Aneks A, deo 4: A.5.14–5.18 — Prenos informacija i kontrola pristupa

Četvrti deo serije o Aneksu A. Ako je bilo koja tema dominirala ovim blogom od prvog teksta, to je upravo ova — ko ima pristup čemu, i šta se dešava kad informacija ode na pogrešno mesto. Ovde se sve to konačno formalno imenuje i organizuje.

Šta ove kontrole traže

A.5.14 — Prenos informacija. Treba da postoje pravila, procedure ili sporazumi za sve načine na koje informacije putuju — unutar firme i prema spoljnim stranama, elektronski, fizički ili usmeno.

A.5.15 — Kontrola pristupa. Treba da postoje jasna pravila za kontrolu fizičkog i logičkog pristupa informacijama i sredstvima, zasnovana na poslovnim i bezbednosnim zahtevima.

A.5.16 — Upravljanje identitetom. Ceo životni ciklus identiteta — kreiranje, izmena, ukidanje — treba da bude upravljan. Identitet ovde znači konkretnu, pojedinačnu osobu ili sistem prepoznat u vašim alatima, ne deljenu, anonimnu ulogu.

A.5.17 — Autentifikacione informacije. Dodela i upravljanje lozinkama i drugim autentifikacionim podacima treba da bude kontrolisano kroz jasan proces, uključujući savetovanje zaposlenih o pravilnom rukovanju.

A.5.18 — Prava pristupa. Prava pristupa treba da budu dodeljena, redovno pregledana, izmenjena i ukinuta u skladu sa politikom kontrole pristupa firme.

Zašto su ove kontrole bitne

Ovih pet kontrola, uzetih zajedno, čine ono što je verovatno srž cele bezbednosti informacija za malu firmu: ko sme da vidi šta, kako se to dodeljuje i oduzima, i kako se osetljive informacije bezbedno kreću od jedne osobe do druge. Kroz čitav blog, u različitim firmama, iz različitih delatnosti, propusti su se gotovo uvek svodili na jednu od ovih pet stvari.

Primer iz prakse

A.5.14, obrazac koji ste već tri puta videli: original incident u knjigovodstvenoj agenciji, pomenut još u tekstu o klauzuli 4.1 — finansijski izveštaj poslat pogrešnom klijentu. Ista vrsta greške pojavila se i u advokatskoj kancelariji iz mini-serije, gde je pripravnik greškom stavio suprotnu stranu u CC polje, i u turističkoj agenciji, gde su skenirane kopije pasoša otišle na pogrešnu adresu tokom sezonske gužve. Tri različite firme, tri različite delatnosti, ista tačna kontrola koja nedostaje: A.5.14. Kao formalno pravilo, ovo sada izgleda ovako — svaki mejl koji sadrži finansijske, lične ili na drugi način osetljive podatke klijenata zahteva eksplicitnu proveru primaoca kao poslednji korak pre slanja, bilo kroz naviku, bilo kroz tehničku meru koja upozorava pri slanju van uobičajenog kruga primalaca.

A.5.15, pravilo koje već primenjujete: kontrola pristupa kroz individualne naloge i dvofaktorsku autentifikaciju, uvedena kao cilj u klauzuli 6.2 i operacionalizovana u klauzuli 8.1, jeste direktna primena ove kontrole na nivou pravila.

A.5.16, razlog zašto je zajednički nalog bio problem: rizik koji smo pratili kroz gotovo celu glavnu seriju — zajednički administratorski nalog za bazu klijenata — u suštini je bio kršenje upravo ove kontrole. Nije postojao pojedinačan identitet za svakog zaposlenog, samo jedan deljen, anoniman ulaz kojim se nije moglo utvrditi ko je šta tačno uradio. Rešenje, individualni nalozi, nije samo popravilo kontrolu pristupa (A.5.15) — prvenstveno je uspostavilo upravljanje identitetom koje pre toga nije postojalo.

A.5.17, deo koji do sada nismo detaljno pokrili: agencija je uvela jasan proces za lozinke — privremena lozinka pri kreiranju naloga mora biti promenjena pri prvom prijavljivanju, zahtev za resetovanje lozinke ide isključivo kroz koordinatorku uz proveru identiteta osobe koja traži reset, ne kroz automatski mejl koji bilo ko može da zatraži, a zaposleni su tokom obuke iz klauzule 7.3 dobili konkretno uputstvo da nikad ne dele lozinke usmeno ili pisanim putem, čak ni sa kolegama.

A.5.18, proces koji ste već videli u praksi: dodela, pregled, izmena i ukidanje prava pristupa opisani su detaljno u tekstu o klauzuli 8.1 — proces sa kriterijumima za dodelu pristupa — i mereni u tekstu o klauzuli 9.1, kroz pokazatelj vremena potrebnog za ukidanje pristupa nakon prestanka saradnje.

Gde se dokumentuje

A.5.14 se dokumentuje kao kratko pravilo ili korak u proceduri, često dodato uz postojeću politiku prihvatljive upotrebe iz prethodnog dela serije. A.5.15 se dokumentuje kao tematska politika kontrole pristupa, pomenuta još u prvom delu ove serije. A.5.16 i A.5.18 prate se kroz isti proces i zapise opisane u klauzulama 8.1 i 9.1 — nema potrebe za odvojenom dokumentacijom. A.5.17 dokumentuje se kroz kratko uputstvo o rukovanju lozinkama, deo šireg materijala za obuku iz klauzule 7.3.

Najčešća greška

Najčešća greška kod A.5.14 je oslanjanje isključivo na pažnju zaposlenog, bez ijedne strukturne mere koja bi grešku uhvatila pre nego što se desi — tri primera iz ove serije pokazuju da i najpažljiviji ljudi povremeno pogreše. Kod A.5.15 i A.5.16, najčešća greška je upravo ona koju smo detaljno obradili kroz celu seriju — deljeni nalozi, opravdani uštedom vremena ili jednostavnošću, koji u stvari brišu mogućnost da se ikad utvrdi ko je šta uradio. Kod A.5.17, česta greška je proces resetovanja lozinke koji ne proverava identitet osobe koja traži reset — otvorena vrata za nekoga ko se lažno predstavlja. Kod A.5.18, najčešća greška je proces koji dobro radi za dodelu pristupa, ali slabo ili nikako za redovan pregled i pravovremeno ukidanje — tačno ono što smo pratili kroz pokazatelj u klauzuli 9.1.

Šta sledi

Sledeći deo serije ide na kontrole A.5.19–5.23 — odnose sa dobavljačima i cloud uslugama, gde se ista logika kontrole pristupa i prenosa informacija primenjuje na nekoga ko nije zaposlen u firmi, ali ipak ima pristup njenim podacima — temu koju smo dotakli kroz nekoliko primera, ali nikad detaljno obradili.