Organisaatiolla on oltava määritellyt vaatimukset ja menettelyt tunnistusvälineiden käsittelyä varten niiden koko elinkaaren ajan. Seuraavat asiat tulee ottaa huomioon:
Tunnistusvälineet olisi pystyttävä luomaan vain valvotuissa olosuhteissa.
Jos käyttöoikeus liittyy omaisuuteen, jonka suojaustarpeet ovat korkeat, tunnistusvälineiden voimassaoloaika olisi rajoitettava tarvittavaan ajanjaksoon sekä suunnitelmat katoamistapauksissa tunnistusvälineiden käytön estämiseksi tai mitätöimiseksi olisi luotava.
Varmistaakseen valtuutetun pääsyn ja estääkseen luvattoman pääsyn tietoihin ja muihin niihin liittyviin resursseihin organisaatio on määritellyt ja ottanut käyttöön selkeät säännöt fyysistä ja loogista pääsynvalvontaa varten.
Säännöt otetaan käyttöön ja niitä valvotaan useiden eri tehtävien avulla, mutta ne on myös yhdistetty pääsynvalvontapolitiikaksi selkeää viestintää ja tarkastelua varten.
Kaikki tilit, käyttöoikeudet ja etuoikeudet olisi voitava jäljittää niistä vastaavaan rooliin ja ne hyväksyneeseen henkilöön.
Tärkeää tietoa sisältäviin järjestelmiin olisi kirjauduttava useita tunnistamiskeinoja käyttävällä kirjautumisella, jota kutsutaan englanniksi joko "two-factor", “multi-factor” tai “dual factor” tunnistautumiseksi.
Esimerkiksi kirjautuessaan ensin salasanalla, käyttäjälle voidaan lähettää lisäksi kertakäyttöinen tunnistautumiskoodi tekstiviestinä. Tällöin hänet on tunnistettu kahden tekijän avulla (salasanan tietäminen ja puhelimen omistajuus).
Kaksivaiheisessa tunnistautumisessa voidaan käyttää apuna myös biometrisiä tunnisteita (esim. sormenjälki) ja muita laitteita. Kannattaa kuitenkin huomioida kustannukset ja vaikutukset yksityisyydensuojalle.
Organisaatio on ennalta määritellyt tunnistautumistavat, joita työntekijöiden tulisi suosia tietojärjestelmiä käytettäessä.
Useita pilvipalveluita käyttäessään käyttäjä voi itse määritellä, millä tavalla hän palveluun tunnistautuu. Yksittäinen keskitetty tunnistautumistili (esim. Google- tai Office365-tili) voi auttaa sulkemaan iso määrä pääsyoikeuksia kerralla, kun tunnistautumistapana toimiva käyttäjätili suljetaan.
Salasanojen hallintajärjestelmä antaa käyttäjän rekisteröitymistilanteessa päättää, mitenkä monimutkainen salasana tällä kertaa laitetaan, ja muistaa sen käyttäjän puolesta.
Salasanojen hallintajärjestelmän käytössä voidaan noudattaa mm. seuraavia periaatteita:
Tietojärjestelmästä vastaava taho määrittää järjestelmän käyttöoikeudet käyttäjien tehtäviin liittyen. Todellisten käyttöoikeuksien vastaavuutta suunniteltuun on valvottava ja oikeuksia uudelleenarvioitava säännöllisin aikavälein.
Pääsyoikeuksia katselmoitaessa on huomiotava lisäksi ylläpito-oikeuksien minimointi sekä tarpeettomien tunnusten sulkeminen.
Organisaatio on laatinut kattavan luettelon kaikista todentamis- ja valtuutusjärjestelmistä, mukaan lukien paikan päällä ja etätoimittajien kanssa toimivat järjestelmät, ja se käyttää automaattisia työkaluja ja säännöllisiä tarkistuksia varmistaakseen näiden järjestelmien tarkan ja ajantasaisen seurannan ja hallinnan.
Organisaatio on vahvistanut tietoturvaa ottamalla käyttöön monivaiheisentunnistamisen (MFA) kaikille hallinnollisille käyttöoikeustileille sekä paikan päällä että palveluntarjoajan hallinnoimissa laitteistoissa. Organisaatio varmistaa että kokoonpanot tukevat MFA:ta sekä kouluttaa järjestelmänvalvojia sen käyttöön ja tarkistaa säännöllisesti että MFA-käytäntöjä noudatetaan.
