Проверки доступа пользователей, которые устраивают любого аудитора

Немногие контроли так универсальны и так часто не проходят аудит, как проверки доступа пользователей. Каждый стандарт требует, чтобы кто-то периодически проверял, что каждому человеку по-прежнему нужен имеющийся у него доступ. Большинство организаций проводят такую проверку. Гораздо меньше тех, кто может показать аудитору, что проверка была полной, независимой и что по её результатам были приняты меры.

Что требуют стандарты

Полные подробности и обоснование каждой связи: Контроль доступа по фреймворкам →

PCI DSS — единственный стандарт с фиксированной периодичностью: все учётные записи пользователей и привилегии должны проверяться не реже чем раз в шесть месяцев (7.2.4), а также учётные записи приложений и систем (7.2.5.1). SOC 2: аудиторы проверяют, что доступ предоставляется, изменяется и отзывается надлежащим образом (CC6.2, CC6.3), и ищут периодические проверки как доказательство. ISO 27001 требует пересматривать права доступа через регулярные интервалы (A.5.18). HIPAA требует управления доступом к информации и проверки активности (§164.308(a)(4)). CMMC ожидает, что доступ ограничен авторизованными пользователями и функциями (AC.L2-3.1.1, 3.1.2), а также принципом наименьших привилегий.

Проверка, которая проходит аудит

1. Полная выборка. Выгрузите список пользователей непосредственно из системы (экспорт, а не таблица, которую кто-то ведёт вручную), включая служебные и общие учётные записи.
2. Правильный проверяющий. Владелец системы или данных либо руководитель каждого пользователя, но не администратор, который предоставил доступ.
3. Достаточный контекст. Показывайте проверяющим роль и уровень доступа каждого пользователя, чтобы решение «одобрить» было осознанным.
4. Решение по каждой учётной записи. Сохранить, изменить или удалить, с указанием имени проверяющего и даты.
5. Изменения действительно внесены. Создавайте заявки на удаление и храните подтверждение их выполнения.
6. Доказательства сохранены. Экспорт, решения, заявки и подпись хранятся вместе.

Периодичность

Используйте шесть месяцев из PCI DSS как базовый срок для всех систем в области охвата и проверяйте привилегированный доступ ежеквартально. Если у вас есть отчёт SOC 2 Type II, убедитесь, что как минимум одна проверка (желательно две) приходится на каждый период наблюдения.

Что находят аудиторы

• Формальное одобрение: все учётные записи одобрены за несколько минут человеком, который не мог знать, что именно одобряет.
• Неполные выборки: проверка охватила приложение, но не базу данных, или пользовательские учётные записи, но не служебные.
• Самопроверка: администраторы одобряют собственный доступ.
• Удаление не выполнено: проверка решила удалить доступ, но учётная запись существует спустя месяцы.
• Уволенные сотрудники, выявленные проверкой: признак того, что процесс отзыва доступа при увольнении не работает, и аудиторы проверят его отдельно.

Ключевые выводы

• Проверки не проходят аудит из-за доказательств, а не из-за усилий: неполные выборки, самопроверка и удаления, которые так и не выполнены.
• Используйте экспорт из системы, правильного проверяющего, решение по каждой учётной записи и подтверждение изменений.
• Проверка раз в шесть месяцев (правило PCI DSS) и ежеквартальная проверка привилегированного доступа удовлетворяют все стандарты.
• Ограничивайте охват системами, которые важны, и автоматизируйте техническую часть.

Как сделать процесс устойчивым

Автоматизируйте экспорт и напоминания, проверяйте доступ по системам, а не по пользователям, и ограничивайте охват системами, которые важны: производственными, с клиентскими данными, с привилегированными инструментами и всем, что входит в область охвата стандарта. Меньшая, но хорошо документированная проверка лучше громоздкой, которая всегда запаздывает.

См. тематические страницы Контроль доступа и Привилегированный доступ со всеми требованиями и их источниками, а также нашу статью повторное использование доказательств для SOC 2, ISO 27001 и PCI DSS.

Вопросы

Как часто нужно проверять доступ пользователей?

PCI DSS требует проверять учётные записи пользователей и привилегии доступа не реже чем раз в шесть месяцев (7.2.4). Большинство других стандартов требует периодических проверок с периодичностью, которую определяете вы; распространённая базовая практика — ежеквартально для привилегированного доступа и раз в шесть месяцев для остального.

Кто должен проводить проверку доступа?

Владелец системы или данных либо руководитель пользователя, но не администратор, который предоставил доступ. Аудиторы ищут независимость и осведомлённого проверяющего.

Нужны ли проверки доступа для служебных учётных записей?

Да. Аудиторы всё чаще включают в выборку служебные, общие и API-учётные записи; PCI DSS прямо требует периодически проверять учётные записи приложений и систем (7.2.5.1).