Miksi MSP-käyttöoikeuden uudelleensertifiointi on välttämätöntä ISO 27001 A.5.18 -standardin noudattamiseksi

Miksi MSP Access on uusi jaettu räjäytyssäde

MSP-käyttöoikeus on jaettu räjähdyssäde, koska yksi ainoa yli-etuoikeutettu identiteetti organisaatiossasi voi vaikuttaa useisiin asiakasvuokralaisiin samanaikaisesti. Kun tiimeilläsi on tehokkaat työkalut ja järjestelmänvalvojan oikeudet kymmenissä ympäristöissä, vähiten käyttöoikeuksia ja säännöllistä käyttöoikeuksien uudelleensertifiointia ei enää käytetä taustalla tapahtuvana hallintana, vaan niistä tulee keskeisiä turvallisuuskontrolleja vahinkojen rajoittamiseksi ja asiakkaiden, hallitusten ja vakuutusyhtiöiden turvallisuuden takaamiseksi.

Noin 41 % vastaajista vuonna 2025 tehdyssä ISMS.online State of Information Security -kyselyssä sanoi, että kolmansien osapuolten riskien hallinta ja toimittajien vaatimustenmukaisuuden seuranta ovat yksi heidän suurimmista tietoturvahaasteistaan.

MSP:n räjähdyssäteen ongelma selkokielellä

MSP:n laajuinen hyökkäysongelma tarkoittaa riskiä, että yksi vaarantunut identiteetti tai jaettu työkalu voi avata useita asiakasympäristöjä yhdellä kertaa. Usean vuokralaisen alustat ja laajat järjestelmänvalvojan roolit kattavat usein kymmeniä vuokralaisia, joten virhe tai tietomurto voi nopeasti eskaloitua yhdestä tapauksesta useiden asiakkaiden vaikutukseksi. Tietoturvaraportointi on toistuvasti tuonut esiin todellisia tapauksia, joissa hyökkääjät ovat väärinkäyttäneet MSP:n hallintatyökaluja ja jaettuja järjestelmänvalvojan tilejä siirtyäkseen useisiin asiakasverkkoihin samanaikaisesti, kuten erikoistuneet julkaisut, kuten Dark Reading, ovat käsitelleet.

Työntekijäsi eivät voi tukea asiakkaita ilman merkityksellisiä käyttöoikeuksia, mutta jokainen lisälupa lisää virheen tai tietomurron aiheuttamien vahinkojen määrää. Usean vuokralaisen työkalut vahvistavat tätä riskiä muuttamalla yhden tunnistetietojoukon oikopoluksi asiakkaiden välillä. Usean vuokralaisen MSP:ssä vaarantunut jaettu järjestelmänvalvojan tili tai etähallintatyökalu vaikuttaa harvoin vain yhteen yritykseen; siitä voi tulla hyökkääjän reitti useisiin, usein laajoilla käyttöoikeuksilla ja pitkäaikaisella luottamuksella oleviin yrityksiin.

Suurin osa organisaatioista vuoden 2025 ISMS.online-tietoturvakyselyymme osallistui, ja he ilmoittivat kokeneensa ainakin yhden kolmannen osapuolen tai toimittajan aiheuttaman tietoturvahäiriön kuluneen vuoden aikana.

Monet hallinnoidut palveluiden tarjoajat (MSP) kasvoivat nopeuden ja luottamuksen varassa: kuka tahansa päivystäjä tai "asiakkaan parhaiten tunteva" sai laajat käyttöoikeudet, jotta he pystyivät korjaamaan asiat nopeasti. Ajan myötä näistä päätöksistä kasaantuu monimutkainen vyyhti jaettuja tilejä, vanhentumattomia testikäyttöoikeuksia ja vanhoja järjestelmänvalvojan rooleja, joihin kukaan ei halua koskea, koska ne "vain toimivat". ISO 27001:2022 A.5.18 valaisee tätä vyyhteä ja odottaa, että päätät, dokumentoit ja tarkistat kenellä on käyttöoikeudet ja miksi sen sijaan, että luottaisit epäviralliseen historiaan. Liitteen A.5.18 kontrolliteksti edellyttää, että tietoihin ja muihin niihin liittyviin resursseihin liittyvät käyttöoikeudet myönnetään, tarkistetaan, muokataan ja poistetaan käyttöoikeuskäytäntösi mukaisesti, joka toimii vain, kun päätökset siitä, kenellä on käyttöoikeudet ja miksi, dokumentoidaan selkeästi ja niitä kyseenalaistetaan säännöllisesti, kuten ISO 27001:2022 liitteessä A.5.18 on esitetty.

Vahva pääsynhallinta on luottamuksen ja siedetyn riskin välinen hiljainen ero.

Operatiivisen johtajan tai tietoturvajohtajan näkökulmasta todellinen kysymys ei ole enää "onko meillä käyttöoikeuksia?", vaan "pystymmekö kuvailemaan selkeästi muutamassa minuutissa, mitkä henkilöllisyydet voivat koskettaa mitäkin asiakasjärjestelmiä, millä käyttöoikeustasolla ja millä liiketoimintaperusteella?". Jos rehellinen vastaus edellyttää työkalujen, tikettien ja heimojen tiedon läpikäymistä, toimintasäde on suurempi kuin luuletkaan ja huonosti hallittu.

Etuoikeuksien hiipiminen ja riittävän hyvät käyttöoikeuskulttuurit

Oikeuksien hiipiminen tarkoittaa käyttöoikeuksien asteittaista kertymistä, kun ihmiset, asiakkaat tai työkalut vaihtuvat, mutta vanhat oikeudet säilyvät varmuuden vuoksi. Hallitun palveluntarjoajassa tämä hiipiminen moninkertaistuu palvelemiesi asiakkaiden lukumäärän mukaan: vanhempi insinööri, joka on työskennellyt useiden asiakkaiden kanssa vuosia, voi päätyä lähes rajattomaan yhdistelmään live-tilejä, rooleja ja takaportteja.

Etuoikeuksien hiipiminen johtuu yleensä hyvistä aikomuksista: vältät oikeuksien peruuttamisen siltä varalta, että niitä tarvitaan jonkin ongelman sattuessa tai pitkäaikaisen asiakkaan tyytyväisenä pitämiseksi. Ajan myötä nämä hyvää tarkoittavat päätökset kasautuvat tasolle, jota kukaan ei hyväksyisi, jos näkisi sen yhdellä sivulla.

Kulttuurisesti vanhan käyttöoikeuden jättäminen rauhaan tuntuu usein turvallisemmalta, varsinkin jos pelkää palvelun rikkoutumista. Juuri tätä mukavuutta hyökkääjät ja auditoijat hyödyntävät. Kun tietomurtotutkinta tai sertifiointitarkastus alkaa kysyä, miksi tietyllä henkilöllä tai palvelutilillä on edelleen korkean tason käyttöoikeudet vuosia projektin päättymisen jälkeen, emme koskaan ehtineet poistaa niitä. Tämä ei ole vastaus, jota kukaan haluaisi tuoda julkisuuteen.

Käyttöoikeuden näkeminen jaettuna räjäytyssäteenä pelkän teknisen yksityiskohdan sijaan muuttaa keskustelua. Et enää väittele siitä, onko yksittäinen VPN-ryhmä tai etävalvontarooli liian laaja; päätät, kuinka paljon asiakkaille aiheutuvaa vahinkoa organisaatiosi on valmis sietämään, jos kyseistä identiteettiä käytetään väärin. Tämä rajapinnan muutos on täydellinen siirtyminen A.5.18-standardiin, koska kontrollien tarkoituksena on juuri tehdä näistä päätöksistä harkittuja, dokumentoituja ja tarkistettavissa olevia.

Varaa demo

Mitä ISO 27001:2022 A.5.18 todella vaatii

ISO 27001:2022 A.5.18 edellyttää, että hallitset käyttöoikeuksia koko elinkaaren ajan, jotta ihmisillä on vain heidän tarvitsemansa vähimmäismäärä niin kauan kuin he sitä tarvitsevat. Hallitun palvelupalveluntarjoajan kannalta tämä tarkoittaa kykyä osoittaa, miten myönnät, muutat, tarkistat ja poistat käyttöoikeudet kullekin identiteetille, ja että jokaisen päätöksen taustalla on selkeät hyväksynnät ja todisteet. Liitteen A.5.18 sanamuoto edellyttää käyttöoikeuksien myöntämistä, tarkistamista, muokkaamista ja poistamista käyttöoikeuskäytäntösi mukaisesti, ja ISO 27001 -standardin laajemmat käyttöoikeuksien hallintaperiaatteet vahvistavat ajatusta, että käyttöoikeudet tulisi rajoittaa tehtävän ja keston kannalta välttämättömiin, kuten standardointielinten, kuten BSI:n, käyttöönotto-oppaissa todetaan.

