Akses Istimewa
Kelola dan pantau akses akun istimewa.
Akses Istimewa didefinisikan oleh hasil NIST CSF 2.0 PR.AA-05 (Access permissions, entitlements, and authorizations are defined in a policy, managed, enforced, and reviewed, and incorporate the principles of least privilege and separation of duties). Crosswalk Dipetakan melalui crosswalk yang dipublikasikan dalam ISO 27001, PCI DSS, CMMC, 800-53 dan NIS2. Editorial Dipetakan secara editorial dalam CIS v8.1, SOC 2, Essential Eight, DORA dan Cyber Essentials. Hanya terkait secara longgar dalam HIPAA. Tidak ada pemetaan dalam data kami Tidak ada pemetaan dalam data kami untuk GDPR dan CPS 234.
| Kerangka kerja | Persyaratan | Judul | Tautan | Sumber / alasan |
|---|---|---|---|---|
| NIST CSF 2.0 | PR.AA-05 | Access permissions, entitlements, and authorizations are defined in a policy, managed, enforced, and reviewed, and incorporate the principles of least privilege and separation of duties | Definisi topik | PR.AA-05 |
| ISO 27001 | A.8.2A.8.18 | Privileged access rights; Use of privileged utility programs | Crosswalk | A.8.2: via PR.AA-05; NIST 800-53 map: AC-2, AC-6 A.8.18: via PR.AA-05; NIST 800-53 map: AC-6 |
| CIS v8.1 | CIS 5.4CIS 12.8 | Restrict Administrator Privileges to Dedicated Administrator Accounts; Establish and Maintain Dedicated Computing Resources for All Administrative Work | Editorial | CIS 5.4: Restrict administrator privileges to dedicated accounts; not in CIS's own crosswalk to CSF 2.0, which covers 49 of 153 safeguards. CIS 12.8: Editorial (CIS's published crosswalk covers 49 of 153 safeguards): dedicated computing resources for administrative work. |
| SOC 2 | CC6.3 | Role-based access, least privilege and segregation of duties | Editorial | CC6.3: AICPA's TSC mappings are not openly licensed; ControlMapping editorial mapping (criterion summaries are ours, not AICPA text). |
| PCI DSS | 7.2.2 | Access assigned by job function and least privilege | Crosswalk | 7.2.2: via PR.AA-05 |
| CMMC | AC.L2-3.1.5AC.L2-3.1.6AC.L2-3.1.7 | Least Privilege; Non-Privileged Account Use; Privileged Functions | Crosswalk | AC.L2-3.1.5: via 800-171r3 03.01.05 ↔ PR.AA-05 → AC-6; 800-171r2 Appendix D → AC-6 AC.L2-3.1.6: via 800-171r3 03.01.06 ↔ PR.AA-05 → AC-6 AC.L2-3.1.7: via 800-171r3 03.01.07 ↔ PR.AA-05 |
| 800-53 | AC-2(7)AC-6(5) | Privileged User Accounts; Privileged Accounts | Crosswalk | AC-2(7): via PR.AA-05 AC-6(5): via PR.AA-05 |
| HIPAA | §164.308(a)(3)§164.308(a)(3)(ii)(A)§164.308(a)(3)(ii)(B)§164.308(a)(4)§164.308(a)(4)(ii)(A)§164.308(a)(4)(ii)(B) | Tidak dipetakan ke topik ini | Persyaratan ini hanya berbagi hasil CSF topik ini (PR.AA-05) melalui crosswalk yang diterbitkan: layak diperiksa, bukan pemetaan. | |
| GDPR | — | Tidak ada persyaratan | Tidak ada pemetaan dalam data kami | Tidak ada persyaratan GDPR yang dipetakan ke topik ini dalam data kami. |
| NIS2 | 11.311.4 | Privileged accounts and system administration accounts; Administration systems | Crosswalk | 11.3: via ENISA ISO map: A.8.2, A.8.18 11.4: via ENISA ISO map: A.8.2, A.8.18 |
| Essential Eight | ISM-1507ISM-1508ISM-0445ISM-1175ISM-1380ISM-1648ISM-1647ISM-1387 | Requests for privileged access to systems and their resources are validated when first…; Privileged access to systems and their resources is limited to only what is required…; Privileged human users are assigned a dedicated privileged user account to be used…… | Editorial | ASD assigns these ISM controls to the Essential Eight; ASD publishes no crosswalk to NIST or ISO, so linking them to topics is ControlMapping editorial. |
| DORA | Art.9(4)(c) | Protection and prevention | Editorial | Art.9(4)(c): Sound administration of access rights covers privileged accounts, although the regulation's own text doesn't single them out. |
| CPS 234 | — | Tidak ada persyaratan | Tidak ada pemetaan dalam data kami | Tidak ada persyaratan CPS 234 yang dipetakan ke topik ini dalam data kami. |
| Cyber Essentials | CE 4 | User Access Control | Editorial | CE 4: Separate accounts for administrative work only, and special access privileges removed when no longer needed. |
Definisi topik Hasil CSF 2.0 yang mendefinisikan topik ini · Crosswalk setidaknya satu pilihan didukung crosswalk yang dipublikasikan · Editorial Penilaian ControlMapping, beserta alasannya · belum dipetakan, hanya berbagi hasil CSF untuk topik ini · Tidak ada pemetaan dalam data kami belum ada yang dipetakan dalam data kami; sering kali pekerjaan baru, tetapi periksa catatan cakupannya. Metodologi.
ID dan judul persyaratan ditampilkan sebagaimana diterbitkan masing-masing framework, dalam bahasa Inggris.
Pemetaan salah atau belum ada? Laporkan
Tentang Akses Istimewa
Manajemen akses istimewa (PAM) berfokus pada pengamanan, pengendalian, dan pemantauan akun dengan hak akses tinggi, seperti domain administrator, database administrator, dan akun root. Implementasinya umumnya melibatkan penerapan solusi PAM yang menyediakan penyimpanan kata sandi terenkripsi (password vaulting), perekaman sesi, penyediaan akses sesuai kebutuhan saat itu juga (just-in-time), dan rotasi kredensial otomatis. Karena akun istimewa yang disusupi terlibat dalam sebagian besar pelanggaran data, organisasi harus menerapkan prinsip hak akses minimum, mewajibkan MFA untuk seluruh akses istimewa, dan melakukan peninjauan berkala untuk memastikan hak akses tinggi masih dibutuhkan.