Hozzáférés-ellenőrzés
A számítógépes rendszereken található erőforrások védelmének talán legfontosabb eleme a hozzáférés-ellenőrzés. Ezt három fő alkotóelemre lebontva vizsgálhatjuk. Ezek:
- A bejelentkezés ellenőrzése (azonosítás, hitelesítés)
- Hozzáférés ellenőrzés (jogosultsági adminisztráció és jogosultság ellenőrzés)
- Naplózás (bizonyíték biztosítás)
A bejelentkezés ellenőrzése (azonosítás, hitelesítés)
- Ellenőrizni kell az informatikai rendszer egyes elemeihez való hozzáférések és bejelentkezések illetékességét.
- Nyilvántartást kell vezetni azon személyekről és programokról, mint alanyokról, valamint azon adatokról és készülékekről, mint tárgyakról, amelyeknek az azonosítása és hitelesítése használatbavétel előtt szükséges.
- Rögzíteni kell az informatikai rendszeren belül az azonosítás és hitelesítés folyamatát.
- Új dolgozók belépése, illetve távozó dolgozók kilépése esetén a személyi jogosultságokat aktualizálni kell.
- Gondot kell fordítani a felhasználók egyértelmű azonosítására, azaz nem fordulhat elő, hogy több személy kap azonos jelölést.
- Elő kell írni a jelszavak használatának módját (titokban tartás, minimális hossz, bonyolultságuk, érvényességi idejük).
- Ha más hitelesítő eszközök (pl.: azonosító kártya, chipkártya stb.) is alkalmazásra kerülnek, elő kell írni használatuk szabályait (pl.: átruházás tiltás, elvesztés bejelentési kötelezettség stb.).
- Rögzíteni kell az eredménytelen azonosítási és hitelesítési események kapcsán felmerülő intézkedés-sorozatokat.
Hozzáférés ellenőrzés (jogosultsági adminisztráció és jogosultság ellenőrzés)
- Rögzíteni kell a személyek és programok, mint alanyok, valamint az adatok és készülékek, mint tárgyak, hozzáférés ellenőrzési igényeit.
- A hozzáférési jogosultságok odaítélését a feladatteljesítés követelményeihez igazodva kell megállapítani.
- A hozzáférési jogosultságok kiosztását, illetve megvonását a vezetői jóváhagyás után a rendszer adminisztrátornak el kell végeznie.
- Ellenőrizni kell a hozzáférési jogosultságok kiosztását, zárolását, megvonását, módosítását.
- A hozzáférési jogosultság kiosztási szintjeit felül kell vizsgálni.
- A jogosulatlan hozzáférési kísérletek eseményeit ellenőrizni kell.
Naplózás (bizonyíték biztosítás)
- A biztonsági követelmények között szerepelnie kell az illetéktelen, illetve jogosulatlan események naplózásának.
- Elő kell írni, hogy mely események kerüljenek naplózásra.
- A jogosultságok kiosztását, módosítását és megvonását naplózni kell.
- Csak hitelesített személyek (pl.: rendszer adminisztrátorok vagy biztonsági felügyelők) férhetnek hozzá a naplóadatokhoz.
- A naplóadatok kiértékelését automatizált folyamatokkal kell támogatni.
- A naplóadatokat rendszeresen ki kell értékelni.
- A naplóadatok megőrzési határidejét rögzíteni kell.
- A naplókészítő elemeket manipuláció ellen védeni kell.
- Az őrzésre kerülő naplóadatokat manipuláció és megsemmisülés ellen védeni kell.