Tiheän ohjaustekstin muuttaminen käytännön verbeiksi

A.5.18 tiivistyy neljään MSP:n toimenpiteeseen: käyttöoikeuksien myöntäminen, muokkaaminen, tarkistaminen ja poistaminen johdonmukaisella ja jäljitettävällä tavalla. Jos pystyt kuvaamaan ja todistamaan nämä neljä vaihetta todellisille henkilöllisyyksille, olet jo lähellä hallinnan tarkoituksen täyttämistä.

Paperilla A.5.18 voi näyttää abstraktilta: ”Tietojen ja muiden niihin liittyvien resurssien käyttöoikeudet tulee myöntää, tarkistaa, muokata ja poistaa organisaation aihekohtaisen käyttöoikeuskäytännön ja -sääntöjen mukaisesti.” Käytännössä tästä tulee neljä konkreettista termiä MSP:llesi, jotka on otettu suoraan standardin ISO 27001:2022 liitteestä A.5.18:

Varaus: – miten uusia käyttöoikeuksia pyydetään, hyväksytään ja myönnetään.
Muuttaa: – miten käyttöoikeuksia muutetaan, kun roolit, vastuut tai asiakasoikeudet muuttuvat.
Review: – miten olemassa oleva käyttöoikeus tarkistetaan ja varmennetaan uudelleen säännöllisesti.
Poistaa: – miten käyttöoikeudet peruutetaan, kun ihmiset lähtevät, projektit päättyvät tai työkalut poistetaan käytöstä.

Jokaiselle näistä verbeistä A.5.18 etsii sekä prosessi ja näyttöProsessi tarkoittaa, että olet määritellyt, kuka voi pyytää, kenen on hyväksyttävä, mitkä järjestelmät päivitetään ja kuinka nopeasti. Todisteet tarkoittavat, että voit osoittaa oikeiden henkilöllisyyksien otoksen avulla pyynnön, hyväksynnän, muutoksen ja tarkistushistorian.

Kokeneet auditoijat eivät yleensä kiinnitä niinkään huomiota työkalujesi vaikuttavuuteen kuin siihen, pystyvätkö he noudattamaan johdonmukaista käyttöoikeussykliä pyynnöstä poistoon. Jos kerros on johdonmukainen, jäljitettävissä ja linkitetty takaisin käytäntöön, he ovat paljon luottavaisempia kuin silloin, kun he näkevät yksittäisiä tukipyyntöjä ja lokeja ilman selkeää liiketoimintakontekstia.

A.5.18:n yhdistäminen pienimpään etuoikeuteen ja pienimpään räjäytyssäteeseen

A.5.18 linkittyy suoraan pienimpiin käyttöoikeuksiin vaatimalla, että käyttöoikeudet vastaavat liiketoiminnan tarpeita ja että niitä ylläpidetään aktiivisesti ajan kuluessa. Tämä ei pyydä vain käytäntöä, vaan se odottaa sinun osoittavan, miten kyseinen käytäntö on sisällytetty todellisiin tarjoamis-, tarkistus- ja poistopäätöksiin siten, että yksittäisen identiteetin räjähdyssäde pysyy mahdollisimman pienenä.

Vähiten oikeudet ja tiedon tarve eivät ole uusia ideoita, mutta A.5.18 antaa niille erityisen toiminnallisen kodin. Se ei ainoastaan kysy, onko sinulla käyttöoikeuskäytäntöä; se odottaa, että tämä käytäntö heijastuu siinä, miten myönnät ja ylläpidät käyttöoikeuksia ajan kuluessa. Esimerkiksi:

Käyttöoikeuspyyntöjen tulisi viitata roolimääritelmiin, jotka ilmentävät vähiten käyttöoikeuksia.
Hyväksyntäprosessien tulisi varmistaa, että yritysten omistajat, eivätkä vain tekniset johtajat, hyväksyvät oikeudet, joihin liittyy olennainen riski.
Uudelleensertifiointisyklien tulisi olla riittävän tiheitä ja riskiperusteisia, jotta etuoikeuksien leviäminen havaitaan ennen kuin siitä tulee vaarallista.
Pääsyoikeuksien poistamisen tulisi tapahtua automaattisesti ja oikea-aikaisesti, kun ihmiset lähtevät tai sopimukset muuttuvat.

MSP:iden osalta on olemassa lisäjuttu: vähiten oikeuksien on oltava voimassa kaikkialla sisäinen järjestelmät (HR, talous, tiketöinti, dokumentointi) ja asiakas järjestelmät (pilvivuokralaiset, paikalliset palvelimet, SaaS-hallintaportaalit). Näihin päästään usein samojen usean vuokralaisen työkalujen kautta, joita jo käytät, joten A.5.18 edellyttää, että käsittelet tätä yhdistettyä ulottuvuutta osana käyttöoikeuksien hallintaa, etkä epävirallisena sivukanavana, jota insinöörit hoitavat. Tämä ympäristöjen välinen näkökulma toistetaan kansallisissa ja eurooppalaisissa MSP:tä ja toimitusketjun riskiä koskevissa ohjeissa, mukaan lukien sellaisten elinten kuin ENISAn työ, jossa korostetaan, että palveluntarjoajien pääsyn asiakasympäristöihin on tapahduttava virallisten käyttöoikeuksien hallintajärjestelyjen puitteissa.

ISMS.online voi auttaa tarjoamalla sinulle jäsennellyn paikan käytäntöjen, roolimääritelmien, hyväksyntätietojen, tarkistusaikataulujen ja poistotodistusten säilyttämiseen, kaikki yhdistettynä A.5.18:aan ja siihen liittyviin hallintalaitteisiin. Työkaluista riippumatta ajattelutavan muutos on sama: käyttöoikeudet eivät enää koske vain sitä, kuka voi kirjautua sisään; ne koskevat sitä, kuka voi vaikuttaa asiakastuloksiin ja miten todistat, että nämä valtuudet ovat oikeasuhtaisia ja että niitä kyseenalaistetaan säännöllisesti.

ISMS.online antaa sinulle 81 %:n etumatkan heti sisäänkirjautumisestasi lähtien.

ISO 27001 helposti

Olemme tehneet kovan työn puolestasi ja antavat sinulle 81 % etumatkan kirjautuessasi sisään. Sinun tarvitsee vain täyttää tyhjät kohdat.

Aloita

A.5.18:n tulkinta MSP:ille: Sisäinen vs. asiakkaan käyttöoikeus

A.5.18 koskee kaikkia organisaatiosi tietoturvajärjestelmän rajoissa olevia järjestelmiä, ei vain omaa verkkoasi. Hallitun palveluntarjoajana (MSP) sinun on kyettävä erottamaan sisäinen käyttöoikeus, käyttöoikeus jaettujen työkalujen kautta ja suora käyttöoikeus asiakasympäristöihin ja hallittava kaikkia kolmea johdonmukaisesti, jos haluat kontrolloidun räjäytyssäteen.

Selkeiden rajojen vetäminen sisäisen ja asiakaskäyttöoikeuden välille

Täytät A.5.18-vaatimuksen helpommin, kun kartoitat sisäiset, jaetut ja asiakasjärjestelmät selkeästi. Kartta auttaa sinua päättämään, kuka hyväksyy käyttöoikeudet, kuka käyttää niitä päivittäin ja mihin keskittää tarkastelut, kun käsittelet monimutkaisia, usean käyttäjän työkaluja ja päällekkäisiä vastuita.

ISO 27001 -standardin näkökulmasta "käyttöoikeudet" kattavat tilit, roolit ja tekniset polut seuraaviin kohteisiin:

Omat liiketoimintajärjestelmäsi (esimerkiksi HR, CRM, taloushallinto, tiketöinti, dokumentointi).
Jaetut MSP-työkalusi (esimerkiksi etähallinta-alustat, etäkäyttöyhdyskäytävät, salasanasäilöt, varmuuskopiokonsolit, valvontajärjestelmät).
Asiakkaidesi ympäristöt (esimerkiksi pilvihallintakonsolit, paikalliset palvelimet, SaaS-hallintaliittymät).

Todellisuudessa nämä kategoriat ovat usein päällekkäisiä. Tiketöintijärjestelmäsi voi sisältää asiakkaiden tunnistetietoja tai arkaluonteisia tapahtumatietoja. Etähallinta-alustasi voi olla sekä ydinpalvelutyökalu että portti satoihin vuokralaisiin. A.5.18:n täyttämiseksi sinun on tehtävä näistä päällekkäisyyksistä selkeitä ja päätettävä, missä kukin järjestelmä sijaitsee käyttöoikeuksien hallinnan soveltamisalassa.

