5.18 Prawa dostępu
W skrócie: prawa dostępu są nadawane na podstawie zatwierdzonego wniosku, regularnie przeglądane i odbierane, gdy przestają być potrzebne.
Cel: zapewnienie, że dostęp do informacji i innych powiązanych aktywów jest zdefiniowany i autoryzowany zgodnie z wymaganiami biznesowymi.
Atrybuty
| Typ atrybutu | Wartości |
|---|---|
| Typ zabezpieczenia | #Preventive (prewencyjne) |
| Właściwości bezpieczeństwa informacji | #Confidentiality (poufność), #Integrity (integralność), #Availability (dostępność) |
| Koncepcje cyberbezpieczeństwa | #Protect (ochrona) |
| Zdolności operacyjne | #Identity_and_access_management (zarządzanie tożsamością i dostępem) |
| Domeny bezpieczeństwa | #Protection (ochrona) |
Znaczenie atrybutów opisuje 4.2 Tematy i atrybuty.
Wytyczne
- Nadawanie i odbieranie praw: autoryzacja przez właściciela zasobu, sprawdzenie zgodności z polityką (5.15) i rozdzieleniem obowiązków (5.3), aktywacja dopiero po zakończeniu procedury, centralny zapis nadanych praw.
- Prawa zmienia się przy zmianie roli lub stanowiska i odbiera przy zakończeniu współpracy — także dostęp fizyczny.
- Dostęp tymczasowy (np. dla dostawcy) nadaje się na określony czas i odbiera po jego upływie.
- Przeglądy praw: okresowo i przy zmianach w zatrudnieniu, częściej dla uprawnień uprzywilejowanych (8.2). Przegląd sprawdza, czy prawa nadal odpowiadają roli.
- Przed zakończeniem lub zmianą zatrudnienia ocenia się ryzyko i w razie potrzeby wcześniej ogranicza dostęp, zwłaszcza gdy zakończenie jest inicjowane przez organizację lub gdy osoba ma wysokie uprawnienia.
- Norma sugeruje rozważenie zapisów w umowach o sankcjach za próbę nieuprawnionego dostępu.
W praktyce
Przykłady i narzędzia poniżej to praktyka branżowa, nie treść normy.
- Kampanie recertyfikacji w narzędziu IAM: kierownik raz na kwartał lub pół roku potwierdza lub odbiera uprawnienia swoich ludzi.
- Dostęp just-in-time z automatycznym wygaśnięciem dla dostawców i zadań jednorazowych.
- Porównanie listy aktywnych kont z listą z systemu kadrowego — konta bez zatrudnionego właściciela to klasyczne ustalenie audytowe.
Powiązania
- ISO/IEC 27001:2022: Załącznik A, A.5.18 — wykaz zabezpieczeń organizacyjnych.
- Pokrewne zabezpieczenia: 5.3 Rozdzielenie obowiązków, 5.15 Kontrola dostępu, 5.16 Zarządzanie tożsamością, 6.5 Obowiązki po zakończeniu lub zmianie zatrudnienia, 8.2 Uprawnienia uprzywilejowane.
- ISO/IEC 27002:2013: 9.2.2, 9.2.5, 9.2.6.