Miksi etuoikeutetut MSP-työkalut vaativat ISO 27001 -standardin mukaista riskienhallintaa hallitustasolla

RMM tehokkaana mahdollistajana ja keskittyneenä riskin lähdeenä

Etävalvonta- ja -hallintatyökalut antavat MSP:llesi valtavan vipuvaikutuksen, koska ne keskittävät useiden asiakasympäristöjen hallinnan muutamaan konsoliin. Sama keskittäminen luo keskittynyttä riskiä: yksi väärin käytetty RMM-, etäkäyttö- tai varmuuskopiotili voi lähettää komentosarjoja, muuttaa käytäntöjä ja kerätä tunnistetietoja kymmenistä organisaatioista samanaikaisesti. Näiden työkalujen käsitteleminen erillisenä, vaikuttavana riskikategoriana on olennaista, jos haluat suojata hallittuja palveluitasi ja säilyttää asiakkaiden luottamuksen.

Etävalvonta- ja -hallinta-alustat rakensivat liiketoimintamallisi antamalla pienen tiimin huolehtia tehokkaasti useista asiakkaista. Samat ominaisuudet, jotka mahdollistavat korjaukset, tuen ja valvonnan laajassa mittakaavassa, houkuttelevat nyt järjestäytyneitä rikollisryhmiä, vakuutusyhtiöitä ja sääntelyviranomaisia, koska yhden paikan tietomurto voi nopeasti vaikuttaa kymmeniin organisaatioihin. Viimeaikaiset tapaukset osoittavat, että kun MSP-työkaluja käytetään väärin, paikallisesta tilimurrosta tulee nopeasti usean asiakkaan ja usean sidosryhmän kriisi. Kansallisten kyberturvallisuusvirastojen yhteiset ohjeet MSP-palveluntarjoajien ja heidän asiakkaidensa suojaamisesta, kuten CISA:n ohjeet RMM:n ja siihen liittyvän infrastruktuurin suojaamisesta, kuvaavat tosielämän tapauksia, joissa yksi vaarantunut tili tai työkalu johti laajaan toimitusketjuvaikutukseen.

Kun yksi työkalu näkee kaiken, sen vikaantumistila ei ole koskaan pieni.

Vuosien ajan monet MSP-palveluntarjoajat luottivat kokeneisiin insinööreihin, joilla oli laaja ja pysyvä pääsy asiakasympäristöihin. Tämä lähestymistapa tuntui hyväksyttävältä, kun hyökkäykset olivat vähemmän automatisoituja ja muodolliset varmistusvaatimukset olivat alhaiset. Nykyään kohtaat hyvin erilaisen ympäristön: kybervakuutuskyselyt tutkivat yhä useammin etuoikeutettua käyttöoikeusmalliasi, suuremmat asiakkaat kysyvät usein yksityiskohtaisia vastauksia riskienhallinnan toimenpiteistä ja varmuuskopioiden hallinnasta, ja uhkatoimijat kohdistavat hyökkäyksensä erityisesti MSP-konsoleihin maksimoidakseen tuottonsa.

RMM-työkalusi, etäkäyttöyhdyskäytäväsi ja varmuuskopiokonsolisi eivät ole vain muiden liiketoimintajärjestelmien rinnalla, vaan niiden yläpuolella. Niillä on usein omat viestintäkanavansa, korjausjaksonsa ja identiteettimallinsa. Jos et käsittele näitä työkaluja erillisenä riskikategoriana, jätät käytännössä kaikkien asiakasympäristöjesi avaimet paikkaan, jossa yksi virhe tai onnistunut tietojenkalasteluviesti voi avata kaiken kerralla.

Nämä tiedot ovat luonteeltaan yleisiä eivätkä ne ole oikeudellisia, sääntelyyn liittyviä tai vakuutusneuvoja; erityisiä päätöksiä tehdessäsi sinun tulee kääntyä pätevien ammattilaisten puoleen.

Miksi RMM ja vastaavat työkalut sijaitsevat räjähdyssäteellä

RMM, etäkäyttö- ja varmuuskopiointityökalut sijaitsevat räjähdysalueen ulottuvilla, koska ne on rakennettu toimimaan nopeasti ja syvällisesti useissa järjestelmissä. Yksi konsoli voi suorittaa komentoja, ottaa käyttöön ohjelmistoja ja muuttaa tuhansien päätepisteiden suojausasetuksia minuuteissa. Tämä nopeus ja ulottuvuus tekevät palvelustasi tehokkaan, mutta ne tarkoittavat myös sitä, että vaarantunut operaattoritili voi ohittaa monia muita hallintalaitteita ja muuttua lähes välittömästi laajamittaiseksi ongelmaksi.

Toisin kuin tavallinen liiketoimintajärjestelmä, joka koskettaa yhtä toimintoa ja yhtä tietojoukkoa, RMM-agentit ja -konsolit voivat tavoittaa lähes kaiken. Ne voivat:

suorittaa mielivaltaisia komentoja tai skriptejä tuhansissa päätepisteissä
ohjelmistojen käyttöönotto ja poistaminen skaalautuvasti
muuttaa suojausasetuksia, mukaan lukien päätepisteiden suojaustyökalujen asetuksia
käyttää tai poistaa varmuuskopioita, joskus useilla asiakkailla

Koska nämä työkalut toimivat korkeilla käyttöoikeuksilla ja käyttävät usein omia viestintäkanaviaan, ne voivat ohittaa monia muualla käyttöönotettuja hallintalaitteita. Kun hyökkääjät saavat käyttöoikeuden, he perivät tämän ohituskyvyn. Siksi standardit ja sääntelyviranomaiset käsittelevät niitä erillisenä riskikategoriana ja asiakkaat kysyvät yhä useammin suoria kysymyksiä siitä, miten konfiguroit ja hallinnoit niitä. Yhteiset kansalliset kyberturvallisuusohjeet, jotka on suunnattu MSP- ja RMM-alustoille, mukaan lukien CISA:n ja kansainvälisten kumppaneiden usean viraston yhteiset ohjeet, nostavat nämä työkalut nimenomaisesti esiin suurivaikutteisina toimitusketjuriskeinä.

Miten RMM-riskinhallinnan vaarantumisesta tulee toimitusketjuhäiriö

RMM-työkalun vaarantumisesta tulee toimitusketjuhäiriö, koska työkalulla on jo luotettava, korkean käyttöoikeuden omaava pääsy useisiin asiakasjärjestelmiin. Hyökkääjän näkökulmasta yksi RMM-käyttäjätili on paljon arvokkaampi kuin yksi päätepiste. Kun he ovat päässeet konsolin sisään, he voivat käyttää konsolin luotettavaa kanavaa haittaohjelmien levittämiseen, puolustusten heikentämiseen ja uusien takaporttien luomiseen useissa organisaatioissa samanaikaisesti.

Kun hyökkääjä pääsee konsoliin, jolla on jo luotettu yhteys satoihin tai tuhansiin koneisiin, hän voi:

työnnä kiristysohjelmien asennusohjelmia tai tiedonkeruutyökaluja "päivityksinä"
poista tietoturvatuotteet käytöstä ennen niiden päähyötykuorman käynnistämistä
luoda uusia, pysyviä etäkäyttökanavia, jotka kestävät salasanan vaihdot

Useimmat organisaatiot vuoden 2025 ISMS.online State of Information Security -kyselyssä kertoivat, että niihin on vaikuttanut ainakin yksi kolmannen osapuolen tietoturvahäiriö viimeisen vuoden aikana.

Jokaiselle asiakkaalle tietomurto näyttää luotettavan MSP:n toiminnalta, joka yhtäkkiä meni pieleen. Koska samaa työkalua käytetään useiden vuokralaisten kanssa, sen vaikutus moninkertaistuu ja herättää nopeasti sääntelyviranomaisten, vakuutusyhtiöiden ja joissakin tapauksissa median huomion. Vaikuttavien, usean osapuolen kybertapahtumien uutisointi korvausvaatimuksissa ja vakuutusraportoinnissa, mukaan lukien MSP:hen liittyvien tapahtumien analyysi julkaisuissa, kuten Insurance Journal, vahvistaa, kuinka nopeasti jaettujen työkalujen viat voivat eskaloitua laajalti raportoiduiksi, useiden sidosryhmien kriisiksi.