Käytännön kysymyksiä, jotka auttavat:

Onko jokainen kriittinen järjestelmä ”MSP:n sisäinen”, ”asiakasympäristöön perustuva” vai ”sekoitettu”?
Kuka voi hyväksyä käyttöoikeudet kussakin luokassa ja kuka niitä käytännössä käyttää päivittäin?
Voitko lyhyesti luetella, millä henkilöstö- ja palvelutileillä on tällä hetkellä käyttöoikeudet ja millä käyttöoikeustasolla?

Jos vastaukset ovat epäselviä tai hajallaan eri omistajien kesken, tämä on ensimmäinen merkki siitä, että A.5.18-standardia ei ole vielä täysin pantu täytäntöön auditoijan mielestä mukavalla tavalla ja että räjäytyssädettäsi määrittelee edelleen heimojen tietämys eikä hallintotapa.

Jaettu vastuu sinun ja asiakkaidesi välillä

Käyttöoikeuksien hallinta on jaettu vastuu: asiakkaat ovat vastuussa tietoihinsa ja järjestelmiinsä kohdistuvista riskeistä, kun taas sinä olet vastuussa siitä, miten tiimisi käyttävät heille annettuja käyttöoikeuksia. A.5.18 edellyttää, että tämä jaettu vastuu on selkeä, dokumentoitu ja heijastuu siinä, miten käyttöoikeuksia myönnetään, tarkistetaan ja poistetaan sekä sisäisissä että asiakasympäristöissä.

Asiakkaasi ovat edelleen vastuussa tietoihinsa ja järjestelmiinsä kohdistuvista riskeistä, jopa silloin, kun sinä käytät niitä. Tämä tarkoittaa, että he viime kädessä päättävät, minkälaisia käyttöoikeuksia he ovat valmiita myöntämään tiimeillesi ja työkaluillesi. Sinä puolestaan olet vastuussa näiden käyttöoikeuksien käyttämisestä sovitun laajuuden rajoissa, osoittamalla, että noudatat omia ja heidän käytäntöjään, ja pitämällä oikeudet yhdenmukaisina vähiten oikeuksien periaatteiden kanssa ajan mittaan. Pilvi- ja MSP-järjestelyjen sääntelyviranomaisten ja kansallisten kyberturvallisuusohjeiden, mukaan lukien ENISAn julkaisujen, jaetun vastuun mallit korostavat johdonmukaisesti, että asiakkaat ovat viime kädessä vastuussa tietoriskeistään, vaikka toiminnot ulkoistettaisiin.

Vuoden 2025 ISMS.online-tietoturvakyselyssämme toimittajille asetetut tyypilliset tietoturvavaatimukset sisälsivät ISO 27001-, ISO 27701-, GDPR-, Cyber Essentials-, SOC 2- ja uudet tekoälyyn liittyvät standardit.

Käytännöllinen tapa ilmaista tämä on yksinkertainen jaetun vastuun malli:

asiakas: – määrittelee ja hyväksyy hyväksyttävät roolit (esimerkiksi ”MSP:n toisen tason tuella voi olla vain luku -oikeudet tuotantotietoihin, mutta ei kirjoitusoikeuksia”) ja osallistuu ympäristöjensä säännöllisiin uudelleensertifiointeihin.
MSP: – toteuttaa ja valvoo käyttöoikeuksia näiden päätösten mukaisesti, varmistaa, että liittyjä-siirtäjä-poistuja-muutokset näkyvät nopeasti, suorittaa päivittäisiä valvontatoimia (esimerkiksi valvonta, lokinluku, salasananhallinta) ja tarjoaa selkeät todisteet asiakkaalle ja tilintarkastajille.

Sopimuksissa, työmääräyksissä ja palvelutasosopimuksissa voit dokumentoida, kuka tekee mitäkin käyttöoikeuksien myöntämisessä, muokkaamisessa, tarkistamisessa ja peruuttamisessa. Tämä selkeys on hyväksi ISO 27001 -standardille, mutta se myös vähentää kitkaa häiriötilanteissa. Kun kaikki tietävät tarkalleen, kuka omistaa mitkäkin käyttöoikeustason osat, vältät "luulin, että sinä teit sen" -ongelman, joka johtaa hallitsemattomiin oikeuksiin ja syyttelyyn.

Vähiten oikeuksiin perustuvien käyttöoikeuksien suunnittelu MSP- ja asiakasympäristöihin

Vähiten oikeuksia käytetään käytännössä vain silloin, kun ne on sisäänrakennettu roolien suunnitteluun, käyttöoikeuksien myöntämiseen ja tilapäisen oikeuksien korottamisen käsittelyyn. Hallitun palveluntarjoajan kannalta tämä tarkoittaa realististen roolimallien luomista, pysyvien voimakkaiden oikeuksien minimoimista ja riskialttiiden oikeuksien harkittua, valvottua ja ajallisesti sidottua käyttöä sekä sisäisissä että asiakasympäristöissä.

Roolipohjaiset mallit, jotka todella sopivat MSP:n todellisuuteen

Roolipohjainen käyttöoikeus toimii MSP:ille, kun roolit heijastavat sitä, miten työ todella tehdään, ja ne on yhdistetty suoraan järjestelmiin ja käyttöoikeustasoihin. Määrittelemällä pienen, selkeän joukon MSP-rooleja ja niiden edellyttämät käyttöoikeudet sisäisissä ja asiakasjärjestelmissä voit lopettaa kertaluonteisten käyttöoikeuksien jakamisen ja alkaa hallita käyttöoikeuksia uudelleenkäytettävien, auditoitavien mallien avulla.

Ensimmäinen rakennuspalikka on roolimalli, joka heijastaa tiimiesi todellista työskentelytapaa. Sen sijaan, että myöntäisit käyttöoikeuksia henkilökohtaisesti ja tapauskohtaisesti, määritä pieni ja hallittavissa oleva joukko rooliprofiileja, kuten:

Ensimmäisen linjan palvelupisteinsinööri
Toisen linjan tai eskalointi-insinööri.
Projekti-insinööri tai arkkitehti.
Alustan ylläpitäjä (esimerkiksi etähallinta, varmuuskopiointi, tietoturvatyökalut).
Palvelupäällikkö tai asiakkuusjohtaja.

Kuvaile kutakin roolia varten:

Mihin järjestelmiin roolin on päästävä käsiksi (sisäiset ja asiakaskohtaiset järjestelmät).
Mikä käyttöoikeustaso vaaditaan kussakin (luku, vakiokäyttäjä, järjestelmänvalvoja)?
Mitkä asiakkaat tai vuokralaisryhmät käyttöoikeuden tulisi kattaa?

Tekemällä tämän kerran vältät alustavan keskustelun siitä, mitkä ovat pienimmät oikeudet jokaiselle uudelle henkilölle tai asiakkaalle. Kun joku liittyy ryhmään, vaihtaa tiimiä tai ottaa uuden vastuun, sinä määrität tai muokkaat rooleja yksittäisten oikeuksien pinoamisen sijaan. Tämä myös helpottaa käyttöoikeuksien tarkistuksia ja uudelleensertifiointikierroksia huomattavasti, koska voit kysyä: "Sopiiko tämä henkilö edelleen rooliin X?" sen sijaan, että kysyisit: "Mitkä näistä monista oikeuksista he vielä tarvitsevat?".

Seisomaoikeuksien vähentäminen ja tilapäisen korotuksen hallinta

Pysyvät ja tehokkaat käyttöoikeudet ovat se kohta, jossa MSP:n räjähdyssäde on mahdoton hyväksyä, joten tarvitset harkittuja malleja pysyvien järjestelmänvalvojan oikeuksien rajoittamiseksi ja tilapäisen oikeuksien laajentamisen käsittelemiseksi. Jos pystyt selittämään, mitkä oikeudet ovat pysyviä, mitkä aikasidonnaisia ja miten hätäkäyttöoikeudet kirjataan ja peruutetaan, olet paljon vahvemmassa asemassa sekä hyökkääjien että tarkastajien kanssa.

Vaikka roolit olisivatkin hyvät, MSP:t luottavat usein tehokkaisiin ja aina päällä oleviin käyttöoikeuksiin mukavuussyistä: jaettuihin "jumalatilan" tileihin, toistaiseksi aktiivisina pidettyihin verkkotunnusten ylläpitäjiin tai "varmuuden vuoksi" myönnettyihin laajoihin etähallintarooleihin. Juuri nämä mallit rikkovat vähiten oikeuksia ja laajentavat aiemmin kuvattua jaetun laajuuden sädettä.

