The organization shall implement documented procedures for verifying the identity of
individuals before issuing credentials that provide access to organization's systems.
The organization shall ensure the use of unique credentials bound to each verified user,
device, and process interacting with the organization's critical systems; make sure that they
are authenticated, and that the unique identifiers are captured when performing system
interactions.
Henkilön työsuhteen käynnistyessä hänelle huolehditaan kerralla käyttöoikeus kaikkien rooliinsa liittyvien tietojärjestelmien käyttöön.
Vähintään digiturvan kannalta tärkeisiin rooleihin hakeutuvien työnhakijoiden tausta olisi tarkastettava, huomioiden asianmukaiset lait ja määräykset.
Tarkastus voi sisältää mm.:
Taustatarkistus voi olla syytä ulottaa myös esimerkiksi täysin etänä työskenteleviin, urakoitsijoihin tai muihin kolmansiin osapuoliin. Taustatarkistuksen syvyyttä voidaan suhteuttaa tehtävän oikeuttavaan tietoluokkaan.
Organisaatio todentaa käyttäjien identiteetin ja yhdistää ne käyttäjätietoihin. Nämä tulisi myös vahvistaa aina ennen kanssakäymistä.
Identiteetin todentaminen täytyy suorittaa ennalta kirjoitettujen ja hyväksyttyjen sääntöjen mukaisesti.
Pilvipalveluita tarjoaessaan organisaation tulee tarjota tekninen toteutus, jonka avulla asiakas voi hallita käyttäjän rekisteröintiä ja rekisteröinnin poistamista palvelussa.
Organisaation tulee myös tarjota ohjeita ja teknisiä tietoja käyttäjien luomiseen/poistamiseen (esim. ohjeartikkelit, FAQ:t), esim. liittyen eri käyttäjätasoihin, käyttäjäkutsuprosessiin ja erilaisiin järjestelmänvalvojan toimintoihin.
Organisaation on käytettävä yksilöllisiä käyttäjätunnuksia, jotta käyttäjät voidaan yhdistää toimintaansa ja vastuu niistä kohdistaa heihin.
Jaettuja käyttäjätunnuksia ei sallita eikä käyttäjille anneta pääsyä tietojärjestelmiin ennen yksilöllisen käyttäjätunnuksen antamista.
Paranna osaamistasi viikoittaisten webinaarien, videokurssien, artikkeleiden ja blogien avulla.
