Consapevolezza sul Privilegio Minimo

Keep access to the minimum your job requires.

Cos’è Consapevolezza sul Privilegio Minimo?

Il principio del privilegio minimo significa che ogni persona e sistema ottiene solo l'accesso minimo necessario per svolgere il proprio lavoro, niente di più. Sembra semplice, ma nella pratica l'accumulo di permessi è una delle lacune di sicurezza più comuni nelle organizzazioni di ogni dimensione. Questo esercizio ti inserisce in una revisione degli accessi realistica dove verifichi i permessi assegnati ai membri di un team di progetto interfunzionale. Alcuni utenti hanno diritti di amministratore su sistemi a cui hanno effettuato l'accesso una sola volta, sei mesi fa. Altri condividono un account di servizio perché 'era più semplice che richiedere accessi individuali'. Un contractor ha ancora le credenziali VPN tre settimane dopo la fine del suo progetto. Lavori caso per caso, decidendo cosa mantenere, cosa revocare e cosa segnalare per un'indagine più approfondita. La simulazione mostra come un singolo account con permessi eccessivi diventi il punto d'appoggio di cui gli aggressori hanno bisogno per muoversi lateralmente attraverso una rete. Ti eserciti anche a richiedere gli accessi attraverso i canali appropriati, comprendendo perché 'dammi i diritti di admin' è una richiesta che dovrebbe sempre essere messa in discussione, anche quando proviene da un collega senior.

Cosa imparerai in Consapevolezza sul Privilegio Minimo

Consapevolezza sul Privilegio Minimo — Fasi della formazione

  1. Un ruolo in crescita

    Nel corso del tempo, il tuo ruolo si è evoluto in modo significativo. Hai iniziato con le operazioni, sei passato alla conformità e ora lavori nella pianificazione strategica. Lungo il percorso, hai accumulato l'accesso a vari sistemi, alcuni dei quali non utilizzi più.

  2. La revisione trimestrale dell'accesso

    Harmon Financial conduce revisioni trimestrali dell'accesso come richiesto dalla conformità SOX. Ogni dipendente deve rivedere i propri attuali diritti di accesso e confermare di aver ancora bisogno di ciascuna autorizzazione. Alice riceve un'e-mail dal team di sicurezza IT relativa alla prossima revisione.

  3. Apertura del portale di accesso

    L'e-mail di IT Security spiega perché le revisioni degli accessi sono importanti: l'accesso inutilizzato crea rischi inutili, le autorizzazioni dovrebbero corrispondere al tuo ruolo attuale e la riduzione dell'impatto degli accessi ti protegge se le credenziali vengono compromesse. Alice fa clic sul collegamento per accedere al portale di revisione dell'accesso dove può rivedere e gestire le sue autorizzazioni.

  4. Accesso

    Viene visualizzata la pagina di accesso al portale Access Review. Alice utilizza le credenziali salvate dal gestore password per accedere in modo sicuro.

  5. Revisione dell'accesso corrente

    Il portale mostra gli attuali diritti di accesso di Alice su tutti i sistemi. È sorpresa da quanto accesso ha accumulato: Accesso corrente: Database clienti (lettura/scrittura) - Dal suo ruolo operativo 2 anni fa Sistema di controllo della conformità (amministratore) - Dal suo ruolo di conformità 1 anno fa Portale di pianificazione strategica (lettura) - Requisito del ruolo attuale Dashboard di reporting finanziario (lettura) - Ruolo attuale requisito Sistema CRM legacy (accesso completo) : sistema che non ha toccato negli ultimi 18 mesi

  6. Comprendere il raggio di esplosione

    Il portale spiega il concetto di 'raggio di esplosione': il danno potenziale se il tuo account viene compromesso. Il tuo raggio d'azione attuale: 5 sistemi con accesso diretto Oltre 50.000 record di clienti accessibili Diritti di amministratore sui log di controllo della conformità Accesso completo ai dati CRM legacy Se le credenziali di Alice venissero rubate tramite phishing, un utente malintenzionato avrebbe accesso a TUTTO questo. Riducendo gli accessi non necessari, riduce il raggio dell'esplosione e limita i danni potenziali.

  7. Valutazione dell'accesso al database dei clienti

    Il primo elemento è l'accesso al database dei clienti. Alice disponeva dell'accesso in lettura/scrittura dal suo ruolo operativo, ma non ha avuto bisogno di accedere ai record dei clienti da più di un anno. Domande da considerare: Quando ho utilizzato l'ultimo accesso? Il mio ruolo attuale lo richiede? Potrei richiedere un accesso temporaneo se necessario in seguito? Per Alice, le risposte sono chiare: non ha più bisogno di questo accesso.

  8. Valutazione dei diritti di amministratore del sistema di conformità

    Il prossimo è il sistema di controllo della conformità. Alice aveva diritti di amministratore dal suo ruolo di conformità, ma è passata alla pianificazione strategica un anno fa. I diritti di amministratore sono particolarmente sensibili perché consentono di modificare i registri di controllo, cosa che richiede una rigorosa responsabilità e dovrebbe essere detenuta solo dai membri attivi del team di conformità.

  9. La questione del sistema legacy

    Il sistema CRM legacy è più complicato. Alice ha accesso completo, ma il sistema viene utilizzato raramente. Tuttavia, occasionalmente ha bisogno di estrarre dati storici per report strategici. Opzioni: Mantieni accesso completo - Mantiene il livello di rischio attuale Richiedi accesso in sola lettura - Riduce il rischio preservando la capacità di ricerca Rimuovi accesso - Richiedi accesso temporaneo quando necessario Il principio del privilegio minimo suggerisce di richiedere l'accesso in sola lettura: non è necessario modificare i dati, ma solo leggerli.

  10. Conferma dell'accesso al ruolo corrente

    Gli elementi finali sono il portale di pianificazione strategica e il dashboard di reporting finanziario. Entrambi sono necessari per il ruolo attuale di Alice e lei li usa regolarmente. Il portale li mostra come 'Confermato - Richiesto per il ruolo attuale'. Nessuna azione necessaria per l'accesso che corrisponde alle attuali funzioni lavorative.