Miksi johto, ei vain IT, kantaa tämän riskin

Johto kantaa etuoikeutetun työkaluriskin, koska yksi virhe voi vahingoittaa koko asiakaskuntaasi, brändiäsi ja sopimuksiasi. Yksikin RMM:n, varmuuskopioinnin tai pilvikonsolien väärinkäyttö voi laukaista rangaistuksia, sääntelyviranomaisten kiinnostuksen ja julkisen tapausraportoinnin. Kun ylemmät päätöksentekijät näkevät realistisen pahimman mahdollisen skenaarion ja mitkä työkalut voisivat sen luoda, he ovat paljon halukkaampia rahoittamaan näiden alustojen edellyttämiä valvontatoimia ja kulttuurimuutoksia. Hallittujen palvelujen tarjoajien kyberriskien toimiala-analyysit, kuten BSI:iden keskustelut hallittujen palvelujen tarjoajien kyberuhista, korostavat, että nämä koko liiketoimintaa koskevat seuraukset kuuluvat täysin ylemmän johdon ja hallinnon vastuulle.

Koska yksi ainoa kompromissi voi vaikuttaa useisiin asiakkaisiin samanaikaisesti, etuoikeutettujen työkalujen riski ei ole pelkästään IT-hygieniaan liittyvä ongelma. Se on strateginen liiketoimintariski, joka kuuluu samalle asialistalle kuin taloudellinen kestävyys ja oikeudellinen vastuu. Ylimmän johdon on ymmärrettävä:

miltä realistinen pahin mahdollinen tilanne näyttää taloudellisesti ja maineikkaasti
millä pinon alustoilla voisit uskottavasti päästä sinne
mitä kontrollikehystä käytät pitääksesi skenaarion epätodennäköisenä ja hallittuna

Kun suunnittelet uudelleen RMM:n ja muiden etuoikeutettujen apuohjelmien hallintaa, et osoita epäluottamusta insinöörejäsi kohtaan. Tiedostat, että ihmiset tekevät virheitä, hyökkääjät ovat sinnikkäitä ja valvontajärjestelmäsi tulisi olla riittävän vankka havaitsemaan ja rajoittamaan ongelmat varhaisessa vaiheessa. Tämän käsitteleminen hallitustason riskinä helpottaa myös budjetin, ajan ja tiimien välisen yhteistyön varmistamista, jota tarvitaan ongelman asianmukaiseen korjaamiseen.

Varaa demo

Mitä ISO 27001:2022 A.8.18 todella vaatii

ISO 27001:2022 käsittelee tehokkaita apuohjelmia erityisenä riskinä ja edellyttää niiden tunnistamista, niiden käyttäjien tarkkaa valvontaa ja niiden toiminnan valvontaa. Liitteen A.8.18 tukena oleva ISO 27002:2022 -standardin ohjeistus, joka on julkaistu virallisessa ISO-luettelossa, kuvaa tarvetta rajoittaa ja valvoa apuohjelmia, jotka voivat ohittaa normaalit järjestelmä- ja sovelluskontrollit. Liitteessä A.8.18 todetaan, että järjestelmä- ja sovelluskontrollien ohittamiseen kykenevien apuohjelmien on oltava rajoitettuja ja niitä on valvottava tiukasti. Riippumattomat ISO 27002 -selittimet, kuten julkiset liitteen A tiivistelmät, toistavat tätä kieltä ja korostavat odotusta, että organisaatioiden on määriteltävä ja toteutettava erityisiä suojatoimia tällaisille työkaluille. Hallittujen palveluntarjoajien kannalta tämä tarkoittaa RMM:n, PSA-hallinnan, etäkäytön, varmuuskopiokonsolien ja pilviportaalien käsittelyä etuoikeutettuina apuohjelmina tavallisten sovellusten sijaan. Tarvitset selkeät säännöt, jotka kuvaavat näiden alustojen konfigurointia ja käyttöä, sekä todisteita päivittäisissä toiminnoissa ja auditoinneissa siitä, että näitä sääntöjä todella noudatetaan.

ISO 27001 on tarkoituksella korkean tason standardi, joten se ei listaa kaikkia MSP:n käyttämiä työkalutyyppejä. Sen sijaan se keskittyy ominaisuuksiin. Kaikki ohjelmat, jotka voivat ohittaa normaalit kontrollit, toimia korotetuilla oikeuksilla tai muuttaa useita järjestelmiä samanaikaisesti, kuuluvat sen piiriin. Siksi pelkkä hyväksyttävän käytön käytäntö ei riitä; tarvitset erityisiä toimenpiteitä näiden tehokkaiden apuohjelmien ympärille ja selkeät todisteet siitä, että nämä toimenpiteet toimivat.

Yhden lauseen hallinta, joka käännettynä päivittäisiksi velvollisuuksiksi

Yksinkertaisesti sanottuna A.8.18 edellyttää, että tiedät, mitkä työkalut voivat ohittaa kontrollit, rajoitat niiden käytön oikeisiin henkilöihin ja tarkistat niiden toiminnan. Käytännössä tämä tarkoittaa etuoikeutettujen apuohjelmien luettelon ylläpitämistä, niiden virallista hyväksymistä, käyttöoikeuksien tiukkaa hallintaa, niiden käyttötapojen määrittelyä ja lokien valvontaa. Jos pystyt selittämään jokaisen näistä elementeistä selkeästi, olet jo lähellä sitä, mitä tilintarkastajat odottavat tältä kontrollilta. Kontrollin sanamuoto on lyhyt, mutta se sisältää paljon odotuksia, ja operatiivisella kielellä se yleensä tarkoittaa, että sinun tulisi:

tunnista ja luetteloi kaikki apuohjelmat, jotka voivat ohittaa normaalit säätimet tai toimia korotetuilla oikeuksilla
hyväksy virallisesti, mitä näistä työkaluista käytät ja missä olosuhteissa
rajaa käyttöoikeudet pienelle, tarkastetulle käyttäjäryhmälle tai rooleille
pakota vahva todennus näille käyttäjille, tyypillisesti sisältäen monivaiheisen todennuksen
määritellä menettelyt tai runbookit niiden käyttöön, mukaan lukien hyväksynnät, jos kyseessä on korkean riskin toimia
kirjaa ja seuraa toimintaa ja tarkastele sitä säännöllisesti

Tilintarkastajat eivät odota sinun lainaavan ohjaustekstiä; he odottavat näkevänsä, että nämä ideat ovat läsnä käytännöissäsi, standardeissasi ja työskentelytavoissasi. He odottavat myös, että etuoikeutetut työkalusi on konfiguroitu tavoilla, jotka tekevät väärinkäytöksistä vähemmän todennäköisiä ja helpommin havaittavia.

Miten A.8.18 liittyy liitteen A muuhun osaan

A.8.18 on tiiviisti kytköksissä käyttöoikeuksien hallintaa, lokinnusta ja muutostenhallintaa koskeviin vaatimuksiin muualla liitteessä A. Se ei ole itsenäinen. Se täydentää muita teknologisia ja käyttöoikeuksien hallintamenetelmiä, kuten:

käyttöoikeuslausekkeet, jotka edellyttävät sinun määrittelevän, kuka voi käyttää mitäkin
lokikirjaus- ja valvontatoiminnot, jotka edellyttävät tapahtumien tallentamista ja tarkastelua
muutoshallinnan kontrollit, jotka edellyttävät muutosten hallintaa jäsennellyllä tavalla

Etuoikeutetut apuohjelmat kattavat kaikki kolme aluetta. Kun esimerkiksi vahvistat RMM-alustaasi, olet samanaikaisesti seuraavassa tilanteessa:

käyttöoikeuksien valvonnan periaatteiden soveltaminen (kuka voi käyttää sitä ja missä roolissa)
lokitietojen ja valvonnan varmistaminen (mitä toimia he tekevät ja mistä)
suurten vaikutusten toimenpiteiden muuttaminen muutostenhallintaan (mitkä skriptit, mitkä hyväksynnät, mitkä palautusvaihtoehdot)

Kohdan A.8.18 ymmärtäminen tässä laajemmassa kontekstissa auttaa sinua suunnittelemaan johdonmukaisen lähestymistavan kertaluonteisen korjauksen sijaan. Se tarkoittaa myös sitä, että A.8.18:aan tekemäsi parannukset usein vahvistavat asemaasi useisiin muihin samanaikaisesti tehtäviin toimiin verrattuna. Käytännönharjoittajille suunnatut liitteen A kommentit, mukaan lukien itsenäiset ISO 27002 -oppaat, esittelevät myös kohdan A.8.18 käyttöoikeuksien valvonnan, lokitietojen keräämisen ja muutostenhallintatoimenpiteiden rinnalla, mikä korostaa näiden alueiden läheistä yhteyttä toisiinsa.

