Pääsyoikeusroolien määrittely ja dokumentointi

Critical
High
Normal
Low

Organisaatio toteuttaa roolipohjaista pääsynhallintaa, jossa on ennakkoon määritetty eri suojattavalle omaisuudelle pääsyoikeusroolit, jotka oikeuttavat pääsyn. Roolien tiukkuuden tulisi heijastaa omaisuuteen liittyviä tietoturvariskejä.

Määrittelyn tueksi pitää harkita seuraavia asioita:

  • kuinka laajoihin tietoihin kukin käyttäjä tarvitsee pääsyn
  • kuinka laajasti käyttäjän tulee pystyä muokkaamaan tietoja (luku-, kirjoitus-, poisto-, tulostamis-, suorittamisoikeus)
  • onko muilla sovelluksilla pääsyä tietoihin
  • voidaanko tietoja eriyttää omaisuuden sisällä niin, että arkaluonteiset tiedot paljastuvat vähemmän
Liittyvät muut vaatimuskehikot ja vaatimukset:
I06: Pääsyoikeuksien hallinnointi
Katakri
25. Sisäänrakennettu ja oletusarvoinen tietosuoja
GDPR

Pilveen tallennettujen tiedostojen pääsyn valvonta

Critical
High
Normal
Low

Valvomalla pilvipalveluissa jaettujen tietojen määrää voidaan pyrkiä havaitsemaan riskejä, jotka voivat johtaa tiedon luvattomaan paljastumiseen. Tiedostoihin liittyen voidaan esimerkiksi valvoa:

  • Ketkä työntekijät jakavat eniten tiedostoja pilvipalveluissa?
  • Kuinka usein DLP-käytännöt ovat antaneet hälytyksiä?
  • Miten usein DLP-käytäntöjen antamia varoituksia on ohitettu?
  • Paljonko tärkeitä tietoja on muissa pilvipalveluissa - DLP-valvonnan ulottumattomissa?
Liittyvät muut vaatimuskehikot ja vaatimukset:
9.4.1: Information access restriction
ISO 27001
12.4.1: Event logging
ISO 27001
No items found.