Przejdź do głównej zawartości

5.15 Kontrola dostępu

W skrócie: organizacja ma zasady określające, kto i na jakich warunkach może korzystać z informacji i zasobów — i stosuje je zarówno w systemach, jak i w budynkach.

Cel: zapewnienie autoryzowanego dostępu i zapobieganie nieautoryzowanemu dostępowi do informacji i innych powiązanych aktywów.

Atrybuty​

Typ atrybutuWartości
Typ zabezpieczenia#Preventive (prewencyjne)
Właściwości bezpieczeństwa informacji#Confidentiality (poufność), #Integrity (integralność), #Availability (dostępność)
Koncepcje cyberbezpieczeństwa#Protect (ochrona)
Zdolności operacyjne#Identity_and_access_management (zarządzanie tożsamością i dostępem)
Domeny bezpieczeństwa#Protection (ochrona)

Znaczenie atrybutów opisuje 4.2 Tematy i atrybuty.

Wytyczne​

  • Właściciele informacji określają wymagania bezpieczeństwa i biznesowe dotyczące dostępu. Na tej podstawie powstaje polityka tematyczna kontroli dostępu.
  • Polityka opiera się na zasadach wiedzy koniecznej (need-to-know — dostęp tylko do informacji potrzebnych do zadań) i koniecznego użycia (need-to-use — dostęp tylko do potrzebnych zasobów infrastruktury).
  • Polityka uwzględnia m.in. kto potrzebuje dostępu, bezpieczeństwo aplikacji, dostęp fizyczny (7.2–7.4), rozpowszechnianie i autoryzację informacji, klasyfikację (5.12), rozdzielenie obowiązków (5.3), wymagania prawne, rejestrowanie zdarzeń.
  • Reguły dostępu formułuje się ostrożnie. Lepsza jest zasada „wszystko jest zabronione, chyba że wyraźnie dozwolone” niż odwrotna.
  • Uwzględnia się zmiany uprawnień inicjowane automatycznie przez system i te inicjowane przez administratora, a także reguły wymagające dodatkowego zatwierdzenia.
  • Norma wymienia różne modele realizacji: kontrola obowiązkowa (MAC), uznaniowa (DAC), oparta na rolach (RBAC) i oparta na atrybutach (ABAC).
  • Szczegóły realizacji technicznej opisują inne zabezpieczenia: tożsamość (5.16), uwierzytelnianie (5.17, 8.5), prawa dostępu (5.18), uprawnienia uprzywilejowane (8.2), ograniczanie dostępu w systemach (8.3).

W praktyce​

Przykłady i narzędzia poniżej to praktyka branżowa, nie treść normy.

  • RBAC jako punkt wyjścia: role biznesowe zdefiniowane z właścicielami systemów, a nie kopiowanie uprawnień „jak u kolegi”.
  • Model Zero Trust: każde żądanie dostępu oceniane na podstawie tożsamości, stanu urządzenia i kontekstu, a nie położenia w sieci.
  • Polityka dostępu z rejestrem wyjątków i datą ich wygaśnięcia.

Powiązania​