Puolustautumiskykyisempi lähestymistapa on:

Rajoita pysyvien järjestelmänvalvojan roolien lukumäärää, erityisesti useiden vuokraajien osalta.
Käytä just-in-time-oikeuksien korottamista tehtäviin, jotka todella vaativat lisäoikeuksia, selkeällä perustelulla ja lyhyillä aikarajoilla.
Käytä vahvaa todennusta ja lisätarkistuksia (esimerkiksi laitteen asento tai sijainti) kaikille asiakasympäristöjen käyttöoikeuksille.
Käsittele "lasimurtotilejä" tai hätätilejä poikkeuksina ja käytä tiukkaa lokikirjausta, jälkikäteen tapahtuvaa tarkistusta ja nopeaa peruutusta käytön jälkeen.

Tämän mallin suunnittelu voi aluksi tuntua epämukavalta, koska se haastaa pitkäaikaisia tapoja. Sen ei kuitenkaan tarvitse hidastaa toimitusta, jos se sovitetaan yhteen olemassa olevien työnkulkujen kanssa. Esimerkiksi käyttöoikeuksien korottaminen voidaan sitoa muutospyyntöihin tai tapahtumatietoihin, jolloin konteksti ja hyväksynnät ovat jo valmiina. Insinöörit saavat edelleen tarvitsemansa työnsä suorittamiseen, mutta organisaatio lakkaa kantamasta tarpeetonta riskiä käyttämättömien tunnistetietojen perusteella.

ISMS.online voi tukea tätä suunnittelutyötä linkittämällä rooliluettelosi, käyttöoikeuskäytäntösi ja muutostietueesi yhteen näkymään. Kun myöhemmin suoritat asiakkaalle tai työkalulle käyttöoikeustarkastuksen, näet paitsi kenellä on tehokkaat käyttöoikeudet, myös vastaavatko käyttöoikeudet määriteltyä roolia, dokumentoitua liiketoimintatarpetta ja sovittua käyttöoikeusmallia.

Ota käyttöön, laajenna ja skaalaa vaatimustenmukaisuus ilman sotkua. Io antaa sinulle joustavuutta ja luottamusta kasvaa turvallisesti.

Varaa esittelysi

A.5.18-yhteensopivan käyttöoikeuksien uudelleensertifiointikehyksen rakentaminen MSP:ille

Käyttöoikeuksien uudelleensertifiointi on tapa osoittaa, että käyttöoikeudet pysyvät linjassa pienimpien oikeuksien kanssa sen sijaan, että ne palautuisivat takaisin "riittävän hyviksi". Hallitun palveluntarjoajan kannalta se on myös tapa osoittaa auditoijille ja asiakkaille, että oikeuksien leviämistä hallitaan aktiivisesti sisäisissä järjestelmissä, jaetuissa työkaluissa ja asiakasympäristöissä sen sijaan, että siihen puututaan vasta tapausten jälkeen.

Riskiperusteisten tarkistustiheyksien käyttäminen mielivaltaisten päivämäärien sijaan

Riskiperusteinen aikataulu käyttöoikeuksien tarkastuksille on uskottavampi kuin yksittäinen tarkistussykli kaikille asioille, ja se sopii luonnollisesti MSP:n todellisuuteen. Ryhmittelemällä tilit riskin mukaan ja antamalla kullekin ryhmälle järkevän tarkistusrytmin osoitat, että keskityt eniten huomiota identiteetteihin, jotka voivat aiheuttaa eniten vahinkoa väärinkäytettyinä.

Kaksi kolmasosaa organisaatioista vuonna 2025 tekemässämme ISMS.online State of Information Security -kyselyssä totesi, että sääntelymuutosten nopeus ja määrä vaikeuttavat tietoturva- ja yksityisyysvaatimusten noudattamista.

ISO 27001 -standardissa ei kerrota tarkasti, kuinka usein käyttöoikeudet on tarkistettava, koska asianmukainen tarkistustiheys riippuu riskistä. Liite A.5.18 ja siihen liittyvät toteutusohjeet edellyttävät vain, että käyttöoikeudet tarkistetaan säännöllisesti osana riskiperusteista tietoturvan hallintajärjestelmääsi, jolloin voit valita omaan kontekstiisi ja velvoitteisiisi sopivat tarkistusvälit, kuten ISO 27001:2022 -ohjeissa selitetään.

Toimiva MSP-malli on määritellä tarkistustahdit tilin tai käyttöoikeustyypin mukaan pelkän järjestelmän sijaan ja käsitellä tiettyjä ajoituksia esimerkkimalleina, joita mukautat riskinottohalukkuutesi mukaan, eikä kiinteinä parhaina käytäntöinä. Yksinkertainen lähtökohta on esimerkiksi ryhmitellä tilit tyypin mukaan ja päättää, kuinka usein kutakin ryhmää tulisi tarkastella ja mihin tarkistajan tulisi keskittyä.

Tili/käyttöoikeustyyppi	Tyypillinen arviointirytmi	Mihin keskittyä
Etuoikeutetut järjestelmänvalvojan tilit (sisäiset ja asiakas)	Kuukausittain ja suurten muutosten jälkeen	Tarpeellisuus, laajuus, hätätilanteiden käyttö, tehtävien erottelu
Palvelutilit (skriptit, integraatiot, automaatio)	Neljännesvuosittain ja kokoonpanomuutosten jälkeen	Omistajuus, tarkoitus, lokinpito, tunnistetiedot, orvot tilit
Tukityökalut ja etäkäyttöalustat	Neljännesvuosittain	Ryhmäjäsenyys, jaetut roolit, ristiinvuokralaisten oikeudet
Vakiomuotoiset sisäiset käyttäjätilit	Kuusi–kaksitoista kuukautta	Roolien yhdenmukaistaminen, lähtejät, muuttajat
Tilapäinen tai lasinmurtomahdollisuudella varustettu etuoikeutettu pääsy	Jokaisen käyttökerran jälkeen ja kuukausittaisessa tarkastuksessa	Perustelu, kesto, oikea-aikainen peruutus, epätavallinen toiminta

Tämä taulukko ei ole määräilevä, mutta se antaa sinulle läpinäkyvän lähtökohdan. Voit säätää tarkastustiheyttä oman uhkamallisi, asiakassitoumustesi ja sääntelykontekstin perusteella, kunhan pystyt selittämään, miksi korkeamman riskin identiteettejä tarkistetaan useammin kuin matalamman riskin identiteettejä. Hallinnolliset palveluntarjoajat, jotka ottavat käyttöön strukturoidun, riskiperusteisen uudelleensertifioinnin, huomaavat usein, että auditoinneista voi tulla ennustettavampia ja vähemmän konfrontaatioita, koska tarkistajat näkevät aikataulusi taustalla selkeän perustelun mielivaltaisten päivämäärien sijaan.

Suunnittele uudelleensertifiointiprosessit, joita ihmiset todella noudattavat

Uudelleensertifiointi toimii, kun arvioijat näkevät oikeat tiedot, voivat tehdä selkeitä päätöksiä ja luottaa siihen, että muutokset toteutetaan nopeasti. Jos pystyt osoittamaan, kuka arvioi mitä, mitä he päättivät ja kuinka nopeasti muutokset tehtiin, A.5.18-kertomuksesi on paljon vakuuttavampi kuin pelkkä "me suoritamme arviointeja" -toteutus.

Aikataulun laatiminen on vasta puolet työstä; tarvitset myös toistettavan työnkulun jokaiselle tarkistusjaksolle. Tärkeitä suunnitteluvalintoja ovat:

Kuka arvostelee mitä: – Asiakasympäristöissä on usein järkevää yhdessä valita sekä palveluiden omistajat että asiakkaan riski- tai järjestelmäomistaja. Jaettujen työkalujen osalta sisäiset järjestelmäomistajat ovat yleensä vastuussa.
Mitä he näkevät: – Arvioijien tulisi nähdä riittävästi kontekstia päätöksentekoon: henkilö tai palvelutili, heidän roolinsa, järjestelmät ja vuokralaiset, joihin heillä on pääsy, milloin he viimeksi käyttivät kyseistä käyttöoikeutta ja kaikki linkitetyt tiketit tai projektit.
Mitä päätöksiä he voivat tehdä: – vähintään: pidä käyttöoikeus sellaisenaan, alenna käyttöoikeutta (esimerkiksi järjestelmänvalvojalta käyttäjäksi) tai poista se. Poikkeustapauksissa tulisi olla olemassa polku, jolla voidaan dokumentoida, miksi käyttöoikeus säilytetään väliaikaisesti epäilyksistä huolimatta.
Näin muutokset toteutetaan: – Hyväksytyt alennukset ja poistot on tosiasiallisesti toteutettava taustalla olevissa järjestelmissä sovitun aikarajan sisällä, ja toteutuksen on oltava näkyvissä todisteissasi.

