Pääsyoikeusroolien määrittely ja dokumentointi

Critical
High
Normal
Low

Organisaatio toteuttaa roolipohjaista pääsynhallintaa, jossa on ennakkoon määritetty eri suojattavalle omaisuudelle pääsyoikeusroolit, jotka oikeuttavat pääsyn. Roolien tiukkuuden tulisi heijastaa omaisuuteen liittyviä tietoturvariskejä.

Määrittelyn tueksi pitää harkita seuraavia asioita:

  • kuinka laajoihin tietoihin kukin käyttäjä tarvitsee pääsyn
  • kuinka laajasti käyttäjän tulee pystyä muokkaamaan tietoja (luku-, kirjoitus-, poisto-, tulostamis-, suorittamisoikeus)
  • onko muilla sovelluksilla pääsyä tietoihin
  • voidaanko tietoja eriyttää omaisuuden sisällä niin, että arkaluonteiset tiedot paljastuvat vähemmän
Liittyvät muut vaatimuskehikot ja vaatimukset:
I06: Pääsyoikeuksien hallinnointi
Katakri
25. Sisäänrakennettu ja oletusarvoinen tietosuoja
GDPR

Pääsyoikeuksien katselmointi työsuhteen muutostilanteissa

Critical
High
Normal
Low

Kaikissa työsuhteen muutostilanteissa pääsyoikeudet olisi katselmoitava yhteistyössä suojattavan omaisuuden omistajien kanssa, ja myönnettävä henkilölle kokonaan uudelleen, kun henkilön työsuhteessa tapahtuu merkittävä muutos. Muutos voi olla ylennys tai roolin vaihtaminen (esim. yksiköstä toiseen siirtyminen).

Liittyvät muut vaatimuskehikot ja vaatimukset:
9.2.5: Review of user access rights
ISO 27001
HAL-15: Työskentelyn tietoturvallisuus koko palvelussuhteen ajan
Julkri
No items found.