáról, és kezeli a felhasználói fiókokhoz kapcsolódó információbiztonsági incidenseket. A megvalósítás és a technikai kikényszerítés feladatai az IT-vezetőre (vagy külső IT-szolgáltatóra) hárulnak, aki a hozzáférés-kiosztást, letiltást, monitorozást és naplózást végzi, szigorúan dokumentált jóváhagyások alapján. A közvetlen felettesek kulcsszerepet játszanak a hozzáférési kérelmek benyújtásában, a hozzáférés-felülvizsgálatokban és a hozzáférés-validálásban, amikor a csapattagok szerepköre változik, míg minden felhasználó felelős a hitelesítő adatai védelméért és a gyanús tevékenységek incidensbejelentéséért. A szabályzat szigorú irányítás alatt áll: minden fiókmódosítást, létrehozást, deaktiválást és jogosultság-eszkalációt naplózni kell, és név szerint azonosított személyekhez kell rendelni. Az időszakos hozzáférés-felülvizsgálatok legalább félévente kötelezőek. A jelszókomplexitás, a többtényezős hitelesítés, ahol lehetséges, a sikertelen próbálkozások utáni fiókzárolás, valamint a szolgáltatásfiókok és harmadik felek hozzáféréseinek szisztematikus felülvizsgálata a szabályokba beépített követelmények. A kiléptetési eljárások biztosítják a hozzáférések gyors megszüntetését és minden hozzáférési token vagy eszköz visszaszerzését, csökkentve a fennmaradó hozzáférési kockázatokat. A kivételkezelés magas színvonalú: bármely eltérés az alapkövetelményektől (például a megosztott vagy tesztfiókok ritka használata) írásos indoklást igényel, kompenzáló kontrollok alkalmazásával, negyedéves felülvizsgálattal, és végső visszavonás alá esik. A sürgősségi „break glass” fiókok csak meghatározott, dokumentált feltételek mellett engedélyezettek, és használat után vissza kell állítani őket. A szabályzat rendszeres auditokat, információbiztonsági incidens utáni felülvizsgálatokat és éves frissítéseket ír elő a változó szabályozói és üzleti követelményekkel való összhang fenntartására. Végül kifejezetten hivatkozik a kapcsolódó szabályzatokra, amelyek az irányítást, a hozzáférés-ellenőrzést, a beléptetési és kiléptetési folyamatot, a biztonságtudatossági képzést és az incidensreagálás területét fedik le, biztosítva a hozzáféréskezelés és a megfelelés holisztikus megközelítését.