ISMS.online voi auttaa sinua järjestämään tämän muuttamalla uudelleensertifioinnin aikataulutetuksi toiminnaksi, jolle on määritetty omistajat, määräpäivät ja yksi paikka ladata tai linkittää todisteita päätöksistä ja niiden aiheuttamista muutoksista. Sähköpostien ja työkalulokien etsimisen sijaan sinulla on tarkastusvalmis tietue siitä, kuka tarkisti mitäkin käyttöoikeuksia, milloin ja mitä he päättivät.

MSP:n ja asiakkaan roolien ja vastuiden määrittely

Selkeät roolit ja vastuut muuttavat pääsynhallintasuunnitelmasi päivittäiseksi käytännöksi. Hallitun käyttöoikeuden tarjoajan (MSP) kohdalla tämä tarkoittaa sitä, että jokaisen asiakkaan kanssa sovitaan, kuka määrittelee hyväksyttävät käyttöoikeudet, kuka hyväksyy muutokset, kuka suorittaa tarkistuksia ja kuka tosiasiallisesti poistaa oikeuksia, kun henkilöt tai sopimukset muuttuvat.

Yksinkertaisen ja eksplisiittisen RACI-koodin luominen käyttöoikeuksille

Yksinkertainen RACI-periaate (Responsible, Accountable, Consulted, Informed) käyttöoikeuksille antaa jaetun kartan siitä, kuka tekee päätöksiä ja kuka niitä toteuttaa. Kun voit viitata tähän karttaan auditointien tai tapahtumien aikana, vähennät hämmennystä ja osoitat, että A.5.18 on integroitu toimintamalliisi eikä jätetty epävirallisten sopimusten varaan.

Käytännöllinen tapa ilmaista jako on RACI-matriisi, joka kattaa käyttöoikeuden elinkaaren päätoiminnot. Esimerkiksi:

Asiakasjärjestelmien käyttöoikeuksien määrittäminen: – asiakas on vastuussa ja MSP:tä konsultoidaan.
MSP:n alkuperäisen käyttöoikeuden hyväksyminen uuteen asiakasympäristöön: – asiakas on vastuussa; MSP on vastuussa toteutuksesta.
Sisäisten MSP-käyttöoikeuksien myöntäminen ja muuttaminen jaettuihin työkaluihin: – MSP on vastuullinen ja vastuullinen; asiakkaille voidaan ilmoittaa.
MSP-käyttöoikeuden säännöllisen uudelleensertifioinnin suorittaminen tietylle asiakkaalle: – MSP ja asiakas jakavat vastuun, ja heillä on selkeä sopimus siitä, kuka tarkistaa mitä.
Käyttöoikeuden peruuttaminen henkilökunnan lähtiessä tai työsopimuksen päättyessä: – MSP on vastuussa henkilöstöstään ja työkaluistaan; asiakas on vastuussa sisäisistä käyttäjistään.

Tämän kirjaaminen sopimuksiin, palvelukuvauksiin ja menettelytapoihin tuo kaksi etua. Ensinnäkin se antaa tarkastajille selkeän kuvan siitä, miten täytät A.5.18-vaatimuksen organisaatiorajojen yli. Toiseksi se vähentää kitkaa vaikeiden päätösten teon yhteydessä, kuten pitkäaikaisten insinöörien käyttöoikeuksien poistaminen tai jaettujen hallintatyökalujen laajuuden rajoittaminen.

Harmaiden alueiden ja paineen alla olevien tilanteiden käsittely

Harmailla alueilla, kuten alihankkijoilla, ulkomailla toimivilla tiimillä ja hätäkorjauksilla, käyttöoikeudet yleensä poikkeavat käytännöistä, joten niitä tulisi käsitellä suunnittelutapauksina pikemminkin kuin poikkeuksina. Jos päätät etukäteen, kuka voi hyväksyä epätavallisen käyttöoikeuden, kuinka kauan se voi kestää ja miten sitä tarkastellaan jälkikäteen, käsittelet tilanteet luottavaisemmin ja vähemmällä improvisoinnilla.

Ajatellaanpa alihankkijaa, joka on palkattu vakauttamaan riskialtista asiakasympäristöä. Ilman selkeitä sääntöjä he saattavat saada laajat ja pitkäaikaiset järjestelmänvalvojan oikeudet useisiin vuokralaisiin. Sovitun mallin avulla he saavat tietyn roolin yhdelle vuokralaiselle, projektiin sidotut aikasidonnaiset oikeudet ja sitoumuksen siitä, että nämä oikeudet tarkistetaan ja poistetaan heti työn päätyttyä.

Offshore-verkon operaatiokeskukset ovat toinen esimerkki. Tiimit voivat käyttää jaettuja työkaluja, jotka tavoittavat useita asiakkaita, ja aikavyöhykepaine voi tehdä houkuttelevaksi jättää oikeudet laajoiksi ja pysyviksi. Jos määrittelet etukäteen, mitä offshore-rooleja on olemassa, mitä työkaluja he voivat käyttää, miten tilapäinen käyttöoikeuden käyttöoikeus toimii ja kuka tarkistaa käyttöoikeudet, pidät palvelun nopeana antamatta räjäytyssäteen kasvaa hallitsemattomasti.

Yksityisyyden suojaa vaativissa ympäristöissä varmista, että käyttöoikeuksien hallinta on myös linjassa tietosuojavelvoitteiden ja sisäänrakennetun yksityisyyden suojan periaatteiden kanssa. Tämä voi tarkoittaa tietosuojavastaavien tai lakimiestiimien osallistumista hyväksymis- ja uudelleensertifiointiprosessin osiin, erityisesti henkilötietojen osalta.

Kun myöhemmin osoitat vaatimustenmukaisuuden, on usein yhtä tärkeää osoittaa, että olet miettinyt näitä vaikeita osa-alueita, dokumentoinut ne ja yhdenmukaistanut ne sopimuksellisesti kuin itse tekniset valvontamekanismit.

ISMS.online tukee yli 100 standardia ja sääntöä, mikä tarjoaa sinulle yhden alustan kaikkiin vaatimustenmukaisuustarpeisiisi.

Varaa esittelysi

Kadenssi, mittarit ja todisteet: Vähiten etuoikeuksien todistaminen käytännössä

Kun roolit, vastuut ja uudelleensertifiointisyklit ovat paikoillaan, sinun on vielä osoitettava, että ne toimivat. Tarkkaavaisuus, mittarit ja todisteet muuttavat vähäisimmät oikeudet sisäisestä väitteestä joksikin, mihin johtokunnat, asiakkaat ja tilintarkastajat voivat luottaa.

Merkityksellisten indikaattoreiden valitseminen hallituksille ja asiakkaille

Hyvät käyttöoikeuksien hallinnan mittarit auttavat hallituksia ja asiakkaita näkemään, pieneneekö heidän käyttöalueensa ilman, että ne hukkuvat teknisiin yksityiskohtiin. Parhaat indikaattorit osoittavat kattavuuden, ajantasaisuuden ja vaikuttavuuden: kuinka monta järjestelmää tarkastuksen piiriin kuuluu, kuinka usein tarkastukset tehdään aikataulun mukaisesti ja kuinka monta oikeutta rajoitetaan tai poistetaan, koska käyttöoikeuksia aktiivisesti kyseenalaistetaan.

Esimerkkejä ovat:

Niiden piiriin kuuluvien järjestelmien prosenttiosuus, joilla on ajantasainen käyttöoikeusluettelo.
Aikataulun mukaisten käyttöoikeustarkistusten prosenttiosuus, jotka suoritettiin ajoissa riskitason mukaan.
Kunkin tarkistusjakson aikana alennettujen tai poistettujen tilien lukumäärä ja osuus.
Käyttöoikeuden poistamiseen kuluva aika sen jälkeen, kun poistujista tai roolimuutoksista on ilmoitettu.
Poikkeusten lukumäärä, joissa riskialtis pääsy säilytetään dokumentoiduin ja ajallisesti sidotuin perustein.

Voit täydentää näitä laadullisilla indikaattoreilla, kuten arvioijien palautteella prosessin selkeydestä tai asiakkaiden palautteella raportoinnin läpinäkyvyydestä. Yhdessä nämä mittarit tarjoavat narratiivin, joka menee "meillä on käytäntö" -ajattelua pidemmälle ja osoittaa konkreettista kehitystä kohti tiukempaa valvontaa ja räjäytyssäteen pienentämistä.

Hiljaiset ja johdonmukaiset parannukset käyttöoikeustiedoissa kertovat usein vahvemmin kuin mikään yksittäinen auditointi.