Organisaatio on vahvistanut tietoturvaa ottamalla käyttöön monivaiheisentunnistautumisen (MFA) kaikissa ulkoisissa sovelluksissa, ja on integroinut sen keskitettyyn hakemistoon tai SSO:hon. Organisaatio varmistamaa kolmannen osapuolen yhteensopivuuden, valistaa käyttäjiä MFA:n tärkeydestä ja valvoo sääntöjen noudattamista säännöllisen raportoinnin avulla.
Haittaohjelmien torjuntaohjelmistot on määritetty suorittamaan automaattisia tiedostojen tarkistuksia kun tiedostoja ladataan, avataan tai käytetään verkkotallennuksesta, ja niihin on mukautettu käyttäytymisen havaitsemisominaisuuksia epäilyttävien toimintojen tunnistamiseksi.
Useiden eri toimittajien haittaohjelmien suojausjärjestelmien käyttöönotto antaa organisaatiolle mahdollisuuden parantaa havaitsemisvalmiuksiaan hyödyntämällä erilaisia käyttäytymiseen perustuvia havaitsemisvälineitä.
Sähköpostin ja ladattujen tiedostojen skannauskäytännöt on laadittu varmistamaan että haittaohjelmien havaitsemisohjelmisto skannaa perusteellisesti kaikki sähköpostin liitetiedostot ja ladatut tiedostot.
Haittaohjelmien torjuntaohjelmisto on määritetty automaattista tiedostojen skannausta varten aina kun tiedostoja ladataan, avataan tai käytetään verkkotallennustilasta, ja varmistetaan, että sähköpostin liitetiedostot skannataan välittömästi niiden vastaanottamisen jälkeen.
DNS-suodatuksen avulla organisaatio voi havaita ja estää pääsyn mahdollisesti vaarallisille sivustoille ja suojata siten käyttäjiä tunnetuilta uhkilta.
DNS-suodatus on verkon segmentointi- ja suodatuskäytäntö, jolla varmistetaan, että vain turvalliset ja hyväksytyt DNS-kyselyt sallitaan.
Määrittelemällä ja dokumentoimalla hyväksytyt todennusmenetelmät, kuten Google- tai Microsoft 365 -tilit, organisaatio käyttää keskitettyjä todennustilejä hallinnoidakseen tehokkaasti suurta määrää käyttöoikeuksia. Käyttäjien käyttöoikeuksista tietojärjestelmiin ja -palveluihin ylläpidetään keskitettyä rekisteriä, mikä helpottaa näiden oikeuksien hallintaa ja tarkastusta.
Yhtenäinen käyttöoikeuksien hallinta varmistaa, että keskitetyn todennustilin sulkeminen peruuttaa samanaikaisesti useita käyttöoikeuksia, mikä tehostaa käyttöoikeuksien lopettamisprosessia, kun työntekijät lähtevät organisaatiosta tai vaihtavat roolia.
MFA:ta käytetään julkisista verkoista tai etähallintaratkaisujen kautta tapahtuvaan hallinnolliseen käyttöön, ja sillä varmistetaan vahva todennus, jossa käytetään vähintään kahta tekijää.
MFA:ta tarvitaan tärkeisiin tietojärjestelmiin pääsyssä, ja siinä käytetään esimerkiksi salasanan ja tekstiviestillä lähetetyn kertaluonteisen todennuskoodin yhdistämistä. Näillä toimenpiteillä varmistetaan, että etäverkon käyttö on suojattu varmistamalla käyttäjän henkilöllisyys useilla tekijöillä, mikä parantaa arkaluonteisten järjestelmien ja tietojen turvallisuutta.
Salasanojen hallintajärjestelmä varmistaa, että jokaisella tilillä on yksilöllinen salasana. Monivaiheistatunnistautumista (MFA) käyttäville tileille on käytäntö asettaa salasanan vähimmäispituudeksi 8 merkkiä. Tilien, joita ei ole suojattu MFA:lla, on sitä vastoin käytettävä monimutkaisia salasanoja, joiden vähimmäispituus on 14 merkkiä turvallisuuden parantamiseksi. Nämä ohjeet ovat osa laajempaa strategiaa, jolla pyritään säilyttämään salasanojen ainutlaatuisuus ja monimutkaisuus ja joka on räätälöity sen mukaan, onko käytössä MFA vai ei.
