klausimynas nori žinoti, kaip mes reguliuojame prieigą prie sistemų, ką atsakyti

Prieigos valdymas susieja autorizaciją, patikrinimą ir žurnalizavimą

Šis klausimas patenka į prieigos kontrolės politikos sritį, ir dauguma klausimynų jį skaidžius į tris dalis: kaip suteikiama ir atimama prieiga (autorizacija), kaip patikrintas vartotojo tapatumas (autentifikacija) ir ar stebima, kas, kada ir prie kurios sistemos buvo prisijungęs (žurnalizavimas). Darnūs atsakymai apima visus tris aspektus. Dėl autorizacijos dažnas atsakymas yra tai, kad prieiga suteikiama remiantis pareigomis arba vaidmeniu, kad teisės peržiūrimos keičiantis pareigoms arba baigiant darbą, ir kad periodiškai tikrinamos atidarytos paskyros. Jei nėra aiškios procedūros, bet prieiga vis dėlto suteikiama rankiniu būdu ir ribotai, tikslus atsakymas yra "iš dalies" su trumpu paaiškinimu, o ne "taip".

Dėl autentifikacijos dažnai klausiama atskirai, ar daugiapalei autentifikavimas naudojamas prieigai prie įmonės sistemų — tai atskiras atsakymas, net jei prieigos politika yra tvarkinga. Žurnalizavimo atveju įrodymas paprastai yra identiteto ir prieigos valdymo sistemos eksportavimas arba vaidmenų struktūros ekrano kopija; politikos dokumentas be pagrindinės sistemos retai įtikina. Jei tokio įrodymo trūksta, "ne, dar neformaluota" yra pagrindžiamas atsakymas — rizika slypi atsakyme "taip" be atitinkamo dokumento.

Priskiriama 21 straipsniui 2 dalimi ir B priedui

Prieigos valdymas kaip atskira priemonė paminėtas 21 straipsnio 2 dalyje nurodyta NIS2 direktyvoje, šalia platesnio reikalavimo, kad prieigos politika, įskaitant verslo turto valdymą, būtų nustatyta. ISO/IEC 27001 tame pačiame klausimu grąžina tą patį reikalavimą priede, tarp kontrolės priemonių prieigos kontrolei; kas jau turi sertifikatą šioje srityje, gali jį pateikti kaip įrodymą, o ne rinkti atskirus dokumentus.