Todistepaketin standardointi A.5.18:aa varten

Standardoitu A.5.18-todistepaketti pitää sinut valmiina auditointeihin ja asiakkaiden kysymyksiin ilman viime hetken hässäkkää. Kun tiedät tarkalleen, mitä käytäntöjä, tietoja ja lokeja esität, ja pidät ne ajan tasalla osana normaalia toimintaa, muutat käyttöoikeuksien hallinnan vaatimustenmukaisuusharjoituksesta toistettavaksi liiketoimintatavaksi.

Tilintarkastajat ja asiakkaat eivät halua sinun keksivän todistusaineistoa uudelleen joka kerta. Yksinkertainen, standardoitu todistusaineistopaketti A.5.18-kohtaan voi sisältää seuraavat:

Käyttöoikeuksien ja käyttöoikeuskäytäntöjen nykyiset versiot.
Keskeisten MSP-toimintojen roolimääritelmät ja niiden yhdistäminen käyttöoikeuksiin.
Esimerkkitietopyyntö- ja hyväksyntätietueista eri järjestelmille.
Viimeaikaisten käyttöoikeustarkastusten aikataulut ja tiedot, jotka osoittavat päätökset ja tehdyt muutokset.
Lokit tai raportit, jotka osoittavat valittujen poistujien käyttöoikeuksien oikea-aikaisen poistamisen.
Esimerkkejä hätä- tai tilapäisen käyttöoikeuden myöntämisestä, käytöstä ja peruuttamisesta.

Jos ylläpidät tätä pakettia alustalla, kuten ISMS.online, voit linkittää jokaisen kohdan suoraan asiaankuuluvaan A.5.18-vaatimukseen ja siihen liittyviin kontrolleihin. Kun tilintarkastaja tai asiakas kysyy, miten hallitset käyttöoikeuksia, et joudu kiirehtimään kokoamaan kuvakaappauksia ja tikettejä, vaan käyt läpi heidän kanssaan jäsennellyn, toistettavan kertomuksen.

Säännöllinen raportointitahti pitää kaikki ajan tasalla. Operatiiviset tiimit voivat tarkastella koontinäyttöjä kuukausittain; riskivaliokunnat tai hallitukset voivat tarkastella yhteenvetonäkymää neljännesvuosittain; suuret asiakkaat voivat saada räätälöityjä otteita sopimusvelvoitteidensa mukaisesti. Olennaista on, että hallitset kerrosta, joka on ankkuroitu jo liiketoiminnan pyörittämiseen jo käyttämiisi tietoihin ja dokumentaatioon.

Varaa esittely ISMS.onlinesta jo tänään

ISMS.online tarjoaa sinulle keskitetyn paikan MSP-käyttöoikeuksien hallinnan suunnitteluun, käyttöön ja todentamiseen A.5.18-standardin mukaisesti, jotta voit rajoittaa räjäytyssädettä ja todistaa pienimmät käyttöoikeudet kuormittamatta insinöörejäsi ylimääräisellä hallinnoinnilla. Alusta on rakennettu keskittämään ISO 27001 -standardin ja siihen liittyvien viitekehysten käytännöt, työnkulut ja todisteet, kuten tuotedokumentaatiossamme ja asiakkaiden käyttöönotto-ohjeissa isms.online-sivustolla on kuvattu. Jos haluat testata, kuinka vankka nykyinen käyttöoikeustasosi todella on, lyhyt demo on käytännöllinen tapa verrata olemassa olevia hallintajärjestelmiäsi tässä kuvattuihin elinkaari-, uudelleensertifiointi- ja vastuullisuusmalleihin.

ISMS.online-demossa näytetään, kuinka nykyiset käyttöoikeuskäytäntösi, roolimallisi ja MSP-työkalusi voidaan muuntaa jäsennellyiksi työnkuluiksi, tehtäviksi ja todistusaineistopaketeiksi. Näet, kuinka käyttöoikeuspyyntöjä ja uudelleensertifiointisyklejä voidaan hallita yhdestä paikasta samalla kunnioittaen olemassa olevia tiketöinti- ja toimintaprosessejasi.

Mitä näet demossa

Keskittynyt demo toimii parhaiten, kun se käy läpi realistisen käyttöoikeuskerroksen, ei abstraktin ominaisuuskierroksen. Näet todennäköisesti, miten roolisi, työkalusi ja asiakasympäristösi voitaisiin kartoittaa käytännölliseen A.5.18-standardin mukaiseen käyttöoikeushallintamalliin.

Esittelyn aikana voit odottaa seuraavaa:

Käy läpi esimerkki käyttöoikeuskehyksestä, joka on suoraan linkitetty kohtaan A.5.18 ja joka on rakennettu rooliesi, työkalujesi ja asiakasympäristöjesi ympärille.
Katso, miten henkilöstön elinkaaren muutokset, käyttöoikeuspyynnöt ja uudelleensertifiointisyklit voidaan yhdistää tiimiesi jo hallinnoimiin tiketteihin ja aktiviteetteihin.
Tutustu koontinäyttöihin ja näyttönäkymiin, jotka näyttävät yhdellä silmäyksellä, mitkä käyttöoikeustarkistukset ovat määräaikaan mennessä, missä poikkeuksia on ja kuinka nopeasti muutokset otetaan käyttöön.
Keskustele matalan riskin lähtökohdasta, kuten strukturoitujen käyttöoikeustarkastusten pilottitoteuttamisesta yhdelle korkean riskin työkalulle tai avainasiakkaiden osajoukolle.

Kyseisen istunnon loppuun mennessä sinulla pitäisi olla konkreettinen kuva siitä, miten nykyiset käytäntösi voitaisiin järjestää harkitummaksi ja auditoitavammaksi malliksi ilman, että MSP:täsi tarvitsee rakentaa kokonaan uudelleen.

Miten demo auttaa sinua täyttämään A.5.18-puutteita

Demo ei ole pelkkä tuote-esittely; se on tilaisuus testata nykyistä käyttöoikeustasoasi A.5.18-standardin ja siihen liittyvien kontrollien odotuksia vasten. Näkemällä, miten käytännöt, roolit, vastuut ja todisteet yhdistyvät ISMS.online-järjestelmässä, voit havaita, missä suurimmat puutteesi ovat tällä hetkellä ja mitkä muutokset vähentäisivät riskejä ja vaivaa eniten.

Kasvavasta paineesta huolimatta useimmat vastaajat vuoden 2025 ISMS.online-tietoturvakyselyymme listasivat sertifikaattien, kuten ISO 27001- tai SOC 2 -standardin, hankkimisen tai ylläpitämisen tärkeimmäksi prioriteetikseen.

Sinun ei tarvitse suunnitella MSP:täsi uudelleen tyhjästä täyttääksesi A.5.18-vaatimukset. Tarvitset selkeän mallin, realistiset uudelleensertifiointitahdit ja paikan, jossa vastuut, työnkulut ja todisteet ovat yhdessä. ISMS.online on suunniteltu tarjoamaan sinulle juuri tätä, jotta voit pienentää räjäytyssädettä, hillitä oikeuksien leviämistä ja todistaa pienimmät oikeudet luottavaisin mielin. Jos haluat toimia matalan räjäytyssäteen MSP:nä, joka voi osoittaa hallittua pääsyä tarvittaessa, lyhyen demon varaaminen on käytännöllinen seuraava askel organisaatiollesi ja selkeä signaali asiakkaillesi siitä, että suhtaudut heidän luottamukseensa vakavasti.

Varaa demo

Usein Kysytyt Kysymykset

Miten ISO 27001 A.5.18 muuttaa tapaa, jolla hallinnoitujen palveluntarjoajien (MSP) tulisi ajatella "kenellä on pääsy mihinkin"?

ISO 27001 A.5.18 edellyttää, että käsittelet käyttöoikeutta hallittu elinkaari jokaiselle identiteetille, ei kertaluonteista käyttöoikeusasetusta, jonka unohdat.

Käyttöoikeuksien tarkastelu kaikilla kolmella MSP-tasolla

Hallitun palveluntarjoajan elinkaaren on katettava kolme kerrosta kerralla:

Sinun sisäiset liiketoimintajärjestelmät – HR, CRM, taloushallinto, tiketöinti, dokumentointi
Sinun jaetut MSP-alustat – RMM, etäkäyttö, salasanasäilöt, varmuuskopiointi, valvonta.
Sinun asiakkaiden ympäristöissä – pilvivuokralaiset, paikallinen infrastruktuuri, SaaS-järjestelmänvalvojan roolit.

Tilintarkastaja odottaa nyt sinun osoittavan jokaiselle ihmis- tai palveluasiakkaalle:

Miten käyttöoikeutta pyydettiin ja hyväksyttiin: – kuka kysyi, kuka valtuutti ja miksi tuo taso oli perusteltu.
Näin muutokset tehdään: kun ihmiset vaihtavat rooleja, tiimejä tai asiakkaita.
Kuinka usein käyttöoikeuksia tarkistetaan: , eri taajuuksilla eri riskitasoille.
Miten ja milloin käyttöoikeus poistetaan: kun henkilökunta lähtee, sopimukset päättyvät tai työkalut poistetaan käytöstä.