Mitä tilintarkastajat todellisuudessa odottavat näkevänsä A.8.18:n osalta

Tilintarkastajat haluavat nähdä, että pystyt selittämään, mitkä laitokset ovat etuoikeutettuja, miten hallitset niitä ja missä todisteet sijaitsevat. ISO 27001 -auditoinnissa sinua yleensä pyydetään selittämään, miten täytät A.8.18-vaatimuksen, ja esittämään todisteita. Odota seuraavanlaisia kysymyksiä:

mitkä työkalut omassa toiminta-alueessasi lasketaan etuoikeutetuiksi apuohjelmiksi
miten näiden työkalujen käyttöoikeuksia hallitaan ja tarkistetaan
miten varmistat, että tehokkaita ominaisuuksia, kuten etäkäyttöliittymää tai massakäyttöönottoa, käyttävät vain asianmukaiset roolit
millaista valvontaa ja lokitietoja sinulla on käytössä
miten näihin työkaluihin liittyviä vaaratilanteita tai epäiltyjä väärinkäytöksiä käsitellään

Tilintarkastajat haluavat nähdä kirjalliset käytännöt tai standardit, mutta he haluavat myös nähdä, että työkalusi kokoonpano, lokit ja päivittäiset käytännöt vastaavat kirjoitettua. Jos dokumentaatiossasi sanotaan, että vain nimetyt tilit, joilla on monivaiheinen todennus, voivat käyttää RMM-etähallintaa, mutta he näkevät jaettuja tilejä ja heikkoa todennusta konsolissa, he käsittelevät sitä puutteena. Pienen joukon selkeiden esimerkkien tuottaminen, jotka näyttävät koko ketjun käytännöstä työkalun kokoonpanoon ja lokeihin, helpottaa näitä keskusteluja huomattavasti. ISO 27001 -standardin vuoden 2022 tarkistuksen käyttöönotto-oppaissa, kuten toteuttajille suunnatuissa käytännön yhteenvedoissa, on huomattava, että tilintarkastajat keskittyvät siihen, toimivatko nämä kontrollit käytännössä, eivät kykyysi lausua lausekkeiden tekstiä.

ISMS.online antaa sinulle 81 %:n etumatkan heti sisäänkirjautumisestasi lähtien.

ISO 27001 helposti

Olemme tehneet kovan työn puolestasi ja antavat sinulle 81 % etumatkan kirjautuessasi sisään. Sinun tarvitsee vain täyttää tyhjät kohdat.

Aloita

'Etuoikeutettujen hyödyllisten ohjelmien' määrittely MSP-ympäristöissä

Toteutat A.8.18:n tehokkaasti vasta, kun kaikki ovat yhtä mieltä siitä, mitkä työkalut lasketaan etuoikeutetuiksi apuohjelmiksi MSP:ssäsi. Jotta hallinta voidaan toteuttaa oikein, sinun on ensin vastattava petollisen yksinkertaiseen kysymykseen: mikä tarkalleen ottaen lasketaan etuoikeutetuksi apuohjelmaksi ympäristössäsi. MSP:n kohdalla tämä luettelo on paljon laajempi kuin vain käyttöjärjestelmätyökalut sisäisellä palvelimella. Se sisältää minkä tahansa alustan, joka voi ohittaa normaalin liiketoimintalogiikan, muuttaa suojausasetuksia skaalautuvasti tai toimia useissa asiakasympäristöissä. Et voi hallita sitä, mitä et ole tunnistanut, joten selkeän, jaetun määritelmän ja luettelon rakentaminen on lähtökohta kaikelle seuraavalle.

Tyypillisiä etuoikeutettuja apuohjelmia MSP-työkalupinossa

Tyypillisiä etuoikeutettuja apuohjelmia MSP-työkalupinossa ovat alustat, joita henkilöstösi voi käyttää ohittaakseen normaalit tarkistukset ja tehdäkseen laaja-alaisia muutoksia. Näihin kuuluvat yleensä RMM-agentit ja -konsolit, PSA-hallintaliittymät, varmuuskopiointi- ja palautusalustat, hypervisor- ja tallennuskonsolit, pilvihallintaportaalit sekä tehokkaat etäkäyttöliittymät tai komentosarjojen kirjoittamistyökalut. Jos insinöörisi voivat käyttää työkalua laaja-alaisten muutosten tekemiseen, se kuuluu todennäköisesti etuoikeutettujen apuohjelmien luetteloosi. Hallittujen palvelujen tarjoajan yhteydessä etuoikeutettuihin apuohjelmiin kuuluvat tyypillisesti:

RMM-alustat ja niiden agenttipohjaiset ominaisuudet
ammattimaisten palveluiden automaatiotyökalusi hallintaliittymät, erityisesti silloin, kun ne voivat käynnistää toimintoja muissa järjestelmissä
varmuuskopiointi- ja palautuskonsolit, jotka voivat poistaa, muuttaa tai palauttaa suuria tietomääriä
hypervisorin ja tallennuksen hallintakonsolit, jotka voivat käynnistää tai sammuttaa järjestelmiä tai ottaa tilannekuvan ja palauttaa ympäristöjä
pilvihallintaportaalit ja komentorivityökalut, jotka hallinnoivat asiakasinfrastruktuuria ja identiteettejä
tehokkaat komentosarjaympäristöt ja etäkäyttöliittymät, joita käytetään korjaaviin toimenpiteisiin useissa päätepisteissä

Nämä työkalut voivat kuulua sinulle, asiakkaillesi tai kolmansille osapuolille, mutta jos henkilöstösi osaa käyttää niitä, ne kuuluvat A.8.18:n henkeen. Tämän rajan vetäminen auttaa insinöörejä ymmärtämään, miksi näitä työkaluja kohdellaan eri tavalla kuin arkipäivän ohjelmistoja.

Riskiperusteisten tasojen käyttö, jotta laajuus pysyy hallittavana

Riskiperusteisten tasojen avulla voit keskittää tiukimmat valvontasi työkaluihin, jotka voivat olla haitallisimpia, samalla kun hallitset kaikkea muuta. Kaikki hallintavaihtoehtoja tarjoavat työkalut eivät tarvitse samantasoista valvontaa. Tasomalli auttaa sinua pysymään käytännöllisenä ja ottamaan silti A.8.18:n vakavasti. Se antaa sinulle selkeän tavan selittää lähestymistapasi tilintarkastajille ja asiakkaille.

Voit esimerkiksi määritellä:

Taso 1: työkalut tai konsolit, jotka voivat vaikuttaa useisiin asiakkaisiin tai kokonaisiin ympäristöihin yhdellä toiminnolla, kuten ensisijainen RMM-järjestelmäsi, varmuuskopiointi tai pilvihallintaportaalit.
Taso 2: työkalut, jotka voivat vaikuttaa merkittävästi yhden asiakkaan ympäristöön kerrallaan, kuten yksittäisen vuokralaisen palomuurikonsoli
Taso 3: työkalut, jotka tarjoavat tehokkaita toimintoja yksittäisille isännille, mutta eivät ole helposti skaalautuvia, kuten paikalliset diagnostiikkatyökalut

Tason 1 sähkölaitoksiin sovelletaan tiukimpia käyttöoikeusrajoituksia, valvontaa ja hyväksyntöjä. Tasoja 2 ja 3 valvotaan edelleen, mutta voit sallia enemmän joustavuutta siinä, kuinka nopeasti insinöörit voivat käyttää niitä, erityisesti häiriötilanteissa, edellyttäen, että säilytät riittävästi todisteita tehdyistä toimista. Tämä pitää laajuuden hallittavana ja on silti standardin tarkoituksen mukainen.

Omistajien määrittäminen jokaiselle etuoikeutetulle apuohjelmalle

Jokainen etuoikeutettu apuohjelma tarvitsee nimetyn omistajan, jotta konfigurointi, käyttöoikeudet ja valvonta eivät ajaudu hiljaa ajan kuluessa. Kun tiedät, mitä laajuuteen kuuluu ja kuinka kriittinen kukin kohde on, jonkun on oltava vastuussa sen hallinnasta. Tämä omistajuus antaa tarkastajille selkeän yhteyshenkilön ja antaa insinööreille selkeyttä siitä, kuka päättää mistäkin.

