Polityka zarządzania kontami użytkowników i uprawnieniami – MŚP

Polityka zarządzania kontami użytkowników i uprawnieniami (P11S) to kompleksowa oferta ukierunkowana na MŚP, zaprojektowana do nadzorowania tworzenia, używania, monitorowania oraz usuwania kont użytkowników i uprawnień w organizacji. Jako polityka dostosowana do globalnych norm i wymogów regulacyjnych ustanawia ramy zapewniające, że wyłącznie uprawnieni użytkownicy mają właściwy dostęp — jest to kluczowy środek kontrolny służący zapobieganiu nieuprawnionemu dostępowi i ograniczaniu zagrożeń wewnętrznych. P11S została napisana specjalnie dla małych i średnich przedsiębiorstw (MŚP), co odzwierciedla odpowiedzialność Dyrektora generalnego (GM) oraz brak złożonych struktur ładu IT, takich jak dedykowane centrum operacji bezpieczeństwa (SOC) czy Dyrektor ds. bezpieczeństwa informacji (CISO). Takie podejście sprawia, że kontrola dostępu o wysokim poziomie zapewnienia jest osiągalna i możliwa do utrzymania w organizacjach bez dużych zespołów bezpieczeństwa, przy zachowaniu zgodności z ISO/IEC 27001:2022 i powiązanymi ramami. Polityka ma zastosowanie do wszystkich pracowników, wykonawców, stażystów oraz stron trzecich mających dostęp do systemów informatycznych organizacji. Obejmuje tradycyjne konta użytkowników, konta administratorów i konta usługowe, a także tymczasowe dane uwierzytelniające. Zasady obejmują cały cykl życia konta — od wdrażania i nadawania dostępu, przez okresowe przeglądy dostępu, po cofnięcie uprawnień dostępu w ramach offboardingu. Każdemu użytkownikowi przypisuje się unikalną, identyfikowalną tożsamość w celu zapewnienia rozliczalności, a współdzielone poświadczenia są wyraźnie zabronione, z wyjątkiem kontrolowanych, udokumentowanych odstępstw. Uprawnienia uprzywilejowane muszą przejść dodatkową warstwę uzasadnienia i autoryzacji, zawsze z wymogiem dokumentowania i okresowego przeglądu. Role i odpowiedzialności są uproszczone i jednoznaczne: GM zapewnia ogólny nadzór, dbając o przestrzeganie polityki oraz obsługę wszelkich incydentów bezpieczeństwa informacji związanych z kontami użytkowników. Zadania wdrożeniowe i wymuszenie techniczne realizuje Kierownik ds. IT (lub zewnętrzny dostawca IT), który zarządza nadawaniem dostępu, wyłączaniem, monitorowaniem oraz rejestrowaniem audytowym — ściśle na podstawie udokumentowanych ścieżek akceptacji. Bezpośredni przełożony odgrywa kluczową rolę w składaniu wniosków o dostęp, przeglądach i walidacji dostępu w miarę zmian ról członków zespołu, a każdy użytkownik odpowiada za ochronę swoich danych uwierzytelniających i zgłaszanie incydentów w przypadku podejrzanej aktywności. Polityka jest ściśle zarządzana: wszystkie zmiany kont, tworzenie, dezaktywacje oraz podniesienie uprawnień systemowych muszą być rejestrowane i powiązane z imiennie wskazanymi osobami. Okresowe przeglądy uprawnień dostępu są wymagane co najmniej co sześć miesięcy. Złożoność haseł, uwierzytelnianie wieloskładnikowe tam, gdzie to możliwe, blokada konta po nieudanych próbach oraz systematyczny przegląd kont usługowych i dostępu stron trzecich są wbudowane w zasady. Procedury offboardingu zapewniają szybkie wycofywanie dostępu oraz odzyskiwanie wszystkich tokenów dostępu lub urządzeń, ograniczając ryzyko utrzymującego się dostępu. Zarządzanie wyjątkami jest utrzymywane na wysokim poziomie: każde odstępstwo od podstawowej polityki (np. rzadkie użycie kont współdzielonych lub testowych) musi być uzasadnione na piśmie, objęte kontrolami kompensacyjnymi, przeglądane kwartalnie i podlegać docelowemu cofnięciu uprawnień dostępu. Konta awaryjne „break glass” są dozwolone wyłącznie w określonych, udokumentowanych warunkach i muszą zostać zresetowane po użyciu. Polityka wymaga regularnych audytów, przeglądów po incydencie oraz corocznych aktualizacji w celu utrzymania zgodności z ewoluującymi wymaganiami regulacyjnymi i biznesowymi. Na koniec polityka odsyła wprost do polityk towarzyszących, które obejmują odpowiednio zarządzanie, kontrolę dostępu, politykę zatrudniania i zakończenia współpracy, szkolenie z zakresu świadomości bezpieczeństwa oraz reagowanie na incydenty, zapewniając holistyczne podejście do zarządzania dostępem i zgodności.