Nopea kuntotarkistus on valita mikä tahansa nimetty insinööri tai palvelutili ja käydä läpi koko prosessi ilman postilaatikoiden läpikäymistä: alkuperäinen pyyntö, hyväksyntä, nykyinen laajuus, viimeisin tarkistus ja käynnistin, joka poistaa kyseisen käyttöoikeuden. Jos et pysty tekemään tätä luotettavasti, sinulla on A.5.18-puutteita.

Yksinkertaisen, neljän vaiheen (Määrittele → Muokkaa → Tarkista → Poista) ja sisäisten järjestelmien, jaettujen MSP-työkalujen ja asiakasvuokralaisten rivien sisältävän uintikaistakaavion piirtäminen osoittaa nopeasti, missä varsinainen prosessi on edelleen "kysymme ympäriltämme". Juuri näitä heikkouksia ISO 27001 -auditoijat ja yritysasiakkaat tutkivat.

ISMS.online auttaa sinua tekemään elinkaaresta näkyvän ja toistettavan pitämällä käyttöoikeuskäytäntösi, rooliluettelosi, työnkulut ja todisteet yhdessä hallitussa työtilassa. IAM-, RMM- ja etäkäyttötyökalusi hoitavat edelleen teknisen raskaan työn; ISMS.online antaa sinulle todennettavan tiedon siitä, kenellä on käyttöoikeudet mihin, millä perusteella ja kuinka kauan – juuri sitä A.5.18 pyrkii viime kädessä valvomaan.

Miltä näyttää käytännössä pienimpien etuoikeuksien malli MSP:lle sisäisissä ja asiakasjärjestelmissä?

Käytännössä MSP:n vähiten etuoikeuksien malli keskittyy a:han pieni, vakaa roolijoukko, hyvin vähän pysyviä ylläpitäjiä ja lyhytaikainen ylennys, kun joku todella tarvitsee lisää valtaa.

Roolien määrittäminen, jotka vastaavat tiimiesi todellista työskentelytapaa

Oikeuksien hienosäätö yksittäin epäonnistuu yrityksen kasvaessa. Saat enemmän hallintaa ja vähemmän hallinnollista taakkaa, jos:

Määrittele selkeä rooliluettelo, esimerkiksi:
Ensilinjan tuki
Toisen linjan tai erikoisinsinööri
Projekti-insinööri
Alustan/työkalujen ylläpitäjä
Palvelu- tai asiakkuuspäällikkö
Yhdistä jokainen rooli seuraaviin:
Focus-patjan sisäiset järjestelmät sen tarvitsemat (tikettijärjestelmät, tietämys, rajalliset talousnäkymät, asiakkuudenhallinta).
Focus-patjan MSP-työkalut sen tulisi käyttää (RMM:ää, etäkäyttöä, salasanaholveja, varmuuskopiokonsoleita).
Focus-patjan asiakasympäristöt se voi koskea, ja millä tasolla (vain luku -tili, vakiokäyttäjä, laajuinen järjestelmänvalvoja, koko vuokralaisen järjestelmänvalvoja).

Sitten päätä rooli roolilta:

Missä pysyvät järjestelmänvalvojan oikeudet ovat todella perusteltuja – yleensä pieni joukko alusta- tai tietoturvainsinöörejä.
Missä ylläpitäjän tulisi olla juuri ajoissa – väliaikainen käyttöoikeuden nostaminen tiettyä muutosta varten, lokikirjauksella ja selkeillä hyväksynnöillä.
Minne järjestelmänvalvojan tulisi ei koskaan tarvita, koska tehtäviä voidaan hoitaa automaation, tikettien tai tarkasti rajattujen roolien avulla.

Käytännössä se tarkoittaa yleensä jaettujen ”jumalatilien” korvaamista nimetyillä ylläpitäjillä, ristiinvuokralaisten oikeuksien tiukentamista ja lasinmurtotilien käsittelyä harvinaisina, tiukasti säänneltyinä poikkeuksina pikemminkin kuin arkipäiväisinä työkaluina.

ISMS.online-palvelun avulla voit kuvailla roolimallisi kerran, linkittää sen käyttöoikeuskäytäntöihisi ja sovittaa sen yhteen liittyjä-muuttaja-lähtejä -tapahtumien ja käyttöoikeuspyyntöjen kanssa. Kun joku liittyy tiimiin, siirtää sitä tai alkaa tukea uutta asiakasta, käytät samaa pienimpien oikeuksien mallia joka kerta sen sijaan, että improvisoisit käyttöoikeuksia paineen alla – ja sinulla on selkeä ja auditoitava selitys valmiina, kun ISO 27001 -auditoija kysyy, miksi tietyllä henkilöllä on tietty käyttöoikeustaso.

Miten MSP:n tulisi jäsentää käyttöoikeuksien tarkistukset ja uudelleensertifioinnin pitääkseen oikeuksien leviämisen hallinnassa?

Pidät etuoikeuksien leviämisen kurissa tarkistamalla korkean riskin käyttöoikeus useammin kuin matalan riskin käyttöoikeus, antaen arvostelijoille riittävästi kontekstia päätöksentekoon ja todistaen, että alennukset ja poistot todella tapahtuivat työkaluissa.

Riskiperusteisen tarkastusasteen käyttäminen vuosittaisen tarkastuksen sijaan

Kaikkien tilien samanarvoinen kohtelu saattaa tuntua siistiltä, mutta se ei vastaa hyökkääjien tai sääntelyviranomaisten ajattelutapaa. Puolustautuneempi malli on asettaa tarkistustiheydet käyttöoikeusluokan mukaan, esimerkiksi:

Pääsyn tyyppi	Tyypillinen arviointirytmi	Arvostelijan keskittyminen
MSP-laajuinen hallinta asiakasympäristöissä	Kuukausittain + suurten muutosten jälkeen	Tarpeellisuus, laajuus, hätäkäyttö, SoD
Palvelutilit (skriptit, integraatiot, varmuuskopiot)	Neljännesvuosittain + konfiguroinnin jälkeen	Omistajuus, tarkoitus, lokitiedot, orpokäyttö
RMM, VPN ja muut etäkäyttötyökalut	Neljännesvuosittain	Ryhmäjäsenyys, vuokralaisten välinen tavoittavuus
Vakiomuotoiset sisäiset käyttäjätilit	6-12 kuukauden välein	Rooliin sopivuus, muuttajat/lähtejät
Tilapäinen / lasinmurtomahdollisuudella varustettu etuoikeutettu pääsy	Jokaisen käyttökerran jälkeen + kuukausittainen yhteenveto	Perustelu, peruutus, epätavallinen käyttö

Pidä kadenssin ohella arvostelut yksinkertaisina ja johdonmukaisina:

Määritä selkeät omistajat: – tyypillisesti jaettujen alustojen palveluntarjoajat ja asiakkaan kanssa yhteisomistajat heidän vuokralaisilleen.
Toimittaa tausta, ei vain käyttäjätunnuksia: kenelle tili kuuluu, mitä sillä voi tehdä, milloin sitä viimeksi käytettiin ja miksi se on olemassa.
Kirjaa päätös jokaisesta identiteetistä (säilytä, alenna, poista) ja seurata muutosten toteutusta hakemistoissasi ja työkaluissasi, ei vain laskentataulukossa napsautettaessa.
Merkitse poikkeuksellisesti säilytetyt korkean riskin käyttöoikeudet ja vaadi lyhytaikaista perustelua ja erityistä suunnitelmaa niiden tarkistamiseksi.

ISMS.online-palvelun avulla voit ajoittaa tarkastuksia, määrittää tarkastajia ja liittää vientitiedostoja tai raportteja IAM-, RMM-, VPN- ja etäkäyttötyökaluista, jotta päätökset ja seuranta ovat yhdessä paikassa. Tämä muuttaa "tarkistamme käyttöoikeudet säännöllisesti" -lausunnon toiveikkaasta lausunnosta käytäntöön näkyväksi ja toistettavaksi kontrolliksi, jonka voit käydä läpi rauhallisesti ISO 27001 -auditoijan tai vaativan asiakasturvallisuustiimin kanssa.

Miten MSP voi selkeästi jakaa käyttöoikeusvastuun kunkin asiakkaan kanssa?

Vältät aukkoja ja syyllisyyden siirtelyä, kun sovitte asiasta. kirjoitettu, selkokielinen vastuunjako jokaisen asiakkaan kanssa ja upottamalla sen sopimuksiin, palvelukuvauksiin ja runbookeihin.