Jokaiselle etuoikeutetulle apuohjelmalle on hyödyllistä tallentaa:

kuka omistaa suhteen toimittajaan ja hyväksyy työkalun muutokset
kuka hallinnoi käyttöoikeuksia ja pitää roolimääritelmät ajan tasalla
kuka on vastuussa lokien tarkistamisesta ja poikkeavuuksien seurannasta

Tämän omistajuuskartoituksen tulisi olla tietoturvallisuuden hallintajärjestelmässäsi, jotta se selviää henkilöstövaihdosten aikana ja siihen voidaan helposti viitata auditoinneissa ja johdon arvioinneissa. ISMS-alustalla, kuten ISMS.online, voit rekisteröidä jokaisen työkalun, sen omistajan sekä siihen liittyvät riskit ja kontrollit yhteen paikkaan, jotta kuva pysyy ajan mittaan oikein. Ilman selkeitä omistajia etuoikeutetut apuohjelmat keräävät usein poikkeuksia, jaettuja tilejä ja tarkistamattomia lokeja, jotka lisäävät riskiäsi hiljaisesti.

A.8.18:n yhdistäminen riskinhallintajärjestelmiin, PSA:han ja etäkäyttötyönkulkuihin

A.8.18 herää todella eloon vasta, kun se muokkaa sitä, miten etuoikeutettuja työkaluja käytetään tikettien, muutosten ja tapahtumien yhteydessä. On tärkeää tietää, mitkä työkalut ovat etuoikeutettuja, mutta hallinta testataan todella siinä, miten näitä työkaluja käytetään normaalin työn, muutosten ja tapahtumien aikana. Hallittujen palveluiden tarjoajille (MSP) tämä tarkoittaa hallinnan upottamista jokapäiväisiin työnkulkuihin sen sijaan, että luotettaisiin ihmisten muistavan abstrakteja sääntöjä. Kun kartoitat tapauksiin reagointi- ja muutosprosessisi A.8.18:n linssin läpi, voit päättää, missä käyttöoikeuden tulisi olla automaattista, missä sen tulisi vaatia nimenomaista käyttöoikeuksien korottamista ja missä lisähyväksyjä tai tehostettu valvonta on perusteltua. Todellisen hallinnan osoittamiseksi tarvitset riskinhallinta-, palveluilmoitus- ja etäkäyttötyönkulkuja, jotka tekevät korkean riskin toimista näkyviä, perusteltuja ja kirjattuja oletusarvoisesti. Etuoikeutettujen työkalujen käyttöä koskevien päätösten upottaminen tiketteihin ja muutostietueisiin auttaa insinöörejä työskentelemään nopeasti ja antaa samalla selkeän näytön siitä, että näitä työkaluja hallitaan standardin odottamalla tavalla.

Jos tiukentat vain konsolin asetuksia, mutta jätät työnkulut ennalleen, insinöörit löytävät luonnollisesti oikoteitä paineen alla. Suunnittelemalla palvelupisteesi, muutoshallintasi ja tapausprosessisi siten, että ne sisältävät etuoikeutetut päätökset vakiovaiheina, teet paljon helpommaksi ihmisten tehdä oikein ilman jatkuvia muistutuksia.

Tapahtuma- ja muutostyönkulut A.8.18-näkökulmasta

Tapahtumien ja muutosten työnkulkujen tarkastelu A.8.18-näkökulmasta tarkoittaa etuoikeutettujen työkalujen käyttöalueiden havaitsemista ja näiden vaiheiden tiukentamista. Sinun ei tarvitse hidastaa kaikkea, mutta sinun tulee erottaa toisistaan matalariskiset diagnostiikat ja vaikuttavat toimet, kuten massaskriptien käyttöönotto. Päättämällä, missä tarvitaan lisähyväksyntöjä, dokumentaatiota tai valvontaa, teet tehokkaista työkaluista ennustettavia ja puolustettavissa olevia ad hoc -työkalujen sijaan.

Otetaan tyypillinen RMM-pohjainen vastaus päätepistehälytykseen. Tukiteknikko:

vastaanottaa hälytyksen RMM:ssä tai PSA:ssa
avaa etäistunnon tai komentotulkin
suorittaa joukon diagnostiikka- tai skriptiohjelmia
ottaa käyttöön korjauksen, joka voi sisältää ohjelmistomuutoksia tai rekisterin muokkauksia

A.8.18-näkökulmasta herkimmät vaiheet ovat ne, jotka muuttavat konfiguraatiota tai suorittavat mielivaltaisia komentosarjoja skaalautuvasti. Voit päättää, että:

nimetyn, todennetun tilin kautta päätepisteeseen vuorovaikutteinen yhteyden muodostaminen on sallittu tietyille rooleille ilman erillisiä hyväksyntöjä
Myös ennalta hyväksyttyjen diagnostiikkaskriptien suorittaminen on sallittua, edellyttäen, että skriptit ovat versiohallittuja eikä niitä voida muokata lennossa
Uusien tai muokattujen komentosarjojen käyttöönotto tai ad-hoc-komentojen suorittaminen useissa koneissa edellyttää joko muutostietuetta tai jonkun muun etukäteen hyväksyntää.

Tavoitteena ei ole kuormittaa jokaista toimenpidettä komitealla, vaan varmistaa, että etuoikeutettujen apuohjelmien vaikuttava käyttö on ennustettavaa, perusteltua ja näkyvää.

Normaalit, korotetut ja hätäkulkureitit

Selkeiden ”normaalien, korotettujen ja hätätilanteiden” käyttöoikeuksien määrittely auttaa insinöörejä toimimaan nopeasti menettämättä etuoikeutettujen työkalujen hallintaa. Insinöörit työskentelevät kiireen alla, erityisesti päivystystilanteissa. Hyödyllinen suunnittelumalli on määritellä kolme käyttötapaa, jotka sopivat jo olemassa olevaan työskentelytapaasi.

Normaali pääsy

Normaali käyttöoikeus kattaa rutiinitehtävät rajoitetuin oikeuksin rooleilla. Tässä tilassa insinöörit hoitavat päivittäisen valvonnan, vähäriskiset muutokset ja perusvianmäärityksen käyttämällä ennalta määritettyjä rooleja, jotka eivät salli suuria vaikutuksia omaavia toimia, kuten massakäyttöönottoa tai käytäntömuutoksia.

Korotettu pääsy

Laajennetut käyttöoikeudet kattavat suunnitellun, vaikuttavan työn, jossa käytetään tiketteihin tai muutostietueisiin sidottuja just-in-time-käyttöoikeuksia. Insinöörit pyytävät laajennettuja oikeuksia tiettyyn tarkoitukseen ja rajoitetuksi ajaksi, ja järjestelmä kirjaa lokiin, kuka hyväksyi muutoksen, milloin käyttöoikeus myönnettiin ja mitä toimia tehtiin korkeampien oikeuksien vallitessa.

Hätäyhteys

Hätätilanteisiin pääsy kattaa kiireelliset tilanteet, joissa ensisijaisena tavoitteena on järjestelmien nopea vakauttaminen ja jälkikäteen tehtävä perusteellisempi tarkastus. Voit sallia normaalien hyväksyntäpolkujen tilapäisen ohittamisen suuren käyttökatkoksen aikana, mutta vaatia insinöörejä viittaamaan tapahtumatietoihin ja toimittamaan toteutetut toimenpiteet tapahtuman jälkeistä tarkastusta varten sovitussa ajassa.

Voit määrittää kullekin tilalle, mitkä roolit voivat käyttää sitä, mitkä työkalut ja ominaisuudet ovat käytettävissä ja mitä lisävahvistuksia tai -valvontaa tarvitaan. Tämä pitää reagointisi nopeana jättämättä korkean käyttöoikeuden omaavia apuohjelmia pysyvästi auki.

Hyväksyntöjen tekeminen osaksi lippua, ei ylimääräistä palkkiota

Etuoikeutettujen apuohjelmien käytön hyväksynnät toimivat parhaiten, kun ne sijaitsevat PSA-työnkulkujesi sisällä erillisten manuaalisten prosessien sijaan. Jos etuoikeutettujen apuohjelmien käytön hyväksynnät sijaitsevat erillisessä järjestelmässä kuin tiketit ja muutokset, ne nähdään nopeasti ylimääräisenä ongelmana ja ne ohitetaan todennäköisemmin. A.8.18:n yhdistäminen PSA:asi tarkoittaa:

työnkulkujen määrittäminen, joissa korkean riskin RMM-toimia ei voida käynnistää ennen kuin tiketti saavuttaa hyväksytyn tilan
komentosarjakirjastojen ja joukkotoimintojen linkittäminen tietueiden muuttamiseen, jotta tarkistajat näkevät tarkalleen, mitä tapahtuu
kuka hyväksyi mitä ja miksi, tavalla, joka on helppo palauttaa myöhemmin

Kun hyväksynnät on integroitu järjestelmään, jossa työtä jo hallitaan, insinöörien kokema kitka vähenee ja saat paljon selkeämmän näytön siitä, että etuoikeutettuja työkaluja ei käytetä ad hoc -periaatteella. Tämä näyttö tukee suoraan A.8.18-tasoasi, kun tilintarkastajat tai asiakkaat kysyvät, miten pidät tehokkaat työkalut hallinnassa.