Organisaatio ottaa käyttöön useita keskeisiä käytäntöjä luodakseen ja ylläpitääkseen yrityksen tililuetteloa. Tähän kuuluu käyttöoikeuksien keskitetyn rekisterin ylläpitäminen, joka kattaa käyttäjä-, järjestelmänvalvoja- ja palvelutilit kattavan inventaarion varmistamiseksi. Inventaario on yksityiskohtainen, ja siinä on tietoja, kuten henkilön nimi, käyttäjänimi, aloitus- ja lopetuspäivämäärät sekä osasto, jotka on mukautettu tietokokonaisuuksien dokumentointikäytännöistä.
Organisaatio ottaa käyttöön useita strategioita varmistaakseen että kannettavat laitteet lukittuvat automaattisesti ennalta määritellyn määrän epäonnistuneiden tunnistusyritysten jälkeen. Kannettavien tietokoneiden osalta strategiaan kuuluu salasanakäytäntöjen tarkistaminen, jotta voidaan ottaa käyttöön 20 epäonnistuneen yrityksen raja ennen lukitsemista. Tablettien ja älypuhelinten osalta turvallisuuskäytännöt on asetettu niin, että laitteet lukitaan 10 epäonnistuneen yrityksen jälkeen. Toteutusta tuetaan mobiililaitteiden hallintaratkaisuilla (MDM), jotka panevat nämä tietoturvakäytännöt täytäntöön kaikissa laitteissa.
Paranna tietoturvaa yrityksen järjestelmissä poistamalla oletustilit käytöstä tai muokkaamalla tilit käyttökelvottomiksi. Tähän käytäntöön kuuluu joko tilien poistaminen kokonaan käytöstä tai oletustunnusten ja -oikeuksien muokkaaminen luvattoman käytön estämiseksi. Tämä vähentää tunnettuja oletusasetuksia käyttävien hyökkääjien hyväksikäyttöriskiä.
Organisaatio ottaa käyttöön ja ylläpitää nollaluottamusta todennuksessa kaikissa järjestelmissään ja laitteistoissaan. Autentikoinnissa olisi otettava huomioon ainakin nämä kontrollit:
Organisaatio määrittelee ja ottaa käyttöön kirjautumistietojen ja identiteettiväitteiden suojauksen, kuten:
Dokumentoi identiteetin elinkaaren hallintaprosessit. Dokumentoinnin tulisi sisältää seuraavat asiat:
Pääsynvalvonnan toteuttaminen palveluihin käyttäjien ja laitteiden tuntemuksen perusteella.
Esimerkiksi, jos käyttäjä kirjautuu sisään hallitsemattomalla laitteella (organisaatio luottaa käyttäjään, mutta ei hallitse laitetta), hän saa pääsyn harvempiin palveluihin kuin jos käyttäjä kirjautuisi sisään organisaation hallinnoimalla laitteella (organisaatio tuntee sekä käyttäjän että laitteen).
Pääsynvalvonnan toteuttaminen palveluihin käyttäjien ja laitteiden tuntemuksen perusteella.
Esimerkiksi, jos käyttäjä kirjautuu sisään hallitsemattomalla laitteella (organisaatio luottaa käyttäjään, mutta ei hallitse laitetta), hän saa pääsyn harvempiin palveluihin kuin jos käyttäjä kirjautuisi sisään organisaation hallinnoimalla laitteella (organisaatio tuntee sekä käyttäjän että laitteen).
Käytä identiteettejä uudelleen aina kun se on mahdollista eri järjestelmissä, alijärjestelmissä ja sovelluksissa. Ihannetapauksessa tämä tapahtuisi kertakirjautumisen avulla.
Käytä keskitettyä työkalua, jolla voidaan tarkistaa salasanojen laatua organisaation turvallisuusvaatimuksia vasten. Vähimmäisvaatimuksena olisi välttää yleisten sanojen ja nimien käyttöä työntekijöiden äidinkielellä ja englanniksi sekä vuosien ja vuodenaikojen käyttöä.