”Jaetun vastuun” muuttaminen testattavaksi sopimukseksi

Yksinkertainen ja tehokas malli on RACI-tyyppinen malli, joka selkeästi määrittelee, kuka on vastuussa mistäkin:

Focus-patjan asiakas on vastuussa varten:
Päätetään, kuka saa käyttää mitäkin järjestelmiä, vuokralaisia ja tietoja.
Hyväksymällä ensimmäisen ja jatkuvan käyttöoikeutesi heidän ympäristöihinsä.
Osallistuminen vuokralaisensa säännöllisiin käyttöoikeustarkastuksiin tai niiden nimenomainen hyväksyminen.

Focus-patjan MSP on vastuussa varten:
Näiden päätösten toteuttaminen ja valvonta työkaluissasi ja henkilöstösi keskuudessa.
Päivittäisten hallintamenetelmien käyttö – lokinkirjoitus, valvonta, salasana- ja avaintenhallinta, automaatiosäännöt.
Käyttöoikeuksien pitäminen vähiten sallittujen oikeuksien mukaisina ja niiden peruuttaminen viipymättä, kun käyttäjät lähtevät tai käyttöoikeudet muuttuvat.
Säännöllisten ja selkeiden todisteiden antaminen käyttöoikeuspyynnöistä, hyväksynnöistä, tarkistuksista ja poistoista.

Sovitte yhdessä, miten tämä toimii, kun:

Uusi asiakas on perehtynyt ja hänen vuokraajaansa koskeva ensimmäinen käyttöoikeus on hyväksytty.
Uusi palvelu, alue tai projekti vaatii syvempää tai laajempaa käyttöoikeutta.
Mukaan tuodaan alihankkijoita tai ulkomaisia tiimejä, joilla on oltava tarkasti rajatut oikeudet.
Tarvitset hätäpääsyä onnettomuuden aikana ja sitten sinun on vedettävä se turvallisesti taaksepäin.

Tämän kirjoittaminen selkeäksi RACI-lomakkeeksi ja sen upottaminen sopimuksiin ja toimintatapoihin antaa sinulle toistettavan A.5.18-tason. Kun sinun on hylättävä liian laaja pyyntö tai poistettava käyttöoikeus, joka ei enää ole perusteltua, voit viitata sovittuun malliin sen sijaan, että väittelisit tapauskohtaisesti.

ISMS.onlinen avulla voit linkittää RACI-tietokannan, käyttöoikeuskäytäntösi ja asiakastietosi, jotta voit vastata väistämättömään kysymykseen "Kuka päättää mitä tälle vuokralaiselle ja miten todistat sen?" yhdellä yhtenäisellä näkymällä sen sijaan, että etsisit sopimuksia ja vanhoja kokousmuistiinpanoja.

Millaiset mittarit ja todisteet todella vakuuttavat tilintarkastajat ja asiakkaat siitä, että vähiten etuoikeuksia on olemassa?

Tilintarkastajat ja asiakkaat vakuuttuvat, kun yhdistätte voimanne pieni, vakaa joukko mittareita betoniesineitä jotka tukevat väitteitäsi, ei lisäämällä käytäntötekstiä.

Lyhyen ja uskottavan esteettömyyden hallinnan tuloskortin laatiminen

Palveluntarjoajalle hyödyllinen tuloskortti voisi seurata seuraavia asioita:

Kattavuus: – niiden järjestelmän piiriin kuuluvien järjestelmien ja vuokralaisten prosenttiosuus, joilla on voimassa oleva nimetty käyttöoikeusluettelo.
ajantasaisuutta: – ajoissa suoritettujen käyttöoikeustarkastusten osuus kullakin riskitasolla.
Vaikutus: – kullakin tarkistusjaksolla alennettujen tai poistettujen tilien lukumäärä ja prosenttiosuus.
Reagointikykyä: – mediaaniaika käyttöoikeuden poistamiseen lähdön, roolinvaihdoksen tai sopimuksen päättymisen jälkeen
poikkeukset: – säilytettyjen riskialttiiden oikeuksien lukumäärä dokumentoiduin perusteluin ja seuraavalla tarkistuspäivämäärällä.

Nuo luvut osuvat parhaiten esiin, kun ne ovat rinnakkain tavanomaisen todistusaineiston kanssa, esimerkiksi:

Nykyiset käyttöoikeuskäytäntösi on yhdistetty standardiin ISO 27001 A.5.15–A.5.18.
Roolimääritelmät MSP:n ydintoiminnoille ja asiakaskohtaamistoiminnoille.
Esimerkkejä käyttöoikeuspyynnöistä ja hyväksynnöistä, mukaan lukien tilanteet, joissa asiakas on allekirjoittanut pyynnöt.
Viimeaikaiset tarkistustietueet ja muutoslokit edustaville työkaluille ja asiakasvuokralaisille.
Muutama esimerkki, jotka havainnollistavat poistumisprosessien ja hätäkäyttöoikeuksien myöntämistä, kirjaamista ja peruuttamista.

ISMS.online-työkalulla voit yhdistää jokaisen mittarin ja esimerkin takaisin sen tukemaan lausekkeeseen tai kontrolliin, määrittää omistajat ja pitää kaiken ajan tasalla normaalin toiminnan aikana. Kun ISO 27001 -auditointihenkilö tai avainasiakas kysyy: "Mistä tiedät, että vähiten oikeuksia käyttävä mallisi toimii?", voit luoda yhdenmukaisen paketin muutamassa minuutissa ja osoittaa, että pystyt... osoittaa hallitse sen sijaan, että toivoisit diaesityksen tai suullisen selityksen riittävän.

Kuinka ISMS.online voi auttaa MSP:tä toteuttamaan A.5.18:n hidastamatta insinöörejä?

ISMS.online tarjoaa sinulle hallinto- ja näyttökerros A.5.18-standardille, jotta voit suunnitella, määrittää ja todentaa käyttöoikeuksien hallinnan, samalla kun insinöörisi jatkavat jo tuttujen teknisten alustojen käyttöä.

Nykyisten ad hoc -päätösten muuttaminen säännellyksi käyttöoikeusjärjestelmäksi

Tiimisi voi käyttää ISMS.onlinea päivittäin seuraaviin tarkoituksiin:

Kaappaa A.5.18-yhteensopiva käyttöoikeuskäytäntö, realistisen rooliluettelon ja MSP/asiakas-RACI:n samassa paikassa, jotta kaikki näkevät, kuka voi hyväksyä ja pitää hallussaan mitä käyttöoikeuksia.
Linkki liittäjä-muuttaja-lähtejä -työnkulut ja käyttöoikeuspyyntöjä HR- tai tiketöintijärjestelmiin, jotta henkilöiden ja vastuiden muutokset ohjaavat luotettavasti käyttöoikeusmuutoksia.
Aikataulu riskiperusteiset käyttöoikeustarkastukset Korkean riskin tilien, työkalujen ja vuokralaisten osalta määritä tarkastajat ja liitä mukaan vientikuvia tai kuvakaappauksia IAM:stä, RMM:stä, VPN:stä, salasanasäilöistä ja muilta alustoilta tarkastettujen ja säädettyjen tietojen tiedoksi.
Ylläpidä elämää todistepakkaus A.5.18-standardia ja siihen liittyviä käyttöoikeusrajoituksia varten valmis ISO 27001 -auditointeja ja asiakkaiden due diligence -pyyntöjä varten sen sijaan, että se koottaisiin uudelleen paniikissa laskentataulukoista ja sähköpostipoluista.

Koska ISMS.online keskittyy kuka päättää, kuka hyväksyy, kuka tarkistaa ja miten todistat sen, insinöörisi jatkavat varsinaisten käyttöoikeusmuutosten tekemistä olemassa olevaan pinoon. Saat yhtenäisen ja toistettavan tason käyttöoikeuksien hallintaan; he saavat selkeämmät suojakaiteet, vähemmän improvisoituja hyväksyntöjä ja paljon vähemmän viime hetken "voitteko noutaa tämän käyttöoikeusraportin huomiseen mennessä?" -pyyntöjä.

Jos haluat, että MSP:si pystyy osoittamaan johtokunnille ja asiakkaille, että pääsyä valvotaan ja räjäytyssäde on rajallinen – sen sijaan, että toivoisi ihmisten vain uskovan sinua – kannattaa tutustua siihen, miten samankaltaiset palveluntarjoajat käyttävät ISMS.online-lomaketta A.5.18:n jäsentämiseen. Se auttaa sinua näyttämään kumppanilta, joka pystyy näyttää hallittu pääsy tarvittaessa, ei vain luvata sitä auditoinnin yhteydessä.