Przejdź do głównej zawartości

8.3 Ograniczenie dostępu do informacji

W skrócie: systemy technicznie wymuszają politykę dostępu — każdy widzi i zmienia tylko to, do czego ma prawo.

Cel: zapewnienie wyłącznie autoryzowanego dostępu i zapobieganie nieuprawnionemu dostępowi do informacji i innych powiązanych aktywów.

Atrybuty​

Typ atrybutuWartości
Typ zabezpieczenia#Preventive (prewencyjne)
Właściwości bezpieczeństwa informacji#Confidentiality (poufność), #Integrity (integralność), #Availability (dostępność)
Koncepcje cyberbezpieczeństwa#Protect (ochrona)
Zdolności operacyjne#Identity_and_access_management (zarządzanie tożsamością i dostępem)
Domeny bezpieczeństwa#Protection (ochrona)

Znaczenie atrybutów opisuje 4.2 Tematy i atrybuty.

Wytyczne​

  • Dostęp do informacji ogranicza się zgodnie z polityką tematyczną kontroli dostępu.
  • Organizacja nie dopuszcza dostępu do wrażliwych informacji przez nieznane tożsamości lub anonimowo. Dostęp publiczny lub anonimowy przyznaje się tylko do informacji, które nie wymagają ochrony.
  • Mechanizmy konfiguracji kontrolują, do jakich informacji w systemie i aplikacji ma dostęp dany użytkownik, oraz jakie operacje (odczyt, zapis, usuwanie, wykonywanie) może wykonać.
  • Kontroluje się dostęp do aplikacji, systemów i funkcji oraz zapewnia fizyczną lub logiczną izolację wrażliwych aplikacji, danych i systemów.
  • Norma opisuje dynamiczne zarządzanie dostępem: ochrona informacji wysokiej wartości dzielonych poza organizacją — z kontrolą użycia, np. ograniczeniem drukowania, kopiowania czy czasu dostępu, często w powiązaniu z szyfrowaniem i uwierzytelnianiem użytkownika.

W praktyce​

Przykłady i narzędzia poniżej to praktyka branżowa, nie treść normy.

  • Uprawnienia na poziomie rekordów i pól w aplikacjach biznesowych, a nie tylko „ma dostęp do systemu lub nie”.
  • Usługi zarządzania prawami do informacji (IRM, np. Microsoft Purview Information Protection) dla dokumentów udostępnianych na zewnątrz.
  • Testy autoryzacji w aplikacjach — brak kontroli dostępu (Broken Access Control) jest pierwszą kategorią OWASP Top 10 (A01 w edycjach 2021 i 2025).

Powiązania​