Document the identity life cycle management processes. Documentation should include the following things:
Järjestelmien välinen automaattinen viestintä olisi suojattava digitaalisilla varmenteilla. Digitaalisia varmenteita käytetään yhteyden muodostavan laitteen tunnistamiseen ennen pääsyn myöntöä järjestelmään. Toteutuksessa tulisi huomioida myös turvallinen avain politiikka.
Organisaatiolla täytyy olla käytäntöjä ja toimintatapoja, joilla asiakas voi osallistua, jos mahdollista, korkean riskin ylläpito-oikeuksien hyväksyntäprosessiin.
Organisaation on käytettävä yksilöllisiä käyttäjätunnuksia, jotta käyttäjät voidaan yhdistää toimintaansa ja vastuu niistä kohdistaa heihin.
Jaettuja käyttäjätunnuksia ei sallita eikä käyttäjille anneta pääsyä tietojärjestelmiin ennen yksilöllisen käyttäjätunnuksen antamista.
Organisaation tulee ylläpitää ajan tasalla olevaa rekisteriä käyttäjistä, joilla on hyväksytty pääsy tarjolla oleviin pilvipalveluihin.
Jokaiselle käyttäjälle tulee olla profiili, joka sisältää tarvittavat tiedot (esim. käyttäjätunnukset ja muut todennustiedot) valtuutetun pääsyn tarjoamisen teknisten toimenpiteiden toteuttamiseksi.
Deaktivoituja tai vanhentuneita käyttäjätunnuksia ei saa koskaan käyttää uudelleen muille käyttäjille.
Tämä on relevantti yleisenä hallintoperiaatteena itse kehitetyissä pilvipalveluissa ja kaikissa muissa käytössä olevissa tietojärjestelmissä, joissa muun ylläpidon voi suorittaa kumppaniorganisaatio, mutta pääsyn/käyttäjätunnusten hallinnan organisaatio itse.
Pilvipalveluita tarjoaessaan organisaation tulee tarjota tekninen toteutus, jonka avulla asiakas voi hallita käyttäjän rekisteröintiä ja rekisteröinnin poistamista palvelussa.
Organisaation tulee myös tarjota ohjeita ja teknisiä tietoja käyttäjien luomiseen/poistamiseen (esim. ohjeartikkelit, FAQ:t), esim. liittyen eri käyttäjätasoihin, käyttäjäkutsuprosessiin ja erilaisiin järjestelmänvalvojan toimintoihin.
Pilvipalveluita tarjoaessaan organisaation tulee tarjota tekninen toteutus, jotta asiakas voi hallita käyttäjien käyttöoikeuksia tililleen.
Organisaation tulee myös tarjota ohjeita käyttäjähallinnan käyttöön (esim. ohjeartikkelit, FAQ:t), jotka liittyvät esimerkiksi käytettävissä oleviin todennusmenetelmiin, kertakirjautumisominaisuuksiin ja erilaisiin järjestelmänvalvojan toimintoihin.
Etuoikeutetut apuohjelmat ovat sovelluksia, jotka vaativat järjestelmä- tai järjestelmänvalvojan oikeudet tehdäkseen työnsä. Erilaisia apuohjelmia voivat olla järjestelmäapuohjelmat (esim. haittaohjelmasuojaus), tallennusapuohjelmat (esim. varmuuskopiointi), tiedostonhallinta-apuohjelmat (esim. salaus) tai muut (esim. korjaus).
Jos etuoikeutettujen apuohjelmien käyttö on sallittua, organisaation tulee tunnistaa kaikki etuoikeutetut apuohjelmat, myös ne, joita käytetään sen pilvilaskentaympäristössä.
Organisaation tulee varmistaa, että apuohjelmat eivät häiritse millään tavalla isännöityjen tietojärjestelmien ohjausta (paikan päällä tai pilvessä).
Pilvipalveluita tarjoaessaan organisaation tulee määritellä apuohjelmien käytön vaatimukset tarjoamaansa pilvipalveluun liittyen.
Organisaation tulee varmistaa, että apuohjelmat, jotka voivat ohittaa normaalit käyttö- tai turvallisuustoimenpiteet, saa käyttää vain valtuutettu henkilökunta. Näiden apuohjelmien käyttö ja hyödyllisyys tulee tarkistaa säännöllisesti.
Organisaation järjestelmien käyttöoikeudet myönnetään ja hallitaan pienimmän oikeuden periaatteen mukaan. Käyttäjälle ei myönnetä enempää käyttöoikeuksia, kun on tarpeen.
