Felhasználói fiók- és jogosultságkezelési szabályzat

A Felhasználói fiók- és jogosultságkezelési szabályzat (P11 dokumentum) strukturált és kötelező keretrendszert biztosít annak szabályozására, hogy a felhasználói fiókok és hozzáférési jogosultságok hogyan kerülnek kezelésre valamennyi szervezeti információs rendszerben és technológiában. Alapvető célja annak biztosítása, hogy a szervezeti erőforrásokhoz kizárólag jogosult személyek férjenek hozzá, validált szerepkörök és üzemeltetési szükségletek alapján. A szabályzat elismeri és kikényszeríti a kulcsfontosságú információbiztonsági elveket, mint a legkisebb jogosultság elve és a feladatkörök szétválasztása, továbbá auditálható folyamatokat ír elő a felhasználói fiókok hozzáférés-kiosztásához, kezeléséhez, monitorozásához és a hozzáférés visszavonásához. Valamennyi felhasználóra alkalmazandó, beleértve a munkavállalókat, vállalkozókat, harmadik fél szolgáltatókat és tanácsadókat; a szabályzat minden olyan rendszert irányít, ahol felhasználóhitelesítés van. Ez az átfogó hatókör kiterjed a vállalati alkalmazásokra, felhő- és SaaS-környezetekre, adminisztratív rendszerekre és távoli hozzáférési eszközökre, valamint az identitás- és hozzáférés-kezelés (IAM) platformokra. A követelmények mind a standard, mind a kiemelt jogosultságú fiókokra vonatkoznak, erős hangsúllyal minden fiók egyedi azonosíthatóságán, valamint a megosztott hitelesítő adatok vagy generikus fiókok használatának megelőzésén (kivéve szigorúan kontrollált sürgősségi forgatókönyvek esetén). A szabályzat fő célkitűzései közé tartozik az egyedi, indokolható és nyomon követhető felhasználói fiókok kikényszerítése; a legkisebb jogosultság elve szerinti kontrollok bevezetése a túlzott hozzáférési jogosultságok elleni védelem érdekében; a fiókállapotok gyors módosításának megkövetelése szerepkör-változások vagy megszüntetés esetén; valamint a fiókéletciklus-tevékenységek központosítása a következetesség és auditálhatóság érdekében. A szabályzat rendelkezéseket tartalmaz az inaktív felhasználói hitelesítési adatokkal rendelkező vagy visszaélésszerűen használt fiókok proaktív észlelésére rendszeres hozzáférés-felülvizsgálatok és automatizált eszközök alkalmazásával. A szabályzat kifejezetten úgy került kialakításra, hogy összhangban legyen a vezető biztonsági szabványokkal (például ISO/IEC 27001:2022, 27002:2022, NIST SP 800-53 Rev.5, EU NIS2, EU DORA, GDPR és COBIT 2019), a szabályozási és iparági legjobb gyakorlatok szerinti követelmények teljesítése érdekében. A szerepek és felelősségek egyértelműen meghatározottak, az információbiztonsági vezető (CISO) felügyeleti és kivételkezelési szerepétől a hozzáférés-ellenőrzési menedzserek technikai intézkedésein, az osztályvezetők hozzáférés-engedélyezésein és a HR beléptetési és kiléptetési folyamataival való integrációján át. Az eljárások biztosítják, hogy a fióklétrehozás, módosítás és deaktiválás szigorúan irányított legyen, a kiemelt jogosultságú hozzáférés pedig fokozott ellenőrzés, jóváhagyások, időkorlátozások és megerősített auditnaplózás alá essen. A hitelesítési kontrollok – beleértve a kötelező jelszószabályzatokat, a többtényezős hitelesítést a kulcsfontosságú fiókok esetén, a munkamenet-zárolást és a biztonságos távoli hozzáférési protokollokat – alapkövetelményt képeznek, biztosítva, hogy az identitás-ellenőrzés ne legyen megkerülhető. A robusztus monitorozás, naplózás és időszakos felülvizsgálati intézkedések segítenek a pontos fiókleltár fenntartásában és a megfelelés kikényszerítésében. A kivételkezelés kockázatalapú és kontrollált, a sürgősségi hozzáférési („break-glass”) forgatókönyvek pedig külön eljárási figyelmet kapnak. A kötelező megfelelés hangsúlyozott, progresszív érvényesítési modellel, amely magában foglalja a hozzáférés letiltását, célzott továbbképzést, fegyelmi intézkedéseket, valamint jogi és szabályozási eszkalációt szabályszegések esetén. A kapcsolódó szervezeti szabályzatokkal való integráció koherens megközelítést biztosít valamennyi információbiztonsági kontrollterületen, az éves (vagy eseményvezérelt) felülvizsgálati követelmény pedig garantálja a folyamatos fejlesztést és az összhangot a változó rendszerekkel, üzleti modellekkel és szabályozási környezettel. A Felhasználói fiók- és jogosultságkezelési szabályzat a szervezet kockázatkezelési stratégiájának alapvető eleme, megerősítve az üzemeltetési biztonságot és a jogszabályi megfelelést.