Управление информационной безопасностью. Стандарты СУИБ. Вадим Гребенников

      Меры и средства

      Формальный процесс регистрации пользователя ее отмены должен быть внедрен для предоставления прав доступа.

      Рекомендации по реализации

      Процесс управления идентификаторами пользователя должен включать:

      – использование уникальных идентификаторов пользователя, позволяющих отследить их действия и ответственность за них; использование распространенных идентификаторов должно быть разрешено только в случае оперативной или бизнес-необходимости, задокументировано и утверждено;

      – немедленную деактивацию или удаление идентификаторов пользователя после его увольнения;

      – периодическую идентификацию и деактивацию или удаление ненужных идентификаторов пользователя;

      – гарантию того, что деактивированные идентификаторы не достались другим пользователям.

      Разрешение или запрет доступа к информации и средствам ее обработки состоит из следующих двух этапов:

      – создание и активация или деактивация идентификатора пользователя;

      – активация или деактивация прав доступа идентификатора пользователя.

      Предоставление доступа

      Меры и средства

      Формальный процесс предоставления доступа должен быть внедрен для назначения или отмены прав доступа для всех типов пользователя во всех системах и сервисах.

      Рекомендации по реализации

      Процесс предоставления доступа должен включать:

      – получение полномочий от собственника ИС или сервиса для их использования;

      – проверку того, что уровень предоставленного доступа соответствует правилам доступа и другим требованиям, например, разделения обязанностей;

      – гарантию того, что права доступа не будут активированы (например, провайдером услуг) до завершения процедур авторизации;

      – ведение централизованной записи прав доступа, предоставленных идентификатору пользователя для доступа к ИС и сервисам;