მთავარი დასკვნა
წვდომის თითო გზას მფლობელი და მიზანი მიანიჭეთ. ნებართვები დამტკიცებული როლებით მიეცით, რეგულარულად განიხილეთ და საჭიროების გასვლისას გააუქმეთ.
განსაზღვრეთ ვინაობის სასიცოცხლო ციკლი
განსაზღვრეთ თანამშრომლის, კონტრაქტორის, სერვისული და საგანგებო ანგარიშების შექმნა, მათი დამმტკიცებელი და აღრიცხვის მთავარი სისტემა. აყვანისას მხოლოდ დამტკიცებული როლური წვდომა მიეცით; გუნდისა თუ მოვალეობის შეცვლისას არსებული ნებართვები გადაამოწმეთ. დასაქმების ან ხელშეკრულების დასრულებისას განსაზღვრეთ მფლობელი და სამიზნე დრო ანგარიშების გასათიშად, ტოკენების გასაუქმებლად და გასაღებების შესაცვლელად. სასიცოცხლო ციკლის ავტომატიზაცია პასუხისმგებლობასა და გამონაკლისების განხილვას არ ცვლის. გათიშვისა და ტოკენის გაუქმების შემდეგ თითო დაკავშირებულ აპლიკაციაში წვდომის რეალური დაკარგვა გადაამოწმეთ; დაუყოვნებელი გაუქმების მხარდაჭერის არქონისას დარჩენილი სესიის ვადა აღრიცხეთ.
გააძლიერეთ შესვლა და შეზღუდეთ ნებართვები
ელფოსტის, დისტანციური წვდომის, ადმინისტრაციული კონსოლებისა და სენსიტიური მონაცემების სისტემებისთვის MFA მოითხოვეთ. ადმინისტრატორებისა და კრიტიკული სისტემებისთვის უპირატესობა ფიშინგისადმი მდგრად მეთოდებს მიანიჭეთ; სუსტი MFA სრულ დაცვად არ ჩათვალოთ. როლური წვდომა RBAC‑ით ან შესაბამისი ატრიბუტული წესებით მიანიჭეთ და ფართო ჯგუფებსა და საერთო მომხმარებლის ანგარიშებს მოერიდეთ. სერვისებს შორის ნებართვები ადამიანთა წვდომასავით ყურადღებით შეზღუდეთ და შენახული საიდუმლოებები მართეთ.
განიხილეთ წვდომა და შეინარჩუნეთ აუდიტის კვალი
თითო სენსიტიური სისტემისთვის აღრიცხეთ ბიზნესმფლობელი, მონაცემთა კლასი, დამმტკიცებელი და წვდომის განხილვის ინტერვალი. პერიოდულად განიხილეთ გამოუყენებელი ნებართვები, დროებითი გამონაკლისები, როლების კომბინაციები და შეუთავსებელი მოვალეობები. ცვლილებები, თანხმობები, შესვლები და გაუქმებები ცენტრალიზებულ, ხელყოფისადმი მდგრად ჟურნალში გაგზავნეთ. მხოლოდ შეგროვება საკმარისი არ არის: განსაზღვრეთ გაფრთხილების გამომძიებელი, შენახვის ვადა და საკითხების ესკალაცია.
შეინახეთ თანხმობები და აუდიტის მტკიცებულება
მომთხოვნს, რესურსის მფლობელსა და დამტკიცებულ როლს შორის მიკვლევადი კავშირი შეინარჩუნეთ. სენსიტიური მონაცემებისთვის აღრიცხეთ მიზანი, დამტკიცების თარიღი, ბოლო განხილვა და ვადა; ცვლილების შემდეგ გადაამოწმეთ ჯგუფისა და აპლიკაციის ნებართვების რეალური განახლება. ჟურნალები და ანგარიშები აუდიტს ეხმარება, მაგრამ ორგანიზაციულ ვალდებულებებს, კონტროლის ტესტირებასა და იურიდიულ განხილვას არ ცვლის. ყოველ გამონაკლისს მფლობელი და ვადა დაუნიშნეთ.
პაროლები და საიდუმლოებები სწორად შეინახეთ
პაროლის შემმოწმებელსა და მოგვიანებით ამოსაღებ საიდუმლოს სხვადასხვა შენახვა სჭირდება. შენახვა და საოპერაციო შემოწმებები თითო გამოყენებას შეუსაბამეთ. მომხმარებლის პაროლები ღია ტექსტად ან შექცევადი დაშიფვრით არ შეინახოთ; გამოიყენეთ განზრახ ნელი პაროლის ჰეშირების ალგორითმი და სამუშაო ფაქტორი გარემოს მოარგეთ.
| ავტორიზაციის მონაცემის გამოყენება | შენახვის მიდგომა | საოპერაციო შემოწმება |
|---|---|---|
| მომხმარებლის პაროლის შემოწმება | უნიკალური მარილი და შესაბამისი პაროლის ჰეში | ალგორითმი და სამუშაო ფაქტორი |
| ამოსაღები სერვისული/API საიდუმლო | დაშიფრული მართვადი საიდუმლოებების საცავი | მინიმალური პრივილეგიით ამოღება, აუდიტი და როტაცია |
| თანამშრომელთა პაროლები | დამტკიცებული მართვადი პაროლების მენეჯერი | უნიკალური პაროლები, საცავზე ძლიერი წვდომა და აღდგენა |