Käyttöoikeuksia tarkistetaan ja myös tarpeen tullaan vähennetään, jos käyttäjällä on oikeuksia joita hän tarvitsi tehtävien suorittamiseen, mutta hän ei tarvitse niitä enään.
Organisaatio todentaa käyttäjien identiteetin ja yhdistää ne käyttäjätietoihin. Nämä tulisi myös vahvistaa aina ennen kanssakäymistä.
Identiteetin todentaminen täytyy suorittaa ennalta kirjoitettujen ja hyväksyttyjen sääntöjen mukaisesti.
Hallintapääsyn julkisesta verkosta tai muun käytettävän etähallintaratkaisun tulee edellyttää vahvaa, vähintään kahteen todennustekijään pohjautuvaa käyttäjätunnistusta.
Hallintayhteyksien suojaus on eräs kriittisimmistä tietojärjestelmien turvallisuuteen vaikuttavista tekijöistä. Tietojärjestelmiä, jotka eivät sisällä kriittisiä tietoja, voi kuitenkin olla perusteltua pystyä hallinnoimaan myös fyysisesti suojattujen turvallisuusalueiden ulkopuolelta. Tällöin etähallinta on tarpeen suojata etäkäyttöä kattavammilla turvatoimilla.
Hallintayhteydet on rajattu vähimpien oikeuksien periaatteen mukaisesti.
Järjestelmien ja sovellusten ylläpitotunnuksien on oltava henkilökohtaisia. Mikäli henkilökohtaisten tunnusten käyttäminen ei kaikissa järjestelmissä tai sovelluksissa ole teknisesti mahdollista, edellytetään sovitut, dokumentoidut ja käyttäjän yksilöinnin mahdollistavat hallintakäytännöt yhteiskäyttöisille tunnuksille.
Hallintayhteydet on rajattu turvallisuusluokittain, ellei käytössä ole turvallisuusluokka huomioon ottaen riittävän turvallista yhdyskäytäväratkaisua.
Käyttöoikeuksien rajaamisella vähimpien oikeuksien periaatteen mukaiseksi voidaan pienentää sekä tahallisten että tahattomien tekojen, kuin myös esimerkiksi haittaohjelmista aiheutuvia riskejä.
Tietojärjestelmissä turvallisuusluokitellut tiedot on eritelty vähimpien oikeuksien periaatteen mukaisesti käyttöoikeuksien sekä järjestelmän käsittelysääntöjen avulla tai muulla vastaavalla menettelyllä.
Erittelyä voidaan toteuttaa:
User IDs are locked in situations where authentication fails too many times in a row.
Tietojärjestelmien kriittisimpiä ylläpitotehtäviä valvotaan riittävällä tarkkuudella.
Tarvittava tarkkuus valvonnassa ja tehtävien eriyttämisessä riippuu merkittävästi kyseessä olevan tietojärjestelmän käyttötapauksista. Useimmissa järjestelmissä riittävä eriyttäminen on toteutettavissa järjestelmän ylläpitoroolien ja lokien valvontaan osallistuvien roolien erottelulla toisistaan. Yleinen valvontamekanismi on myös vaatia kahden tai useamman henkilön hyväksyntä järjestelmän kriittisille ylläpitotoimille.
Tietojenkäsittely-ympäristöjen toimijoiden tunnistamiselta edellytetään seuraavia lisätoimia:
Tietyissä tilanteissa sähköisiä tunnistusmenelmiä voidaan korvata fyysisen turvallisuuden toimilla (esim. pääsy järjestelmään vain tiukasti rajatulta ja fyysisesti suojatulta alueelta, kuten lukittu laitekaappi, jota valvotaan vahvalla tunnistamisella). Nojattaessa fyysisen turvallisuuden menettelyihin, tulee myös fyysisen turvallisuuden menettelyjen täyttää jäljitettävyydelle asetetut vaatimukset erityisesti lokitietojen ja vastaavien tallenteiden säilytysaikojen suhteen. Tällöin varsinainen järjestelmään tunnistautuminen voi olla esim. käyttäjätunnus-salasana -pari.
