8.2 Uprawnienia uprzywilejowane
W skrócie: uprawnienia administracyjne są przydzielane oszczędnie, na osobne konta, na tyle czasu, ile trzeba, i są pod szczególnym nadzorem.
Cel: zapewnienie, że uprawnienia uprzywilejowane mają tylko upoważnieni użytkownicy, komponenty oprogramowania i usługi.
Atrybuty
| Typ atrybutu | Wartości |
|---|---|
| Typ zabezpieczenia | #Preventive (prewencyjne) |
| Właściwości bezpieczeństwa informacji | #Confidentiality (poufność), #Integrity (integralność), #Availability (dostępność) |
| Koncepcje cyberbezpieczeństwa | #Protect (ochrona) |
| Zdolności operacyjne | #Identity_and_access_management (zarządzanie tożsamością i dostępem) |
| Domeny bezpieczeństwa | #Protection (ochrona) |
Znaczenie atrybutów opisuje 4.2 Tematy i atrybuty.
Wytyczne
- Przydział uprawnień uprzywilejowanych kontroluje proces autoryzacji zgodny z polityką kontroli dostępu (5.15).
- Dla każdego systemu lub procesu identyfikuje się użytkowników potrzebujących uprawnień uprzywilejowanych i przydziela je według potrzeby, na zasadzie zdarzenie po zdarzeniu — minimum potrzebne do roli.
- Prowadzi się rejestr przydzielonych uprawnień. Uprawnień nie aktywuje się przed zakończeniem procesu autoryzacji.
- Określa się wymagania dotyczące wygasania uprawnień. Uprawnienia przyznaje się na czas zadania, nie na stałe, gdzie to możliwe.
- Użytkownicy z uprawnieniami są świadomi ich znaczenia i ryzyka.
- Do uprawnień uprzywilejowanych wymaga się silniejszego uwierzytelniania (np. MFA).
- Uprawnienia przypisuje się do tożsamości innej niż używana do codziennej pracy. Na kontach uprzywilejowanych nie czyta się poczty i nie przegląda internetu.
- Unika się ogólnych identyfikatorów administracyjnych (np. „root”) lub chroni się je dodatkowo. Dostęp uprzywilejowany rejestruje się do audytu, a uprawnienia regularnie przegląda.
W praktyce
Przykłady i narzędzia poniżej to praktyka branżowa, nie treść normy.
- System PAM z sejfem haseł, nagrywaniem sesji i dostępem just-in-time.
- Model warstwowy kont administracyjnych (tier 0/1/2) w środowiskach Active Directory; Microsoft rozwinął go w Enterprise Access Model.
- Stanowiska administracyjne uprzywilejowane (PAW) — osobne komputery do zadań administracyjnych.
Powiązania
- ISO/IEC 27001:2022: Załącznik A, A.8.2 — wykaz zabezpieczeń technologicznych.
- Pokrewne zabezpieczenia: 5.15 Kontrola dostępu, 5.18 Prawa dostępu, 8.5 Bezpieczne uwierzytelnianie, 8.15 Rejestrowanie zdarzeń, 8.18 Używanie uprzywilejowanych programów narzędziowych.
- ISO/IEC 27002:2013: 9.2.3.