Ota käyttöön, laajenna ja skaalaa vaatimustenmukaisuus ilman sotkua. Io antaa sinulle joustavuutta ja luottamusta kasvaa turvallisesti.

Varaa esittelysi

Tekninen karkaisusuunnitelma etuoikeutetuille MSP-työkaluille

Tekninen suunnitelma etuoikeutettujen MSP-työkalujen vahvistamiseksi muuttaa A.8.18:n käytäntölausunnosta konkreettiseksi, toistettavaksi konfiguraatioksi. Hallinnan ja työnkulun muutokset eivät suojaa sinua, jos itse työkalut on konfiguroitu huonosti. Kontrolli odottaa enemmän kuin hyväksyttävän käytön käytäntöä; se odottaa, että etuoikeutettujen apuohjelmien käyttöoikeuksia ei ainoastaan rajoiteta, vaan ne on myös konfiguroitu tavalla, joka vähentää väärinkäyttöä ja tekee toiminnasta havaittavaa. MSP:iden kannalta yksinkertaisen, tuoteriippumattoman vahvistamisstandardin rakentaminen RMM:lle, PSA-hallinnalle, varmuuskopiokonsoleille ja etäkäyttöyhdyskäytäville auttaa sinua valvomaan vähimmäisperustasoa kaikkialla, jopa silloin, kun kyseessä ovat eri tuotteet, ja helpottaa tarkastajien osoittamista, että kokoonpanosi tukee eikä heikennä hallintaasi.

Perusvaatimukset, jotka jokaisen etuoikeutetun työkalun tulisi täyttää

Jokaisen pinossasi olevan etuoikeutetun työkalun tulisi täyttää vähimmäisvaatimukset todennuksen, altistumisen, konfiguroinnin, lokinnuksen ja palautuksen osalta. Vähimmäisvaatimuksina tarvitset vahvan, monivaiheisen todennuksen, nimetyt roolit pienimpien oikeuksien perusteella, rajoitetun hallintaoikeuden, vahvistetut oletusasetukset, keskitetyn auditointilokin ja luotettavat kokoonpanon varmuuskopiot. Tämän kirjoittaminen lyhyeksi, tuotteesta riippumattomaksi standardiksi antaa sinulle mahdollisuuden soveltaa A.8.18-standardia johdonmukaisesti, vaikka lisäisit tai muuttaisit työkaluja.

Vaikka yksittäiset tuotteet vaihtelevat, jokaisen etuoikeutetun apuohjelman tulisi täyttää tietyt perusehdot:

vahva todennus: monivaiheinen todennus kaikille järjestelmänvalvojan käyttöoikeuksille, mieluiten käyttämällä kertakirjautumista, joka on sidottu henkilöllisyyden tarjoajaasi
nimetyt tilit ja roolit: ei jaettuja ”järjestelmänvalvojan” tilejä ja selkeät roolimääritelmät, jotka tukevat pienimpiä käyttöoikeuksia
rajoitettu verkkoaltistus: hallintaliittymiin päästään vain määritellyistä verkoista tai suojattujen hyppypalvelimien tai VPN-yhteyksien kautta
Kovaksi koottu kokoonpano: tarpeettomat ominaisuudet poistettu käytöstä, oletusarvoiset tunnistetiedot poistettu ja suojatut oletusarvot valittu aina kun mahdollista
kattava lokikirjaus: yksityiskohtaiset lokit todennuksesta, määritysmuutoksista ja etuoikeutetuista toimista, jotka välitetään keskitetylle lokialustalle
joustava kokoonpanon varmuuskopiointi: työkalun kokoonpanon turvalliset, versioidut varmuuskopiot, jotta voit palauttaa tiedot tai peruuttaa ne tietomurron jälkeen

Tämän lähtökohdan kirjoittaminen lyhyeksi ja teknologiariippumattomaksi standardiksi tarkoittaa, että voit soveltaa sitä johdonmukaisesti työkaluja ottaessasi käyttöön tai muuttaessasi. Se tarjoaa myös yksinkertaisen tarkistuslistan, jota voit näyttää auditoijille ja asiakkaille osoittaaksesi, miten tulkitset A.8.18-kohtaa käytännössä.

Esimerkki: RMM-alustan koventaminen ennen ja jälkeen

RMM:n kovettumisesta tehty ”ennen ja jälkeen” -kuva tekee tiukemman hallinnan ajatuksesta konkreettisen insinööreille ja johtajille. Vaikka omassa tuotteessasi käytettäisiin eri terminologiaa, yksinkertainen vertailu osoittaa, mitä ”tiukasti hallittu” todella tarkoittaa ja miksi se on tärkeää A.8.18:n ja asiakasvarmuuden kannalta.

Ennen RMM-käyttöönoton vahvistamista ja sen jälkeen:

Aspect	Vanha käyttöönotto	Kovennettu käyttöönotto
Authentication	Vain salasana, vaihteleva vahvuus	Kertakirjautuminen monivaiheisella todennuksella
Tilit ja roolit	Jaettu järjestelmänvalvojan tili kaikille vanhemmille insinööreille	Nimetyt tilit, joilla on roolipohjainen käyttöoikeus ja vähiten käyttöoikeuksia
Verkostoaltistus	Konsoli, johon pääsee käsiksi internetistä	Konsoli rajoitettu hallintaverkkoon ja VPN:ään
Skriptin suoritus	Ad-hoc-skriptit muokattavissa tuotannossa	Versiohallitut skriptit, joilla on hyväksyntä muutoksille
Hakkuu	Paikalliset lokit säilytetään vain oletusasetuksilla	Lokit välitetään keskitetysti ja säilytetään sovitun ajan
Konfiguraation varmuuskopiointi	Epävirallisia varmuuskopioita otetaan satunnaisesti	Automatisoidut, salatut kokoonpanon varmuuskopiot testauksella

Vaikka käyttöönottosi alkaisi eri lähtötasolta, tämäntyyppinen vertailu tekee selväksi, miltä "tiukasti hallittu" näyttää arkipäivässä. Voit käyttää samanlaista mallia varmuuskopiokonsoleille, pilviportaaleille ja muille tason 1 työkaluille yhdenmukaisten odotusten aikaansaamiseksi. Tietoturvan lähtötasot, kuten CIS-kontrollit ja niiden pilvipalveluihin liittyvät ohjeet, käyttävät myös vertailevia "ennen/jälkeen"-esimerkkejä auttaakseen tiimejä visualisoimaan, miltä kovetetun ja hyvin hallitun kokoonpanon tulisi näyttää.

Konfiguraation vahvistaminen toimittajanvaihdoksen mukaisesti

Konfiguraatioiden koventamisen on oltava toistuva tapa, koska toimittajat muuttavat jatkuvasti ominaisuuksia, oletusarvoja ja integrointimalleja. Jos käsittelet koventamista kertaluonteisena projektina, asenteesi muuttuu ajan myötä. Jotta A.8.18-toteutus pysyisi terveenä, tarvitset yksinkertaisen rytmin etuoikeutettujen työkalujen uudelleentarkasteluun ja sen tarkistamiseen, että ne täyttävät edelleen standardisi.

Toimittajat lisäävät säännöllisesti ominaisuuksia, muuttavat määritysasetuksia ja poistavat vanhoja asetuksia käytöstä. Pysyäksesi ajan tasalla voit:

Sisällytä tärkeimmät etuoikeutetut apuohjelmat resurssi- ja riskirekistereihisi, jotta ne näkyvät säännöllisissä tarkastuksissa
Tilaa toimittajan tietoturvatiedotteet ja tarkista, vaikuttavatko muutokset suojauskäytäntöjesi vahvistamiseen
rakentaa yksinkertaisia konfigurointitarkistuslistoja, joita insinöörit voivat käydä läpi päivitysten tai uusien käyttöönottojen jälkeen
tallenna tärkeimmät asetukset tietoturvanhallintajärjestelmääsi, jotta ulkopuolinen tilintarkastaja voi nähdä sekä standardin että sen soveltamisen

Tämä lähestymistapa vaatii jonkin verran kurinalaisuutta, mutta sen ei tarvitse olla raskas. Tavoitteena on tehdä konfiguraatiosta vaikeampaa lipsua hiljaa takaisin riskialueelle ilman, että kukaan huomaa sitä.

