Asmenį identifikuojančios informacijos (AII) saugumo ir prieigos kontrolės politika

Asmenį identifikuojančios informacijos (AII) saugumo ir prieigos kontrolės politika apibrėžia organizacijos AII taikomus reikalavimus, skirtus asmens duomenims apsaugoti sistemose, taikomosiose programose, paslaugose, įrenginiuose, debesijos aplinkose ir operaciniuose procesuose. Ji taikoma, kai AII saugoma, perduodama, tvarkoma, pasiekiama, administruojama arba apsaugoma, ir apima duomenų valdytojo, bendro duomenų valdytojo, duomenų tvarkytojo ir subtvarkytojo kontekstus. Politika aiškiai sukurta integruotis su esamomis informacijos saugumo praktikomis, o ne pakeisti visą informacijos saugumo valdymo sistemą, Tinklo saugumo politiką, Saugaus kūrimo politiką, atsarginių kopijų politiką, galinių įrenginių politiką, debesijos saugumo politiką, kriptografinių kontrolės priemonių standartą, pažeidžiamumų valdymo procedūrą ar reagavimo į incidentus procedūrą. Pagrindinis jos tikslas – užtikrinti, kad AII viso tvarkymo metu būtų apsaugota tinkamomis, su rizika suderintomis ir audituojamomis saugumo ir prieigos kontrolės priemonėmis. Šiam tikslui įgyvendinti politika nustato bazinius AII saugumo reikalavimus ir reikalauja atsekamų įrodymų per REG02, REG08, REG10 ir REG12. Šis įrodymų modelis yra esminė politikos dalis: operaciniai žurnalai, saugumo priemonių išvestys, prieigos peržiūrų eksportai, pažeidžiamumų ataskaitos ir konfigūracijos įrodymai gali būti pridedami prie kanoninių įrodymų objektų, juose apibendrinami arba jais nurodomi, tačiau jie nelaikomi atskirais PIMS registrais. Tai leidžia organizacijai parodyti, kad kontrolės priemonės yra planuojamos, įgyvendinamos, peržiūrimos, stebimos ir tobulinamos nedubliuojant saugumo įrašų. Politika nustato išsamius reikalavimus prieigos kontrolei, autentifikavimui ir privilegijuotos prieigos valdymui. Prieiga prie AII turi būti apribota iki patvirtintų vaidmenų ir autorizuotų naudotojų, kurie yra įrašyti arba atsekami REG02 arba REG12, o verslo tikslas turi būti patvirtintas prieš prieigos suteikimą. Didelio poveikio arba jautrioms AII sistemoms reikalaujamos bent ketvirtinės naudotojų prieigos peržiūros, o kitoms AII sistemoms – bent metinė peržiūra. Prieiga turi būti panaikinta arba pakeista per vieną darbo dieną po vaidmens pakeitimo, darbo santykių nutraukimo, sutarties įvykdymo arba kai prieiga nebėra reikalinga. Privilegijuota prieiga prieš suteikimą turi turėti dokumentuotą pagrindimą, taikymo sritį ir patvirtinimą; didelio poveikio arba jautrioms AII sistemoms ji peržiūrima kas mėnesį, o kitoms AII sistemoms – kas ketvirtį. Politika taip pat apibrėžia techninius saugumo lūkesčius dėl autentifikavimo, šifravimo, saugaus saugojimo, žurnalavimo, stebėsenos, konfigūracijos, pažeidžiamumų valdymo, galinių įrenginių prieigos ir debesijos prieigos. Paskyroms, turinčioms AII prieigą, reikalingos unikalios naudotojų tapatybės, o stiprus autentifikavimas reikalingas privilegijuotai, nuotolinei, administratoriaus lygmens arba didelio poveikio AII prieigai. Šifravimas arba patvirtinta kompensuojanti apsauga turi būti apibrėžta prieš saugant, perduodant arba padarant prieinamą didelio poveikio, jautrią arba išorėje perduodamą AII. Žurnalavimo taikymo sritis turi apimti autentifikavimo įvykius, prieigos įvykius, privilegijuotus veiksmus, AII eksporto veiklą ir esminius konfigūracijos pakeitimus. Konfigūracijos būsena ir pažeidžiamumų aprėptis turi būti įrašoma REG12, o neišspręsti didelės rizikos pažeidžiamumai, darantys poveikį AII, turi būti įrašomi per penkias darbo dienas nuo validavimo. Valdysenos atsakomybės paskirstomos aukščiausiajai vadovybei, privatumo vadovui / PIMS vadovui, duomenų apsaugos pareigūnui / privatumo konsultantui, informacijos saugumo vadovui, procesų savininkui / verslo savininkui, sistemos savininkui / taikomosios programos savininkui, tiekėjų / pirkimų savininkui, reagavimo į incidentus koordinatoriui ir vidaus audito / atitikties peržiūros vykdytojui. Politika reikalauja kas ketvirtį atlikti įrodymų išsamumo peržiūras REG02, REG08, REG10 ir REG12, kas ketvirtį peržiūrėti bazinių reikalavimų veiksmingumą ir neišspręstas spragas, taip pat atlikti audito imčių atranką prieigos peržiūroms, privilegijuotos prieigos peržiūroms, žurnalavimo įrodymams ir konfigūracijos įrodymams. Išimtys turi būti įrašytos prieš aktyvavimą, apimti galiojimo pabaigą, kompensuojančią kontrolės priemonę ir peržiūros datą, o aukščiausiosios vadovybės patvirtinimas reikalingas, kai jos daro poveikį didelio poveikio AII, jautriai AII, privilegijuotai prieigai, šifravimui, žurnalavimui arba neišspręstiems didelės rizikos pažeidžiamumams.