June 22, 2024

Hozzáférés-ellenőrzés

A számítógépes rendszereken található erőforrások védelmének talán legfontosabb eleme a hozzáférés-ellenőrzés. Ezt három fő alkotóelemre lebontva vizsgálhatjuk. Ezek:

  1. A bejelentkezés ellenőrzése (azonosítás, hitelesítés)
  2. Hozzáférés ellenőrzés (jogosultsági adminisztráció és jogosultság ellenőrzés)
  3. Naplózás (bizonyíték biztosítás)

A bejelentkezés ellenőrzése (azonosítás, hitelesítés)

  • Ellenőrizni kell az informatikai rendszer egyes elemeihez való hozzáférések és bejelentkezések illetékességét.
  • Nyilvántartást kell vezetni azon személyekről és programokról, mint alanyokról, valamint azon adatokról és készülékekről, mint tárgyakról, amelyeknek az azonosítása és hitelesítése használatbavétel előtt szükséges.
  • Rögzíteni kell az informatikai rendszeren belül az azonosítás és hitelesítés folyamatát.
  • Új dolgozók belépése, illetve távozó dolgozók kilépése esetén a személyi jogosultságokat aktualizálni kell.
  • Gondot kell fordítani a felhasználók egyértelmű azonosítására, azaz nem fordulhat elő, hogy több személy kap azonos jelölést.
  • Elő kell írni a jelszavak használatának módját (titokban tartás, minimális hossz, bonyolultságuk, érvényességi idejük).
  • Ha más hitelesítő eszközök (pl.: azonosító kártya, chipkártya stb.) is alkalmazásra kerülnek, elő kell írni használatuk szabályait (pl.: átruházás tiltás, elvesztés bejelentési kötelezettség stb.).
  • Rögzíteni kell az eredménytelen azonosítási és hitelesítési események kapcsán felmerülő intézkedés-sorozatokat.

Hozzáférés ellenőrzés (jogosultsági adminisztráció és jogosultság ellenőrzés)

  • Rögzíteni kell a személyek és programok, mint alanyok, valamint az adatok és készülékek, mint tárgyak, hozzáférés ellenőrzési igényeit.
  • A hozzáférési jogosultságok odaítélését a feladatteljesítés követelményeihez igazodva kell megállapítani.
  • A hozzáférési jogosultságok kiosztását, illetve megvonását a vezetői jóváhagyás után a rendszer adminisztrátornak el kell végeznie.
  • Ellenőrizni kell a hozzáférési jogosultságok kiosztását, zárolását, megvonását, módosítását.
  • A hozzáférési jogosultság kiosztási szintjeit felül kell vizsgálni.
  • A jogosulatlan hozzáférési kísérletek eseményeit ellenőrizni kell.

Naplózás (bizonyíték biztosítás)

  • A biztonsági követelmények között szerepelnie kell az illetéktelen, illetve jogosulatlan események naplózásának.
  • Elő kell írni, hogy mely események kerüljenek naplózásra.
  • A jogosultságok kiosztását, módosítását és megvonását naplózni kell.
  • Csak hitelesített személyek (pl.: rendszer adminisztrátorok vagy biztonsági felügyelők) férhetnek hozzá a naplóadatokhoz.
  • A naplóadatok kiértékelését automatizált folyamatokkal kell támogatni.
  • A naplóadatokat rendszeresen ki kell értékelni.
  • A naplóadatok megőrzési határidejét rögzíteni kell.
  • A naplókészítő elemeket manipuláció ellen védeni kell.
  • Az őrzésre kerülő naplóadatokat manipuláció és megsemmisülés ellen védeni kell.