Karkaistut työkalut eivät ole kertaluonteinen virstanpylväs; ne ovat tapa, jota uudistat.

RBAC, just-in-time-käyttö ja istuntojen tallennus, jotka tyydyttävät tilintarkastajia

Roolipohjainen käyttöoikeuksien hallinta, just-in-time-oikeuksien korottaminen ja istuntojen tallennus muuttavat etuoikeutettujen apuohjelmien hallinnan käytännöstä auditoijien ja asiakkaiden luotettavaksi vaihtoehdoksi. Jopa kovetetuista työkaluista tulee vaarallisia, jos liian monella ihmisellä on laajat, pysyvät käyttöoikeudet. ISO 27001 ja siihen liittyvät ohjeet korostavat pienimpien käyttöoikeuksien periaatetta ja edellyttävät, että osoitat soveltavasi sitä käytännössä. Kansalliset kyberturvallisuusohjeet, kuten Ison-Britannian NCSC:n käyttöoikeuksien hallintasuositukset, korostavat samalla tavalla tehokkaiden tilien tiukkaa valvontaa ja selkeää näyttöä niiden käytöstä. Hallittujen palveluntarjoajien (MSP) osalta tämä tarkoittaa yleensä selkeiden roolien suunnittelua RMM:lle, PSA:lle ja varakonsoleille, pysyvien korkeiden käyttöoikeuksien vähentämistä, just-in-time-oikeuksien korottamisen käyttöä riskialttiissa tehtävissä sekä arkaluontoisimpien istuntojen tallentamista tai tarkkaa valvontaa. Jos vain määritellyt roolit voivat käyttää tehokkaita ominaisuuksia, lisäoikeuksia myönnetään väliaikaisesti ja korkean riskin istunnot ovat havaittavissa, vähennät hiljaisen väärinkäytön mahdollisuutta ja saat selkeitä, toistettavia vastauksia, kun asiakkaat ja auditoijat kysyvät, kuka voi käyttää heidän ympäristöjään ja millä ehdoilla.

Roolimallit ja käyttöoikeuksien laajuusmallit antavat sinulle myös keinon vastata rakentavasti asiakkaiden tiedusteluun siitä, kuka voi käyttää heidän ympäristöjään. Epämääräisten "vain vanhemmat insinöörit voivat" -lausuntojen sijaan voit kuvata tiettyjä rooleja, käyttöoikeuksien laajuuspolkuja ja valvontatoimenpiteitä, jotka koskevat kaikkia asiakkaita.

Roolien suunnittelu, jotka heijastavat todellista työtä

Roolit täyttävät A.8.18-vaatimukset parhaiten silloin, kun ne heijastavat sitä, miten insinöörisi todellisuudessa tarjoavat palveluita, eivätkä idealisoitua organisaatiokaaviota. Roolipohjainen käyttöoikeuksien hallinta on tehokasta vain, jos roolit vastaavat tiimiesi todellista toimintaa. Aloita tunnistamalla ihmisten todelliset suorittamat tehtävät ja ryhmittele sitten kyseisiin tehtäviin tarvittavat vähimmäistyökaluoikeudet tuen, asiantuntijoiden ja alustan ylläpitäjien rooleihin. Kun roolit vastaavat päivittäistä työtä, insinöörit näkevät, mitä heillä on lupa tehdä, ja tilintarkastajat voivat jäljittää käyttöoikeudet selkeään liiketoimintatarkoitukseen.

Yleinen MSP-työkalujen malli voi olla:

tukirooleissa, jotka voivat nähdä hälytyksiä, tarkastella tietoja ja suorittaa matalan riskin diagnostiikkaa
asiantuntijaroolit, jotka voivat suorittaa omalla alueellaan edistyneempiä muutoksia, kuten verkon tai varmuuskopioiden hallintaa
alustan järjestelmänvalvojan roolit, jotka konfiguroivat itse työkaluja, kuten RMM-asetukset, skriptikirjastot ja integroinnin identiteetintarjoajien kanssa

Kun määrität rooleja, keskity seuraaviin asioihin:

mitä tehtäviä kunkin roolin on suoritettava
mitä työkaluja ja toimia näiden tehtävien suorittamiseen todella tarvitaan
mikä voi mennä pieleen, jos roolia käytetään väärin

Insinöörien ei pitäisi joutua arvailemaan, saavatko he suorittaa tietyn toiminnon; roolimallin tulisi tehdä se ilmeiseksi. Auditoijien tulisi pystyä näkemään selkeä yhteys "työtehtävän" ja "työkalun suorituskyvyn" välillä löytämättä selittämättömiä poikkeuksia.

Just-in-time-laajennuksen toteuttaminen palvelutasosopimuksia lopettamatta

Just-in-time-käyttöoikeuksien laajennus antaa insinööreille tilapäisiä lisäoikeuksia, jotka liittyvät tiketteihin tai muutoksiin, ja poistaa ne automaattisesti työn valmistuttua. Tämä tarkoittaa, että tehokkaat käyttöoikeudet ovat käytettävissä vain tarvittaessa ja ne on aina liitetty selkeään liiketoimintatarkoitukseen. Hallittujen palveluntarjoajien kannalta tämä on yksi tehokkaimmista tavoista pienentää hyökkäyspinta-alaa hidastamatta palvelua.

MSP-ympäristössä just-in-time-käyttö voidaan toteuttaa seuraavasti:

vaatimalla insinöörejä luomaan tukipyynnön tai linkittämään siihen tai muuttamaan tietuetta, kun tarvitaan laajennettuja oikeuksia
käyttämällä identiteetintarjoajaasi tai etuoikeutettujen käyttöoikeuksien työkaluja myöntääksesi korkeamman käyttöoikeusroolin vain määrätyksi ajaksi
varmistamalla, että korotettu istunto kirjataan yksityiskohtaisemmin, mukaan lukien kuka hyväksyi korotuksen ja miksi

Palvelutasojen ylläpitämiseksi voit:

määrittää ennalta yleisiä käyttöoikeusskenaarioita, kuten suunniteltuja korjausjaksoja tai säännöllisiä huoltotehtäviä, vakiohyväksyntäpoluilla
mahdollistavat nopeat hyväksynnät tapahtumien aikana, edellyttäen tapahtuman jälkeistä tarkastelua raskaan ennakkokeskustelun sijaan
seurata kuinka kauan korotetut roolit pysyvät aktiivisina ja säätää aikarajoituksia todellisten käyttötapojen perusteella

Tavoitteena on lyhentää aikaa, jolloin tehokkaita apuohjelmia voidaan käyttää, mutta jokaisesta toimenpiteestä ei tule byrokraattista toimintaa. Kun voit osoittaa tilintarkastajille ja asiakkaille, että riskialttiita valtuuksia on saatavilla vain tarvittaessa ja ne ovat aina sidoksissa tukipyyntöön ja hyväksyjään, vahvistat A.8.18-kerrostasi merkittävästi.

Istuntojen tallentamisen ajankohdan ja tavan tunteminen

Riskialttiimpien istuntojen tallentaminen antaa sinulle vahvoja todisteita ja tehokkaita rikostutkintatyökaluja, jos jokin menee pieleen. Istuntojen tallentaminen voi tuntua tunkeilevalta, jos sitä ei käsitellä huolellisesti, mutta se on yksi tehokkaimmista tavoista osoittaa etuoikeutettujen apuohjelmien hallinta ja tutkia epäiltyjä väärinkäytöksiä. Kaiken tallentamisen sijaan voit omaksua riskiperusteisen lähestymistavan ja keskittyä toimintaan, jolla on suurin potentiaalinen vaikutus.

