Bewustzijn van de minste privileges

Keep access to the minimum your job requires.

Wat is Bewustzijn van de minste privileges?

Het principe van minimale rechten houdt in dat elke persoon en elk systeem alleen de minimaal benodigde toegang krijgt om de taak uit te voeren, niets meer. Het klinkt eenvoudig, maar in de praktijk is machtigingsopstapeling een van de meest voorkomende beveiligingslacunes in organisaties van elke omvang. Deze oefening plaatst u in een realistische toegangsbeoordeling waarin u de machtigingen controleert die zijn toegewezen aan leden van een multidisciplinair projectteam. Sommige gebruikers hebben beheerdersrechten op systemen die ze zes maanden geleden eenmalig hebben gebruikt. Anderen delen een serviceaccount omdat 'dat makkelijker was dan individuele toegang aanvragen.' Een externe medewerker heeft nog steeds VPN-inloggegevens drie weken na afloop van het project. U werkt elk geval door en beslist wat u behoudt, wat u intrekt en wat u markeert voor nader onderzoek. De simulatie toont hoe een enkel te ruim voorzien account het bruggehoofd wordt dat aanvallers nodig hebben om zich lateraal door een netwerk te bewegen. U oefent ook het aanvragen van toegang via de juiste kanalen en begrijpt waarom 'geef me gewoon beheerdersrechten' een verzoek is dat altijd in twijfel moet worden getrokken, zelfs wanneer het van een senior collega komt.

Wat je leert in Bewustzijn van de minste privileges

Bewustzijn van de minste privileges — Trainingsstappen

  1. Een groeiende rol

    In de loop van de tijd is jouw rol aanzienlijk geëvolueerd. U bent begonnen in de operationele sector, bent overgestapt op compliance en werkt nu in de strategische planning. Gaandeweg heb je toegang gekregen tot verschillende systemen, waarvan je sommige niet meer gebruikt.

  2. De driemaandelijkse toegangscontrole

    Harmon Financial voert driemaandelijkse toegangsbeoordelingen uit, zoals vereist door SOX-naleving. Elke medewerker moet zijn huidige toegangsrechten controleren en bevestigen dat hij/zij elke toestemming nog steeds nodig heeft. Alice ontvangt een e-mail van het IT-beveiligingsteam over de komende beoordeling.

  3. Het toegangsportaal openen

    In de e-mail van IT Security wordt uitgelegd waarom toegangsbeoordelingen belangrijk zijn: ongebruikte toegang brengt onnodige risico's met zich mee, machtigingen moeten overeenkomen met uw huidige rol en het verkleinen van uw toegangsvoetafdruk beschermt u als inloggegevens in gevaar komen. Alice klikt op de link om toegang te krijgen tot de Access Review Portal, waar ze haar machtigingen kan bekijken en beheren.

  4. Inloggen

    De inlogpagina van het Access Review Portal verschijnt. Alice gebruikt haar opgeslagen inloggegevens van de wachtwoordbeheerder om veilig in te loggen.

  5. Huidige toegang beoordelen

    Het portaal toont de huidige toegangsrechten van Alice voor alle systemen. Ze is verrast door hoeveel toegang ze heeft verzameld: Huidige toegang: Klantendatabase (lezen/schrijven) - Vanuit haar operationele rol 2 jaar geleden Compliance Audit System (beheerder) - Vanuit haar compliance rol 1 jaar geleden Strategisch planningsportal (lezen) - Huidige rolvereiste Dashboard financiële rapportage (lezen) - Huidige rol vereiste Legacy CRM-systeem (volledige toegang) - Systeem dat ze al 18 maanden niet heeft aangeraakt

  6. De explosieradius begrijpen

    Het portaal legt het concept van 'ontploffingsradius' uit: de potentiële schade als uw account wordt gecompromitteerd. Uw huidige straal: 5 systemen met directe toegang Meer dan 50.000 klantrecords toegankelijk Beheerdersrechten voor compliance-auditlogboeken Volledige toegang tot oudere CRM-gegevens Als de inloggegevens van Alice zouden worden gestolen via phishing, zou een aanvaller toegang hebben tot dit ALLES. Door onnodige toegang te verminderen, verkleint ze haar explosieradius en beperkt ze de potentiële schade.

  7. Toegang tot klantendatabase evalueren

    Het eerste item is toegang tot de klantendatabase. Alice had lees-/schrijftoegang vanuit haar operationele rol, maar ze heeft al meer dan een jaar geen toegang meer nodig tot klantgegevens. Vragen om over na te denken: Wanneer heb ik deze toegang voor het laatst gebruikt? Is dit voor mijn huidige rol vereist? Kan ik later tijdelijke toegang aanvragen als dat nodig is? Voor Alice zijn de antwoorden duidelijk: ze heeft deze toegang niet langer nodig.

  8. Evaluatie van compliance-systeembeheerdersrechten

    Het volgende is het compliance-auditsysteem. Alice had beheerdersrechten vanuit haar compliancerol, maar ze is een jaar geleden overgestapt naar strategische planning. Beheerdersrechten zijn bijzonder gevoelig omdat ze het wijzigen van auditlogboeken mogelijk maken - iets dat strikte verantwoordelijkheid vereist en alleen mag worden beheerd door actieve leden van het complianceteam.

  9. De kwestie van het oude systeem

    Het Legacy CRM-systeem is ingewikkelder. Alice heeft volledige toegang, maar het systeem wordt zelden gebruikt. Af en toe moet ze echter historische gegevens verzamelen voor strategische rapporten. Opties: Volledige toegang behouden - Behoudt het huidige risiconiveau Vraag alleen-lezen toegang aan - Vermindert de risico's terwijl de onderzoeksmogelijkheden behouden blijven Toegang verwijderen - Vraag tijdelijke toegang aan wanneer dat nodig is Het principe van de minste rechten suggereert dat u alleen-lezen toegang aanvraagt: ze hoeft de gegevens niet te wijzigen, ze hoeft deze alleen te lezen.

  10. Toegang tot huidige rol bevestigen

    De laatste items zijn het Strategic Planning Portal en het Financial Reporting Dashboard. Deze zijn beide nodig voor de huidige rol van Alice en ze gebruikt ze regelmatig. In de portal worden deze weergegeven als 'Bevestigd - vereist voor huidige rol'. Er is geen actie nodig voor toegang die overeenkomt met de huidige functiefuncties.