5.16 Zarządzanie tożsamością
W skrócie: każdy użytkownik i każdy system korzystający z zasobów ma unikalną tożsamość, zarządzaną od utworzenia do usunięcia.
Cel: jednoznaczna identyfikacja osób i systemów korzystających z informacji organizacji, umożliwiająca właściwe przypisanie praw dostępu.
Atrybuty
| Typ atrybutu | Wartości |
|---|---|
| Typ zabezpieczenia | #Preventive (prewencyjne) |
| Właściwości bezpieczeństwa informacji | #Confidentiality (poufność), #Integrity (integralność), #Availability (dostępność) |
| Koncepcje cyberbezpieczeństwa | #Protect (ochrona) |
| Zdolności operacyjne | #Identity_and_access_management (zarządzanie tożsamością i dostępem) |
| Domeny bezpieczeństwa | #Protection (ochrona) |
Znaczenie atrybutów opisuje 4.2 Tematy i atrybuty.
Wytyczne
- Każda tożsamość jest powiązana z jedną osobą, tak by można było przypisać odpowiedzialność za działania.
- Tożsamości współdzielone dopuszcza się tylko wtedy, gdy jest to konieczne z przyczyn biznesowych lub operacyjnych, po zatwierdzeniu i z udokumentowaniem.
- Tożsamości przypisane podmiotom nieosobowym (aplikacjom, usługom, urządzeniom) zatwierdza się i nadzoruje osobno.
- Tożsamości nieużywane lub niepotrzebne — np. po odejściu pracownika — terminowo wyłącza się lub usuwa.
- W danym środowisku unika się duplikowania tożsamości.
- Prowadzi się zapisy istotnych zdarzeń dotyczących tożsamości i informacji uwierzytelniających.
- Przy tożsamościach dostarczanych lub wydawanych przez strony trzecie (np. logowanie przez zewnętrznego dostawcę tożsamości) organizacja ocenia, czy poziom zaufania jest wystarczający.
W praktyce
Przykłady i narzędzia poniżej to praktyka branżowa, nie treść normy.
- Źródłem prawdy o pracownikach jest system kadrowy. Zatrudnienie, przeniesienie i odejście automatycznie wywołują zmiany w katalogu (proces joiner–mover–leaver).
- Konta usługowe i tokeny API ujęte w inwentarzu, z właścicielem i datą przeglądu — to częsta luka.
- Okresowy raport kont nieaktywnych dłużej niż ustalony próg, z automatycznym blokowaniem.
Powiązania
- ISO/IEC 27001:2022: Załącznik A, A.5.16 — wykaz zabezpieczeń organizacyjnych.
- Pokrewne zabezpieczenia: 5.15 Kontrola dostępu, 5.17 Informacje uwierzytelniające, 5.18 Prawa dostępu, 8.5 Bezpieczne uwierzytelnianie.
- ISO/IEC 27002:2013: 9.2.1.