Organisaation on käytettävä salasanapohjaisissa palveluihin kirjautumisessa seuraavia salasanakäytäntöjä. Suojautuakseen mm. "brute-force" salasananmurtohyökkäystä vastaan organisaation täytyy käyttää vähintään yhtä alla olevista käytännöistä:
Lisäksi seuraava salasanakäytännöt tulisi olla käytössä:
Organisaation on hallittava kaikki sen käyttäjät ja niiden käyttöoikeudet. Tähän kuuluu myös kolmannen osapuolen käyttäjät, joilla on pääsyoikeuksia organisaation tietoihin tai järjestelmiin.
Organisaation on poistettava kokonaan tai poistettava käytöstä käyttöoikeuksia, kun niitä ei enään tarvita tehtävän täyttämiseen. Esimerkiksi silloin, kun työntekijän työtehtävä vaihtuu.
Organisaation on vaihdettava kaikkien tietokoneiden, verkkolaitteiden ja muiden vastaavien oletussalasanat vaikeasti arvattaviin salasanoihin.
Organisaation on rajattava lokitietoihin pääsy vain sallituille henkilöille. Lokeihin pitää jäädä merkintä niiden katsomisesta ja noita merkintöjä on säilytettävä, jotta lokien tarkastelukerrat voidaan yksilöidä.
Poikkeamat roolikohtaisista oikeuksista tulee asianmukaisesti hyväksyä ja dokumentoida.
Tarve tietää -periaatteella pääsyoikeus myönnetään ainoastaan sellaiseen tietoon, jota yksilö tarvitsee tehtävänsä suorittamiseen. Eri tehtävillä ja rooleilla on erilaiset tietotarpeet ja täten erilaiset pääsyprofiilit.
Tehtävien eriyttäminen tarkoittaa sitä, että ristiriidassa olevat tehtävät ja vastuualueet on eriytettävä, jotta vähennetään organisaation suojattavan omaisuuden luvattoman tai tahattoman muuntelun tai väärinkäytön riskiä.
Järjestelmän tai sovelluksen kirjautumismenettelyn olisi oltava suunniteltu siten, että mahdollisuus luvattomaan pääsyyn on mahdollisimman pieni.
Kirjautumismenettelyn olisi siksi paljastettava mahdollisimman vähän tietoa järjestelmästä tai sovelluksesta, jotta luvatonta käyttäjää ei avustettaisi tarpeettomasti. Kriteerejä hyvälle kirjautumismenettelylle ovat mm.:
Yksi tapa hallita jaettuihin käyttäjätunnuksiin liittyviä riskejä on jaetun salasanan ja sen käyttäjien hallinnoiminen suoraan salasanojen hallintajärjestelmän kautta.
Tällöin voidaan toimia niin, että esimerkiksi ainoastaan yksittäinen henkilö tietää varsinaisesti salasanan ja sitä käyttävät henkilöt.
Jaetut käyttäjätunnukset olisi sallittava vain, jos ne ovat tarpeellisia liiketoiminnallisista tai toiminnallisista syistä, ja ne olisi hyväksytettävä ja dokumentoitava.
Mikäli jaettuja käyttäjätunnuksia käytetään ylläpitokäyttöön, salasanat on vaihdettava mahdollisimman pian sen jälkeen, kun ylläpitooikeuksin varustettu käyttäjä jättää työnsä.
Organisaation tärkeimmissä järjestelmissä pääkäyttäjinä toimivilta vaaditaan useita tunnistamiskeinoja käyttävää kirjautumista (engl. multi-factor authentication, MFA).
Esimerkiksi kirjautuessaan ensin salasanalla, käyttäjälle voidaan lähettää lisäksi kertakäyttöinen tunnistautumiskoodi tekstiviestinä. Tällöin hänet on tunnistettu kahden tekijän avulla (salasanan tietäminen ja puhelimen omistajuus).
Monivaiheisessa tunnistautumisessa voidaan käyttää apuna myös biometrisiä tunnisteita (esim. sormenjälki) ja muita laitteita. Kannattaa kuitenkin huomioida kustannukset ja vaikutukset yksityisyydensuojalle.
Etenkin identiteettien hallinnan pääjärjestelmissä (esim. Microsoft 365, Google), pääkäyttäjätileillä on hyvin merkittävät oikeudet. Nämä tilit ovat usein huijareiden ja hyökkäysten kohteina arvonsa takia. Tämän takia pääkäyttäjätilit on hyödyllistä dedikoida vain hallintakäyttöön, eikä samoja tilejä tulisi hyödyntää jokapäiväisessä käytössä tai esimerkiksi muihin verkkopalveluihin rekisteröidyttäessä.
