Contrôle d'accès
Gérer les identités et les accès aux actifs physiques et logiques.
Contrôle d'accès est défini par les résultats NIST CSF 2.0 PR.AA-01 (Identities and credentials for authorized users, services, and hardware are managed by the organization); PR.AA-05 (Access permissions, entitlements, and authorizations are defined in a policy, managed, enforced, and reviewed, and incorporate the principles of least privilege and separation of duties). Correspondance Mis en correspondance par une correspondance publiée dans ISO 27001, CIS v8.1, PCI DSS, CMMC, 800-53, HIPAA et NIS2. Éditorial Mis en correspondance de manière éditoriale dans SOC 2, GDPR, DORA et Cyber Essentials. Aucune correspondance dans nos données Aucune correspondance dans nos données pour Essential Eight et CPS 234.
| Référentiel | Exigence | Titre | Lien | Source / motif |
|---|---|---|---|---|
| NIST CSF 2.0 | PR.AA-01PR.AA-05 | Identities and credentials for authorized users, services, and hardware are managed by the organization; Access permissions, entitlements, and authorizations are defined in a policy, managed, enforced, and reviewed, and incorporate the principles of least privilege and separation of duties | Définition du sujet | PR.AA-01 PR.AA-05 |
| ISO 27001 | A.5.15A.5.16A.5.18A.8.3 | Access control; Identity management; Access rights… | Correspondance | A.5.15: via PR.AA-01; PR.AA-05; NIST 800-53 map: AC-3 A.5.16: via PR.AA-01; PR.AA-05; NIST 800-53 map: AC-2 A.5.18: via PR.AA-01; PR.AA-05; NIST 800-53 map: AC-2 A.8.3: via PR.AA-05; NIST 800-53 map: AC-3 |
| CIS v8.1 | CIS 5.1CIS 6.1CIS 6.2CIS 6.7CIS 6.8CIS 3.3CIS 5.2CIS 5.3CIS 5.5CIS 5.6CIS 6.6CIS 12.5 | Establish and Maintain an Inventory of Accounts; Establish an Access Granting Process; Establish an Access Revoking Process… | Correspondance | CIS 5.1: via PR.AA-01; PR.AA-05 CIS 6.1: Access granting process: the core CIS access-control safeguard; not in CIS's own crosswalk to CSF 2.0, which covers 49 of 153 safeguards. CIS 6.2: Access revoking process; not in CIS's own crosswalk to CSF 2.0, which covers 49 of 153 safeguards. CIS 6.7: via PR.AA-01 CIS 6.8: via PR.AA-05 CIS 3.3: via PR.AA-05 CIS 5.2: Editorial (CIS's published crosswalk covers 49 of 153 safeguards): unique passwords for every account. CIS 5.3: Editorial (CIS's published crosswalk covers 49 of 153 safeguards): disable dormant accounts. CIS 5.5: Editorial (CIS's published crosswalk covers 49 of 153 safeguards): an inventory of service accounts. CIS 5.6: via PR.AA-01 CIS 6.6: Editorial (CIS's published crosswalk covers 49 of 153 safeguards): an inventory of authentication and authorisation systems. CIS 12.5: Editorial (CIS's published crosswalk covers 49 of 153 safeguards): centralised network authentication, authorisation and auditing (AAA). |
| SOC 2 | CC6.1CC6.2CC6.3 | Logical access security over information assets; User registration, authorization and removal; Role-based access, least privilege and segregation of duties | Éditorial | AICPA's TSC mappings are not openly licensed; ControlMapping editorial mapping (criterion summaries are ours, not AICPA text). |
| PCI DSS | 7.2.17.2.27.2.48.2.1 | Access control model defined; Access assigned by job function and least privilege; User accounts and privileges reviewed every six months… | Correspondance | 7.2.1: via PR.AA-05 7.2.2: via PR.AA-05 7.2.4: via PR.AA-05 8.2.1: via PR.AA-01 |
| CMMC | AC.L2-3.1.1AC.L2-3.1.2 | Authorized Access Control; Transaction & Function Control | Correspondance | AC.L2-3.1.1: via 800-171r3 03.01.01 ↔ PR.AA-01, PR.AA-05 → AC-2; 800-171r2 Appendix D → AC-2, AC-3 AC.L2-3.1.2: via 800-171r3 03.01.02 ↔ PR.AA-05 → AC-3; 800-171r2 Appendix D → AC-2, AC-3 |
| 800-53 | AC-2AC-3 | Account Management; Access Enforcement | Correspondance | AC-2: via PR.AA-01; PR.AA-05 AC-3: via PR.AA-05 |
| HIPAA | §164.308(a)(4)§164.312(a)§164.312(a)(2)(i)§164.312(d) | Information Access Management; Access Control; Unique User Identification… | Correspondance | §164.308(a)(4): via NIST HIPAA map: AC-2 §164.312(a): via NIST HIPAA map: AC-3 §164.312(a)(2)(i): via NIST HIPAA map: AC-2, AC-3 §164.312(d): Person or entity authentication: verify that whoever seeks access to ePHI is who they claim. It requires authentication, not specifically multi-factor. |
| GDPR | Art.25(2)Art.32(1)(b) | Data protection by design and by default; Security of processing | Éditorial | No official crosswalk exists for GDPR; ControlMapping editorial mapping. |
| NIS2 | 11.111.211.5 | Access control policy; Management of access rights; Identification | Correspondance | 11.1: via PR.AA-05; ENISA ISO map: A.5.15, A.8.3 11.2: via PR.AA-05; ENISA ISO map: A.5.18 11.5: via PR.AA-01; PR.AA-05; ENISA ISO map: A.5.16 |
| Essential Eight | — | Aucune exigence | Aucune correspondance dans nos données | Aucune exigence Essential Eight n'est mise en correspondance avec ce thème dans nos données. |
| DORA | Art.9(4)(c) | Protection and prevention | Éditorial | Art.9(4)(c): Limit physical and logical access to what legitimate, approved functions require, with sound administration of access rights. |
| CPS 234 | — | Aucune exigence | Aucune correspondance dans nos données | Aucune exigence CPS 234 n'est mise en correspondance avec ce thème dans nos données. |
| Cyber Essentials | CE 4 | User Access Control | Éditorial | CE 4: Approved accounts only, unique credentials, only the access each role needs, and accounts removed when no longer needed. |
Définition du sujet Résultats CSF 2.0 qui définissent ce thème · Correspondance au moins un choix appuyé par une table de correspondance publiée · Éditorial Jugement de ControlMapping, avec le motif · non mappé, partage seulement les résultats CSF de ce thème · Aucune correspondance dans nos données rien de mappé dans nos données ; souvent un travail nouveau, mais consultez les notes de couverture. Méthodologie.
Les identifiants et intitulés des exigences sont présentés tels que chaque référentiel les publie, en anglais.
Correspondance erronée ou manquante ? Signaler
À propos de Contrôle d'accès
Le contrôle d'accès garantit que seuls les utilisateurs, appareils et processus autorisés peuvent accéder aux ressources de l'organisation, en appliquant le principe du moindre privilège et du besoin d'en connaître. Les éléments fondamentaux de la mise en œuvre comprennent la gestion du cycle de vie des identités, le contrôle d'accès basé sur les rôles (RBAC), des revues d'accès régulières et des campagnes de recertification, ainsi que des workflows automatisés de provisionnement et de déprovisionnement. Un contrôle d'accès robuste réduit la surface d'attaque en limitant les possibilités de mouvement latéral et en empêchant l'accès non autorisé aux systèmes et données sensibles.