Dedikoitujen admin-tunnusten käyttö kriittisissä järjestelmissä

Critical
High
Normal
Low

Etenkin identiteettien hallinnan pääjärjestelmissä (esim. Microsoft 365, Google), pääkäyttäjätileillä on hyvin merkittävät oikeudet. Nämä tilit ovat usein huijareiden ja hyökkäysten kohteina arvonsa takia. Tämän takia pääkäyttäjätilit on hyödyllistä dedikoida vain hallintakäyttöön, eikä samoja tilejä tulisi hyödyntää jokapäiväisessä käytössä tai esimerkiksi muihin verkkopalveluihin rekisteröidyttäessä.

Liittyvät muut vaatimuskehikot ja vaatimukset:
9.2.3: Management of privileged access rights
ISO 27001
TEK-07.2: Pääsyoikeuksien hallinnointi - pääsyoikeuksien rajaaminen
Julkri

Tarve tietää -periaate ja tehtävien eriyttäminen pääsynhallinnassa

Critical
High
Normal
Low

Tarve tietää -periaatteella pääsyoikeus myönnetään ainoastaan sellaiseen tietoon, jota yksilö tarvitsee tehtävänsä suorittamiseen. Eri tehtävillä ja rooleilla on erilaiset tietotarpeet ja täten erilaiset pääsyprofiilit.

Tehtävien eriyttäminen tarkoittaa sitä, että ristiriidassa olevat tehtävät ja vastuualueet on eriytettävä, jotta vähennetään organisaation suojattavan omaisuuden luvattoman tai tahattoman muuntelun tai väärinkäytön riskiä.

Liittyvät muut vaatimuskehikot ja vaatimukset:
I06: Pääsyoikeuksien hallinnointi
Katakri
9.1.1: Access control policy
ISO 27001

Tietojärjestelmien turvallisuusluokiteltujen tietojen erittely

Critical
High
Normal
Low

Käyttöoikeuksien rajaamisella vähimpien oikeuksien periaatteen mukaiseksi voidaan pienentää sekä tahallisten että tahattomien tekojen, kuin myös esimerkiksi haittaohjelmista aiheutuvia riskejä.

Tietojärjestelmissä turvallisuusluokitellut tiedot on eritelty vähimpien oikeuksien periaatteen mukaisesti käyttöoikeuksien sekä järjestelmän käsittelysääntöjen avulla tai muulla vastaavalla menettelyllä.

Erittelyä voidaan toteuttaa:

  • loogisen tason erottelulla (esim. palvelinten virtualisointi ja käyttöoikeuksin rajoitetut verkkolevykansiot)
  • luotettavalla loogisella erottelulla (esim. hyväksytysti salatut virtuaalikoneet levyjärjestelmän asiakaskohtaisesti varatuilla fyysisillä levyillä, ja tiedon tai tietoliikenteen hyväksytty salaus yhteiskäyttöisillä verkkolaitteilla)
  • fyysisellä erottelulla (tiedonomistajakohtaisesti varatut fyysiset laitteet) (soveltuu myös korkeammille turvallisuusluokille)
Liittyvät muut vaatimuskehikot ja vaatimukset:
TEK-07.2: Pääsyoikeuksien hallinnointi - pääsyoikeuksien rajaaminen
Julkri
No items found.