Voit esimerkiksi päättää tallentaa tai tallentaa yksityiskohtaisia toimintalokeja seuraavista:

korkeimpien käyttöoikeuksien alaisuudessa suoritetut toimenpiteet
vuokralaisten väliset toiminnot, kuten ohjelmistojen massakäyttöönotot tai globaalit kokoonpanomuutokset
hätätoimenpiteet, joissa tavanomaisia hyväksyntöjä ei voitu saada etukäteen

Kun otat käyttöön äänityksen, sinun tulee:

olla avoin henkilökunnalle siitä, mitä tallennetaan, miksi ja miten tietoja käytetään
varmistaa, että tallenteet ja lokit säilytetään turvallisesti ja että niihin pääsyä rajoitetaan
Sisällytä tallennettujen istuntojen tarkastelu etuoikeutettujen apuohjelmien valvontaprosesseihisi

Auditoinnissa on erittäin tärkeää osoittaa, että korkean riskin toiminta on havaittavissa ja että olet käyttänyt tätä näkyvyyttä oppimiseen ja parantamiseen. Se myös vakuuttaa asiakkaille, että otat työkalujesi tehon vakavasti etkä luota pelkästään luottamukseen.

ISMS.online tukee yli 100 standardia ja sääntöä, mikä tarjoaa sinulle yhden alustan kaikkiin vaatimustenmukaisuustarpeisiisi.

Varaa esittelysi

Etuoikeutettujen työkalulokien muuttaminen A.8.18-todisteiksi ja asiakasvarmuudeksi

Muuttamalla etuoikeutettujen työkalulokien tiedot jäsennellyiksi todisteiksi voit todistaa A.8.18:n käytännössä sen sijaan, että vain kuvailisit sitä paperilla. Kontrollin kannalta kyse ei ole pelkästään hyvien kontrollien suunnittelusta, vaan myös kyvystä osoittaa, että kyseiset kontrollit ovat olemassa ja toimivat. Tällä on merkitystä paitsi ISO 27001 -auditoijallesi, myös asiakkaiden tietoturvatiimeille ja vakuutusyhtiöille, jotka haluavat varmuuden siitä, että etuoikeutetut laitoksesi ovat todellisessa kontrollissa. Sen sijaan, että lokeja käsiteltäisiin rikosteknisenä jälkihuomiona, voit päättää, mitä kerätä, miten ne tiivistetään ja miten ne esitetään auditoijille ja asiakkaille. Pieni, hyvin ylläpidetty todistepaketti, joka on rakennettu oikeista lokitiedoista, voi muuttaa kerroksesi "luota meihin" -kertomuksesta konkreettiseksi osoitukseksi kontrollin toteutumisesta.

Jos jätät lokit hajalleen työkaluihin ja haet ne vasta, kun jokin menee pieleen, menetät tilaisuuden osoittaa johdonmukaista ja ennakoivaa valvontaa. Etuoikeutettujen työkalulokien käsitteleminen osana A.8.18:n keskeistä todistusaineistoa muuttaa keskustelun auditoijien ja asiakkaiden kanssa "luota meihin" -tilasta "anna meidän näyttää sinulle" -tilaan.

A.8.18:n vähimmäistodistusaineisto

Kohdennettu todistusaineisto A.8.18-standardille on vakuuttavampi kuin raakalokien vienti auditoijalle. Pyri yhdistämään käytäntöasiakirjat, luettelo etuoikeutetuista sähköyhtiöistä omistajineen ja riskitasoineen, roolimääritelmät ja esimerkkikäyttöoikeuksien hyväksynnästä muutamaan lokiotteeseen. Jos näistä otoksista käy selvästi ilmi, kuka teki mitä, milloin ja kenen valvonnassa, saat vastauksen useimpiin auditoijien ja asiakkaiden todennäköisesti esittämiin kysymyksiin.

Vuoden 2025 ISMS.online-kyselyssä noin 41 % organisaatioista nimesi kolmansien osapuolten riskien hallinnan ja toimittajien vaatimustenmukaisuuden seurannan yhdeksi suurimmista tietoturvahaasteistaan.

Käytännön todisteet MSP:lle (A.8.18) sisältävät yleensä:

selkeä käytäntö tai standardi, joka kuvaa, miten etuoikeutetut apuohjelmat määritellään ja hallitaan
luettelo kyseisistä yleishyödykkeistä, omistajuus ja riskitaso mukaan lukien
roolimääritelmät ja käyttöoikeussäännöt RMM:lle, PSA-hallinnolle, varmuuskopiokonsoleille ja vastaaville työkaluille
käyttöoikeushyväksyntöjen tai juuri oikeaan aikaan tapahtuvan käyttöoikeuden hallinnan tiedot korkean riskin toimissa
edustavat lokit tai raportit, jotka osoittavat, miten näitä työkaluja on käytetty tietyn ajanjakson aikana, mukaan lukien kuka teki mitä ja milloin

Sinun ei tarvitse hukuttaa tilintarkastajia raakadataan. Muutama huolellisesti valittu esimerkki, jotka vastaavat dokumentoitua prosessiasi, on paljon vakuuttavampi kuin kaiken jäsentämätön vienti. Ajan myötä voit laajentaa tätä pakettia, mutta jopa tällainen perustietopaketti, ajan tasalla pidettynä, riittää pitkälle.

Lokien luettavuuden parantaminen johtajille ja asiakkaille

Etuoikeutettujen työkalujen lokien yhteenvedot ja trendit auttavat johtajia ja asiakkaita näkemään, että hallitset tehokkaita käyttöoikeuksia, etkä vain reagoi väärinkäytöksiin. Raakalokit kirjoitetaan koneille ja asiantuntijoille. Johdon arviointien ja asiakkaan tuntemisvelvollisuuden tukemiseksi sinun on todennäköisesti luotava ihmisille luettavia yhteenvetoja, jotka osoittavat, miten hallintasi toimivat ajan kuluessa.

Se voi sisältää:

kuukausittaiset tai neljännesvuosittaiset raportit, joissa luetellaan keskeiset mittarit, kuten kuinka monella henkilöllä on kutakin etuoikeutettua roolia, kuinka monta laajennusta tapahtui ja kuinka monta epätavallista tapahtumaa havaittiin ja ratkaistiin
lyhyitä kertomuksia, jotka kuvaavat, miten otos etuoikeutetuista toimista eteni tiketistä hyväksyntään, työkaluun ja valmistumiseen
yksinkertaisia visualisointeja tai taulukoita, jotka näyttävät etuoikeutettujen käyttöoikeuksien käytön trendejä, kuten jaettujen tilien vähenemistä tai just-in-time-mallien käyttöönoton lisääntymistä

Kun johto näkee nopeasti, että etuoikeutettuja apuohjelmia käytetään hallitusti, keskustelut lisäinvestoinneista ja -parannuksista helpottuvat. Asiakkaiden on myös helpompi luottaa sinuun, kun pystyt selittämään valvonnasi selkeällä kielellä ja oikean datan avulla.

Vahvan näytön käyttäminen myynti- ja varmennusvalttina

Vahva A.8.18-todisteet voivat erottaa sinut kilpailijoista näyttämällä asiakkaille tarkalleen, miten hallitset tehokkaimpia työkalujasi. Asiakkaat näkevät yhä useammin hallittujen palveluntarjoajien (MSP) osana omaa riskipintaansa. Riippumattomat arvioinnit hallittujen palveluntarjoajien riskeistä, kuten SecurityScorecardin MSP-tietoturvariskien analyysi, kuvaavat MSP:t nimenomaisesti osina asiakkaidensa hyökkäyspintaa, mikä vahvistaa tätä trendiä. Kun pystyt osoittamaan kypsän hallinnan etuoikeutettujen apuohjelmien yli, erotut kilpailijoista, jotka luottavat epämääräisiin vakuutuksiin ja yleisiin käytäntöasiakirjoihin. Toimittajat, jotka tarjoavat ISO 27001 -valvonta- ja lokikirjaustyökaluja, esimerkiksi oppaissa, jotka käsittelevät valvontatietojen käyttöä sertifioinnin ja tarjouskilpailujen tukena, korostavat myös, kuinka selkeät ja hyvin jäsennellyt todisteet voivat vahvistaa asemaasi tietoturvakyselyissä ja myyntikeskusteluissa.

Vuoden 2025 ISMS.online-kyselyn mukaan asiakkaat odottavat yhä useammin toimittajiltaan virallisten tietoturva- ja yksityisyysstandardien, kuten ISO 27001:n, ISO 27701:n, GDPR:n, Cyber Essentialsin, SOC 2:n ja uusien tekoälystandardien, noudattamista.

You Can:

vastaa turvallisuuskyselyihin nopeammin ja luottavaisemmin hyödyntämällä olemassa olevaa todistusaineistoasi
Tuo myynti- tai uusimiskeskusteluihin anonymisoituja esimerkkejä etuoikeutetuista käyttöoikeusraporteista osoittaaksesi, miten suojaat asiakasympäristöjä
vastaa due diligence -pyyntöihin jakamalla jäsenneltyjä kuvauksia A.8.18-toteutuksestasi sen sijaan, että yrittäisit kerätä kuvakaappauksia.

