Organisaatiolla on oltava määritellyt vaatimukset ja menettelyt tunnistusvälineiden käsittelyä varten niiden koko elinkaaren ajan. Seuraavat asiat tulee ottaa huomioon:

• Luominen, luovuttaminen, palauttaminen ja tuhoaminen.
• voimassaoloaika
• Jäljitettävyys
• Katoamisten käsittely

Tunnistusvälineet olisi pystyttävä luomaan vain valvotuissa olosuhteissa.

Jos käyttöoikeus liittyy omaisuuteen, jonka suojaustarpeet ovat korkeat, tunnistusvälineiden voimassaoloaika olisi rajoitettava tarvittavaan ajanjaksoon sekä suunnitelmat katoamistapauksissa tunnistusvälineiden käytön estämiseksi tai mitätöimiseksi olisi luotava.

Salasanojen hallintajärjestelmä antaa käyttäjän rekisteröitymistilanteessa päättää, mitenkä monimutkainen salasana tällä kertaa laitetaan, ja muistaa sen käyttäjän puolesta.

Salasanojen hallintajärjestelmän käytössä voidaan noudattaa mm. seuraavia periaatteita:

• järjestelmä pakottaa käyttämään jatkossa yksilöllisiä salasanoja
• järjestelmä varoittaa käyttäjää vaihtamaan vanhat toistuvat salasanat
• järjestelmä pakottaa valitsemaan tarpeeksi monimutkaisia, laadukkaita salasanoja
• järjestelmä pakottaa käyttäjän vaihtamaan tilapäisen salasanan ensimmäisellä kirjautumiskerralla
• järjestelmä pakottaa vaihtamaan mahdollisesti tietovuodossa vaarantuneen salasanan
• järjestelmä estää samojen salasanojen uudelleen käyttämisen
• järjestelmä säilyttää salasanatiedostot erillään muista tiedoista ja vahvasti salattuina

The organisation must define procedures and roles for access rights and key management in the area. Access to the area can be restricted either mechanically, electronically or based on personal identification. A responsible person shall be appointed for the area to manage the access rights and key management procedures. Spare keys for the area shall be stored securely and locked in a sealed storage envelope with a date of closure and receipt or, alternatively, in a key cabinet connected to an access control system. Keys shall be handed over in connection with the job and against receipt. The procedure is described in the security management guidelines. Access to the area is not permitted with a master key suitable for a lower level facility.

A responsible person has been appointed to ensure the following access rights and key management procedures are in place.

• Access rights and key management procedures and roles are established, documented and instructed.
• A list of access rights and key holders is maintained.
• Access rights are regularly audited and kept up to date.
• responsibility for additional orders and changes to keys and access codes is assigned.
• key cards, unallocated keys and access codes are stored appropriately.
• the reason for key issuance is documented.
• keys are issued only to the person with independent access rights to the area.
• changes in personnel are communicated to the key management authority as appropriate.

Organisaation on varmistettava, että kaikki organisaation laitteiden (esim. päätelaitteiden, verkkolaitteiden, esineiden internetin jne.) oletussalasanat korvataan vahvoilla salasanoilla. Tämä koskee kaikkia organisaatiossa käytettäviä laitteita. Uusissa salasanoissa on noudatettava turvallisia salasanojen luontikäytäntöjä luvattoman käytön estämiseksi.

Kriittisten verkkopalvelujen tarvitsemat turvajärjestelyt, kuten turvallisuusominaisuudet, palvelutasot ja hallintavaatimukset, on huolellisesti määritelty ennakkoon. Verkkopalveluja ovat mm. liitännät, verkot ja verkon turvallisuusratkaisut (esim. palomuurit).

Verkkopalvelujen turvallisuusominaisuudet voivat olla mm. seuraavanlaisia:

• vaadittu turvallisuuteen liittyvä teknologia, kuten todennus, salaustekniikka ja verkkoyhteyden hallintakeinot
• verkkopalvelujen suojatun yhteyden edellyttämät tekniset parametrit
• verkkopalvelun käyttökriteerit, jotka rajoittavat pääsyä verkkopalveluun tai sovelluksiin tarvittaessa

Organisaatio toteuttaa roolipohjaista pääsynhallintaa, jossa on ennakkoon määritetty eri suojattavalle omaisuudelle pääsyoikeusroolit, jotka oikeuttavat pääsyn. Roolien tiukkuuden tulisi heijastaa omaisuuteen liittyviä tietoturvariskejä.

Määrittelyn tueksi pitää harkita seuraavia asioita:

• kuinka laajoihin tietoihin kukin käyttäjä tarvitsee pääsyn
• kuinka laajasti käyttäjän tulee pystyä muokkaamaan tietoja (luku-, kirjoitus-, poisto-, tulostamis-, suorittamisoikeus)
• onko muilla sovelluksilla pääsyä tietoihin
• voidaanko tietoja eriyttää omaisuuden sisällä niin, että arkaluonteiset tiedot paljastuvat vähemmän

Varmistaakseen valtuutettujen käyttäjien pääsyn järjestelmiin ja estääkseen luvattoman pääsyn, organisaatio on määritellyt muodolliset prosessit seuraaviin asioihin:

• Käyttäjien rekisteröinti ja poistaminen
• Pääsyoikeuksien jakaminen
• Pääsyoikeuksien uudelleenarviointi
• Pääsyoikeuksien poistaminen tai muuttaminen

Näiden asioiden toteuttaminen tulee toteutua aina määritellyn, muodollisen prosessin kautta.