Definisikan dan Pelihara Kontrol Akses Berbasis Peran
Deskripsi
Definisikan dan pelihara kontrol akses berbasis peran, melalui penentuan dan pemeliharaan peran dan hak istimewa untuk setiap akun perusahaan dan penyedia layanan. Tinjau dan definisikan peran minimal setiap tahun, atau lebih sering.
Daftar Periksa Implementasi
Rekomendasi Alat
Platform tata kelola dan administrasi identitas dengan sertifikasi akses, manajemen siklus hidup, dan intelijen akses berbasis AI
SailPoint · Langganan per identitas
Manajemen identitas dan akses cloud dengan SSO, MFA, akses bersyarat, dan tata kelola identitas
Microsoft · Langganan per pengguna (P1/P2)
Platform identitas cloud yang menyediakan SSO, MFA adaptif, manajemen siklus hidup, dan manajemen akses API
Okta · Langganan per pengguna
Ancaman & Kerentanan (CIS RAM)
Skenario Ancaman
Peningkatan Hak Istimewa yang Mengarah ke Akses Data Tidak Sah
ConfidentialityTanpa akses berbasis peran yang ditetapkan, pengguna mengumpulkan izin seiring waktu saat mereka berpindah antar tim, akhirnya memiliki akses berlebihan yang melanggar prinsip least privilege.
Ancaman Orang Dalam Diperkuat oleh Batas Akses yang Tidak Terdefinisi
ConfidentialityOrang dalam yang berbahaya mengeksploitasi hak akses yang ditetapkan secara samar untuk mengakses data dan sistem jauh melampaui persyaratan pekerjaan mereka yang sebenarnya, karena tidak ada model RBAC yang membatasi mereka ke akses yang diperlukan.
Kegagalan Kepatuhan dari Hak Akses yang Tidak Terdokumentasi
IntegrityAuditor regulasi menemukan hak akses tidak didokumentasikan berdasarkan peran, membuat tidak mungkin mendemonstrasikan kepatuhan least-privilege dengan kerangka kerja seperti SOX, HIPAA, atau PCI DSS.
Kerentanan (Saat Pengamanan Tidak Ada)
Tidak Ada Model Kontrol Akses Berbasis Peran yang Ditetapkan
Tanpa peran yang ditetapkan yang memetakan fungsi pekerjaan ke hak akses yang diperlukan, izin diberikan secara ad-hoc berdasarkan permintaan individual daripada persyaratan peran yang terstandarisasi.
Tidak Ada Proses Tinjauan Hak Istimewa Akses Berulang
Tanpa tinjauan akses tahunan atau lebih sering yang memvalidasi hak istimewa terhadap definisi peran, izin yang terakumulasi tidak pernah diidentifikasi atau dicabut.
Persyaratan Bukti
| Jenis | Item Bukti | Frekuensi Pengumpulan |
|---|---|---|
| Dokumen | Dokumen kebijakan yang mengatur (terkini, disetujui, dikomunikasikan) | Ditinjau setiap tahun |