Aneks A, deo 16: A.8.1–8.5 — Uređaji i kontrola pristupa

Šesnaesti deo serije o Aneksu A, i prvi iz poslednjeg, najvećeg poglavlja — A.8, tehnološke kontrole. Ovde se konačno zatvara krug otvoren još u uvodnom tekstu ove serije, gde smo najavili da ćemo se vratiti na kontrolu koja stoji iza individualnih naloga i dvofaktorske autentifikacije.

Šta ove kontrole traže

A.8.1 — Korisnički uređaji. Informacije sačuvane na, obrađene ili dostupne preko korisničkih uređaja — laptopova, telefona — treba da budu zaštićene.

A.8.2 — Privilegovana prava pristupa. Dodela i korišćenje privilegovanih prava pristupa treba da bude ograničeno i upravljano posebno pažljivo — administratorski nivo pristupa nosi veći rizik od običnog korisničkog naloga, i tako treba i da se tretira.

A.8.3 — Ograničenje pristupa informacijama. Pristup informacijama i sredstvima treba da bude ograničen u skladu sa tematskom politikom kontrole pristupa — tehnička primena onoga što smo opisali kao pravilo u ranijem delu serije.

A.8.4 — Pristup izvornom kodu. Pristup za čitanje i pisanje izvornog koda, razvojnih alata i softverskih biblioteka treba da bude odgovarajuće upravljan.

A.8.5 — Bezbedna autentifikacija. Treba primeniti bezbedne tehnologije i procedure autentifikacije, zasnovane na ograničenjima pristupa i tematskoj politici kontrole pristupa.

Zašto su ove kontrole bitne

Ovo poglavlje je tehnički najgušće u celom Aneksu A, ali prvih pet kontrola su prirodan nastavak svega što smo već detaljno obradili u A.5.14–5.18. Razlika je u tome što su ove kontrole tehnička, konkretna primena onoga što je tamo bilo opisano kao pravilo — ne nova tema, nego dublji sloj iste teme.

Primer iz prakse

A.8.1, uređaji koji nisu automatski bezbedni samo zato što su novi: setite se softverske agencije iz mini-serije primera, gde je „korišćenje ličnih uređaja za rad uobičajena, nezvanična praksa" bila navedena kao unutrašnji faktor rizika još u tekstu o klauzuli 4.1 za tu firmu. A.8.1 je tačno kontrola koja bi tamo bila primenjena: minimalni zahtevi pre nego što bilo koji uređaj, lični ili službeni, sme da pristupi klijentskim podacima — enkripcija diska, automatsko zaključavanje ekrana, ažuriran operativni sistem. Knjigovodstvena agencija je usvojila istu logiku za svoje laptopove, uz dodatnu meru mogućnosti daljinskog brisanja podataka ako uređaj bude izgubljen ili ukraden.

A.8.2, nivo iznad običnog naloga: čak i pošto je agencija uvela individualne naloge sa dvofaktorskom autentifikacijom, cloud platforma i dalje ima poseban, administratorski nivo pristupa — nekoga ko može da menja podešavanja čitavog sistema, ne samo da pregleda podatke dodeljenih klijenata. Agencija je taj privilegovani nivo ograničila na samo jednu osobu, koordinatorku, uz dodatno logovanje svaki put kad se administratorska funkcija zaista koristi — razlika između „ima nalog" i „ima nalog koji može sve" postala je eksplicitna, ne prećutna.

A.8.3, pravilo koje sada ima tehnički oblik: pravilo da svaki senior knjigovođa vidi samo klijente za koje je zadužen, opisano još u tekstu o klauzuli 5.3, sada je tehnički sprovedeno kroz same postavke pristupa u cloud platformi — ne kao uputstvo koje se veruje na reč, nego kao stvarno ograničenje koje sistem sam nameće.

A.8.4, kontrola koja se na vas ne odnosi — i to je u redu: ovo je dobra prilika da pokažemo kako izgleda kontrola koja jednostavno nije primenljiva. Knjigovodstvena agencija ne piše softver, nema izvorni kod niti razvojne alate — ova kontrola je u Izjavi o primenljivosti obeležena kao neprimenljiva, sa kratkim obrazloženjem. Za softversku agenciju iz mini-serije primera, situacija je potpuno drugačija — tamo bi A.8.4 bila jedna od najvažnijih kontrola u celom Aneksu A, jer pristup GitHub repozitorijumima, pomenut u njihovom primeru, direktno spada ovde.

A.8.5, kontrola koju smo najavili na samom početku ove serije: dvofaktorska autentifikacija za sve individualne naloge, tema koja se provlači kroz veći deo ove serije, konačno je formalno kod kuće — ovo je tačno kontrola koju smo najavili u uvodnom tekstu serije, uz A.5.15, kao primer onoga što nas čeka.

Gde se dokumentuje

A.8.1 i A.8.2 dokumentuju se kroz tehničku politiku uređaja i pristupa, sa jasno navedenim ko ima privilegovan pristup i zašto. A.8.3 se ne dokumentuje posebno — vidljiv je kroz same postavke sistema. A.8.4 dokumentuje se kroz jednu rečenicu u Izjavi o primenljivosti, ako nije primenljivo, ili kroz detaljnu politiku upravljanja pristupom kodu, ako jeste. A.8.5 dokumentuje se kroz istu tehničku politiku, sa jasno navedenim zahtevom za dvofaktorsku autentifikaciju.

Najčešća greška

Najčešća greška kod A.8.1 je tretiranje ličnih uređaja kao van domašaja politike firme, iako pristupaju istim podacima kao službeni. Kod A.8.2, najčešća greška je nepostojanje razlike između običnog i privilegovanog pristupa — svi nalozi tretirani isto, iako neki mogu mnogo više od drugih. Kod A.8.3, greška je pravilo koje postoji samo na papiru, bez tehničke primene koja bi ga stvarno sprovela. Kod A.8.4, najčešća greška nije sama kontrola, nego pogrešna primena principa iz teksta o zabludama — firme koje pokušavaju da „primene" kontrolu koja se na njih uopšte ne odnosi, umesto da je jednostavno, uz obrazloženje, isključe. Kod A.8.5, greška je uvođenje dvofaktorske autentifikacije samo za neke sisteme, dok drugi, podjednako osetljivi, ostaju zaštićeni samo lozinkom.

Šta sledi

Sledeći deo serije ide na kontrole A.8.6–8.10 — osnovne operacije: zaštitu od malvera, upravljanje ranjivostima i bezbednu konfiguraciju, teme koje čine svakodnevnu tehničku higijenu svake firme, male ili velike.