Un angajat poate avea conturi în email, CRM, aplicația de facturare, VPN și două servicii cumpărate direct de departament. La plecare, cineva trebuie să poată spune ce acces a fost retras și ce mai trebuie verificat. Lista se construiește din prima zi de lucru.
Controalele AC-2 și PS-4 din NIST SP 800-53 tratează administrarea conturilor și retragerea accesului la încetarea activității. Sunt repere tehnice pe care le poți adapta procesului firmei; utilizarea lor într-o procedură nu echivalează cu o certificare.
O cerere de acces pe care IT-ul o poate executa
Managerul direct ar trebui să precizeze activitățile noului coleg și aplicațiile necesare. „Aceleași drepturi ca Andrei” poate copia și excepțiile pe care Andrei le-a primit pentru un proiect încheiat. Un rol definit, precum operator vânzări, face cererea mai ușor de verificat.
Pentru fiecare aplicație, păstrează numele responsabilului, rolul aprobat și, dacă accesul este temporar, data de expirare. Include și grupurile care dau acces indirect la documente. Un registru poate începe într-un tabel controlat, cu proprietar și istoric al modificărilor; forma lui contează mai puțin decât actualizarea la fiecare schimbare.
Într-un exemplu ipotetic, un coleg nou poate consulta clienții alocați și adăuga activități, iar managerul aprobă exporturile. Persoana care configurează CRM-ul verifică aceste două situații folosind contul de test al rolului. Se verifică atât operația permisă, cât și refuzul unei operații care depășește atribuțiile.
Activarea contului include configurarea autentificării multifactor și o explicație despre recuperarea accesului. CISA recomandă MFA și acordă prioritate metodelor rezistente la phishing. Alege metoda în funcție de platformă și de condițiile de lucru, apoi verifică efectiv autentificarea înainte de predarea contului.
Schimbarea rolului merită aceeași atenție
Mutarea unui coleg din financiar în vânzări cere revizuirea drepturilor vechi. În registru, documentează ce se păstrează, ce se retrage și de ce. Pentru o predare temporară, stabilește o dată la care accesul suplimentar dispare sau este reevaluat.
O verificare periodică poate porni de la conturile fără responsabil, excepțiile expirate și aplicațiile cu date sensibile. Cere confirmarea proprietarului aplicației pentru fiecare excepție. „Contul încă există” nu spune dacă persoana mai are nevoie de el.
Separă conturile oamenilor de identitățile folosite de integrări. Dacă un raport automat depinde de contul personal al unui angajat, rezolvă această dependență înainte de plecare. Transferul trebuie verificat prin rularea raportului cu noua identitate autorizată.
Închiderea accesului are o oră și un responsabil
HR și managerul comunică momentul convenit al retragerii accesului, iar IT-ul execută procedura. Propunem o listă de lucru grupată după sistem, cu câmpuri pentru executant, momentul acțiunii și dovada verificării:
- Identitatea centrală, emailul și accesul la distanță.
- Aplicațiile conectate la autentificarea centrală și conturile locale separate.
- Grupurile, linkurile partajate și accesul la spațiile de documente.
- Dispozitivele, cheile fizice și metodele de recuperare ale conturilor firmei.
- Fișierele și automatizările care au nevoie de un nou responsabil.
Blocarea autentificării centrale poate lăsa active sesiuni administrate de aplicații. Microsoft explică faptul că aplicațiile pot emite propriile tokenuri de sesiune; revocarea trebuie să țină cont de comportamentul lor. Nu presupune că toate sesiunile se închid instantaneu după o singură comandă.
Transferă documentele prin mecanismele administrative ale platformei, cu aprobarea persoanei responsabile. Evită predarea parolei fostului angajat unui coleg. Păstrarea sau ștergerea datelor urmează politica stabilită de firmă și obligațiile aplicabile, evaluate separat de operațiunea tehnică de blocare.
La final, responsabilul verifică lista și consemnează excepțiile încă deschise. Dacă un furnizor trebuie să dezactiveze un cont, cererea rămâne urmărită până la confirmare. Acest registru poate intra în documentația unui audit de securitate, împreună cu un eșantion de angajări, schimbări de rol și plecări.
Surse
- NIST SP 800-53 Rev. 5, controalele AC-2 și PS-4.
- CISA — Require Multifactor Authentication.
- Microsoft — Revoke user access, limitele revocării sesiunilor.