Polityka zarządzania kontami użytkowników i uprawnieniami

Polityka zarządzania kontami użytkowników i uprawnieniami (Dokument P11) zapewnia ustrukturyzowane i obowiązkowe ramy kontrolowania sposobu, w jaki konta użytkowników i uprawnienia dostępu są zarządzane we wszystkich systemach informatycznych organizacji i technologiach. Jej podstawowym celem jest zapewnienie, że zasoby organizacji są dostępne wyłącznie dla osób upoważnionych, zgodnie ze zwalidowanymi rolami i potrzebami operacyjnymi. Polityka uznaje i egzekwuje kluczowe zasady bezpieczeństwa informacji, takie jak zasada najmniejszych uprawnień oraz rozdzielenie obowiązków (SoD), i wymaga audytowalnych procesów dla nadawania dostępu, zarządzania, monitorowania oraz cofnięcia uprawnień dostępu do kont użytkowników. Mająca zastosowanie do wszystkich użytkowników, w tym pracowników, wykonawców, dostawców usług stron trzecich oraz konsultantów, polityka reguluje każdy system, w którym występuje uwierzytelnianie użytkownika. Ten kompleksowy zakres obejmuje aplikacje biznesowe, środowiska chmury obliczeniowej i SaaS, systemy administracyjne oraz narzędzia dostępu zdalnego, a także zarządzanie tożsamością i dostępem (IAM). Zarówno konta standardowe, jak i konta uprzywilejowane podlegają jej wymaganiom, ze szczególnym naciskiem na unikalne nazwy użytkowników dla każdego konta oraz zapobieganie używaniu współdzielonych poświadczeń lub kont współdzielonych/genericznych (z wyjątkiem ściśle kontrolowanych scenariuszy awaryjnych). Kluczowe cele polityki obejmują egzekwowanie unikalnych, uzasadnionych i możliwych do śledzenia kont użytkowników; wdrażanie kontroli zasady najmniejszych uprawnień w celu ochrony przed nadmiernym korzystaniem z praw dostępu; wymaganie szybkich zmian statusu kont po zmianach ról lub zakończeniu współpracy; oraz centralizację działań w zakresie zarządzania cyklem życia dostępu dla spójności i audytowalności. Ustanowiono postanowienia dotyczące proaktywnego wykrywania uśpionych danych uwierzytelniających użytkownika lub niewłaściwie używanych kont poprzez regularne przeglądy dostępu oraz wykorzystanie zautomatyzowanych narzędzi. Polityka została wyraźnie zaprojektowana w celu dostosowania do wiodących norm bezpieczeństwa (takich jak ISO/IEC 27001:2022, 27002:2022, NIST SP 800-53 Rev.5, EU NIS2, EU DORA, GDPR oraz COBIT 2019), aby spełnić zarówno wymagania regulacyjne, jak i najlepsze praktyki branżowe. Role i obowiązki są jasno zdefiniowane — od nadzoru dyrektora ds. bezpieczeństwa informacji (CISO) i zarządzania wyjątkami, przez działania techniczne administratorów kontroli dostępu, autoryzacje dostępu przez kierowników działów, po integrację HR z procesami wdrażania i offboardingu. Procedury zapewniają, że tworzenie, modyfikacja i dezaktywacja kont są ściśle nadzorowane, a dostęp uprzywilejowany podlega dodatkowej weryfikacji, zatwierdzeniom, dostępowi ograniczonemu czasowo oraz wzmocnionemu rejestrowaniu audytowemu. Kontrole uwierzytelniania, w tym obowiązkowe zarządzanie hasłami, uwierzytelnianie wieloskładnikowe dla kluczowych kont, blokowanie sesji oraz bezpieczne protokoły dostępu zdalnego, stanowią podstawowy wymóg, zapewniając, że weryfikacja tożsamości nie może zostać ominięta. Solidne monitorowanie, rejestrowanie audytowe oraz okresowe przeglądy pomagają utrzymywać dokładne wykazy aktywnych użytkowników i egzekwować zgodność. Obsługa wyjątków jest oparta na ryzyku i kontrolowana, a scenariusze dostępu awaryjnego („break-glass”) otrzymują szczególną uwagę proceduralną. Obowiązkowa zgodność jest podkreślona przez progresywny model egzekwowania, obejmujący wyłączenie dostępu, ukierunkowane ponowne trenowanie, środki dyscyplinarne oraz eskalację prawną/regulacyjną w przypadku naruszeń. Integracja z powiązanymi politykami organizacyjnymi zapewnia spójne podejście we wszystkich obszarach bezpieczeństwa informacji, a wymóg corocznych (lub wyzwalanych zdarzeniami) przeglądów polityki gwarantuje ciągłe doskonalenie i dostosowanie do ewoluujących systemów, modeli biznesowych oraz krajobrazu regulacyjnego. Polityka zarządzania kontami użytkowników i uprawnieniami stanowi fundament strategii zarządzania ryzykiem organizacji, wzmacniając bezpieczeństwo operacyjne i zgodność regulacyjną.