Monivaiheinen tunnistautuminen (multi-factor authentication, MFA) auttaa suojaamaan laitteita ja tietoja. Sen soveltamiseksi käyttäjistä on oltava identiteetinhallintajärjestelmässä muutakin tietoa kuin vain sähköpostiosoite - esimerkiksi puhelinnumero tai liitetty Authenticator-sovellus (esim. Microsoft, Google tai LastPass Authenticator).
Organisaatio toteuttaa roolipohjaista pääsynhallintaa, jossa on ennakkoon määritetty eri suojattavalle omaisuudelle pääsyoikeusroolit, jotka oikeuttavat pääsyn. Roolien tiukkuuden tulisi heijastaa omaisuuteen liittyviä tietoturvariskejä.
Määrittelyn tueksi pitää harkita seuraavia asioita:
Ylläpito-oikeuksia hallitaan muodollisen prosessin avulla, jonka tavoitteena on rajata ylläpito-oikeuksien jakamista ja valvoa käyttöä.
Ylläpito-oikeuksiin liittyen:
Esihenkilöitä on ohjeistettu ilmoittamaan etukäteen tietojärjestelmien omistajille merkittävistä muutoksista alaisten työsuhteissa, kuten ylennyksistä, alennuksista, työsuhteen päättymisestä tai muista muutoksista työroolissa.
Ilmoituksen perusteella henkilön pääsyoikeuksia voidaan päivittää joko keskitetystä hallintajärjestelmästä tai yksittäisistä tietojärjestelmistä.
Korkean luottamuksellisuuden käyttöoikeuksiin liittyvien käyttöoikeuksien myöntämisen organisaatiossa voi hyväksyä vain kyseisen korkean luottamuksellisuuden omaavan tiedon sisäinen omistaja.
Organisaation on käytettävä digitaalisia varmenteita tai muuta vastaavaa järjestelyä, jotta ylläpito-oikeuksia tai sensitiivistä tietoa käsittelevillä järjestelmäidentiteeteille voidaan saavuttaa monivaiheista tunnistautumista vastaava, vahva tunnistamistaso.
Organisaatio on määritellyt roolit, joissa toimivat henkilöt voivat hyväksyä käyttöoikeuspyyntöjä. Organisaatio on lisäksi määritellyt, kuinka dokumentoidaan muut henkilöt, jotka voivat hyväksyä käyttöoikeuspyyntöjä.
Tunnistautumistiedot olisi välitettävä käyttäjille turvallisesti. Salasanan toimittamista ulkopuolisen osapuolen välityksellä tai suojaamattomana (selväkielisenä) sähköpostiviestinä olisi vältettävä.
Estämällä vanhentuneiden tunnistautumistapojen käytön voi vaikeuttaa selvästi hyökkääjien pääsyn hankkimista. Esimerkiksi Microsoft 365 -ympäristössä 2013-mallin toimistosovellukset tukevat oletuksena vanhentuneita tunnistautumistapoja (esim. Microsoft Online Sign-in Assistant), mutta tämän voi estää luomalla nämä tunnistautumistavat estävän käytännön.
Varmistaakseen valtuutettujen käyttäjien pääsyn järjestelmiin ja estääkseen luvattoman pääsyn, organisaatio on määritellyt muodolliset prosessit seuraaviin asioihin:
Näiden asioiden toteuttaminen tulee toteutua aina määritellyn, muodollisen prosessin kautta.
Organisaatio ylläpitää keskitettyä tallennetta käyttäjätunnukselle tietojärjestelmiin ja -palveluihin myönnetyistä pääsyoikeuksista. Tätä tallennetta hyödynnetään pääsyoikeuksien katselmoimiseksi työsuhteen muutoshetkillä tai samaan rooliin liittyvien uusien kollegoiden onboarding-prosessissa.
Digiturvamallissa kaikki vaatimuskehikkojen vaatimukset kohdistetaan universaaleihin tietoturvatehtäviin, jotta voitte muodostaa yksittäisen suunnitelman, joka täyttää ison kasan vaatimuksia.
.png)
Paranna osaamistasi viikoittaisten webinaarien, videokurssien, artikkeleiden ja blogien avulla.