Ajan myötä tämä läpinäkyvyys rakentaa luottamusta ja voi olla ratkaiseva tekijä, kun suuremmat tai säännellymmät asiakkaat valitsevat palveluntarjoajia. Etuoikeutettu sähkön jakelun hallinta lakkaa olemasta kiusallinen aihe ja siitä tulee todiste, johon voi nojata. Kun tämä todistusaineisto kartoitetaan ja ylläpidetään jäsennellyn tietoturvan hallintajärjestelmän sisällä, sen valmistelusta eri yleisöille tulee rutiinitehtävä eikä pelkkä tulipaloharjoitus.

Varaa esittely ISMS.onlinesta jo tänään

ISMS.online auttaa sinua muuttamaan etuoikeutetut työkalukontrollisi, riskisi ja todisteesi yhdeksi, yhtenäiseksi A.8.18-kerrokseksi, joka on helppo selittää tilintarkastajille ja asiakkaille. Kuvakaappausten ja laskentataulukoiden jahtaamisen sijaan voit dokumentoida työkalut, omistajat, käytännöt ja lokit yhdessä ympäristössä, joka tukee tarkastuksia, auditointeja ja jatkuvaa parantamista. Lyhyt, tutkiva demo voi auttaa sinua näkemään, miten nykyiset käytäntösi vastaavat ISO 27001 -standardia ja sopiiko keskitetty alusta organisaatiollesi.

Näe A.8.18-kerroksesi yhdessä paikassa

A.8.18-kerroksen näkeminen yhdessä paikassa helpottaa huomattavasti keskusteluja tilintarkastajien ja asiakkaiden kanssa. Kun voit osoittaa, mitkä työkalut ovat etuoikeutettuja, kuka ne omistaa, mihin riskeihin ja kontrolleihin ne liittyvät ja mitkä todisteet todistavat tämän, siirrytään pois improvisoiduista selityksistä. Rakenteinen ISMS-näkymä auttaa myös havaitsemaan aukot aikaisemmin, koska työkalujen, riskien ja kontrollien väliset suhteet ovat näkyvissä eivätkä piilossa sähköpostiketjuissa.

ISMS.online-työkalun avulla voit määritellä, mikä lasketaan etuoikeutetuksi työkaluksi, tallentaa kunkin työkalun omistajan, linkittää sen tiettyihin riskeihin ja kontrolleihin sekä liittää käytännöt, menettelyt ja todisteet, jotka osoittavat, miten sitä hallinnoidaan. Kun tilintarkastaja tai asiakas kysyy, miten täytät A.8.18-vaatimuksen, voit käydä läpi kyseisen rakenteen sen sijaan, että etsisit kansioita, laskentataulukoita ja konsolin kuvakaappauksia. Sama rakenne tukee myös asiaankuuluvia hallintakeinoja käyttöoikeuksien hallinnassa, lokinnuksessa ja valvonnassa, joten työsi kasaantuu pirstaloitumisen sijaan.

Paineesta huolimatta lähes kaikki vuoden 2025 ISMS.online-kyselyyn vastanneet listasivat tärkeimmäksi prioriteetikseen tietoturvasertifikaattien, kuten ISO 27001- tai SOC 2 -standardin, hankkimisen tai ylläpitämisen.

Aloita pienestä yhdellä kriittisellä työkalulla

Aloittamalla riskialttiimmalla työkalulla voit saada vauhtia ylikuormittamatta tiimiäsi. Käytännöllinen ensimmäinen askel on valita ensisijainen RMM-alustasi ja mallintaa sen A.8.18-kerros ISMS.online-palvelussa. Tämä tarkoittaa:

lisäämällä sen etuoikeutettujen apuohjelmien inventaarioosi
siihen pääsyä edellyttävien roolien kirjaaminen ja näiden roolien hyväksymis- ja tarkistustavan kirjaaminen
asiaankuuluvien skriptien, käsikirjojen ja menettelytapojen linkittäminen
edustavien lokien tai raporttien liittäminen todisteeksi

Kun näet, että kokonaiskuvan pitäminen yhdessä paikassa on hyödyllistä, voit ottaa käyttöön PSA-hallinnan, varmuuskopiokonsolit ja pilviportaalit kapasiteettiisi sopivalla tahdilla. Säilytät muutoksen vauhdin hallinnan ja samalla vähennät tasaisesti sitä mahdollisuutta, että etuoikeutettu työkalu jää huomiotta.

Kasva A.8.18:sta täysimittaiseksi liitteen A ohjelmaksi

Etuoikeutetut apuohjelmat ovat luonnollinen lähtökohta, koska riski on niin näkyvä, mutta liite A kattaa monia muita MSP:ille tärkeitä osa-alueita, tapaustenhallinnasta toimittajien turvallisuuteen. ISMS.online sisältää valmiita kehyksiä ja työnkulkuja, joita voit mukauttaa kontekstiisi, joten samasta ympäristöstä, jossa A.8.18-työsi sijaitsee, voi vähitellen tulla koko tietoturvallisuuden hallintajärjestelmäsi koti. Tällä tavoin jokainen parannus, jonka teet etuoikeutettujen työkalujen vahvistamiseen, vahvistaa myös yleistä vaatimustenmukaisuustilannettasi ja asiakkaidesi luottamusta sinuun.

Kaksi kolmasosaa organisaatioista vuonna 2025 tehdyssä ISMS.online State of Information Security -tutkimuksessa sanoi, että sääntelymuutosten nopeus ja määrä vaikeuttavat vaatimustenmukaisuuden ylläpitämistä.

Jos haluat siirtyä hajanaisista kontrolleista ja ad hoc -todistuksista jäsenneltyyn ja elävään tietoturvan hallintajärjestelmään (ISMS), joka osoittaa tarkalleen, miten suojaat ja hallitset tehokkaimpia työkalujasi, ISMS.online on suunniteltu tukemaan sinua. Valitse ISMS.online, kun haluat MSP:si osoittavan selkeän ja uskottavan hallinnan etuoikeutettuihin apuohjelmiisi ja kun arvostat nopeampia auditointeja, vahvempaa asiakastakuuta ja yhtä kokonaisuutta riskienhallinnastasi. Jos haluat nähdä, miten nykyiset käytäntösi vastaavat standardia, lyhyt demo voi auttaa sinua päättämään, onko keskitetty alusta, kuten ISMS.online, oikea seuraava askel organisaatiollesi.

Varaa demo

Usein Kysytyt Kysymykset

Miten ISO 27001:2022 A.8.18 -standardi todellisuudessa muuttaa MSP:n päivittäistä työtä?

ISO 27001:2022 A.8.18 muuttaa tehokkaimmat MSP-työkalusi hallituiksi resursseiksi, joilla on selkeät omistajuus-, käyttöoikeussäännöt ja todisteet sen sijaan, että käyttäisit "mitä tahansa insinöörit sattuvatkin käyttämään asioiden tekemiseen". Käytännössä se pakottaa sinut osoittamaan yksinkertaisella ja toistettavalla tavalla, mikä kukin etuoikeutettu työkalu on, kuka voi käyttää sitä, miten sitä käytetään ja miten käyttöä valvotaan.

Miltä A.8.18 näyttää todellisissa MSP-työnkuluissa?

Tyypillisessä hallinnoitujen palveluiden tarjoajassa vahva A.8.18-yhteensopivuus näkyy seuraavasti:

Pieni, ylläpidetty luettelo tehokkaista työkaluista:

Tiivis luettelo riskinhallintajärjestelmistä (RMM), PSA-hallinta-alueista, BDR-konsoleista, hypervisoreista, pilvi- ja identiteettiportaaleista omistajineen, sijainteineen ja riskiluokkineen.

”Etuoikeutetun hyödyllisyyden” yritystason määritelmä:

Jotain, minkä insinöörit tunnistavat välittömästi, kuten: "Mikä tahansa konsoli tai työkalu, joka voi ohittaa normaalit hyväksynnät tai tehdä muutoksia useissa laitteissa, vuokralaisissa tai palveluissa yhdellä toiminnolla."

Vain nimetty, roolipohjainen käyttöoikeus:

Ei jaettuja ”järjestelmänvalvojan” tilejä, monitoimitunnistusta noudatetaan kaikkialla ja päivittäiset roolit ja harvinaiset ”lasin rikkomisoikeudet” on erotettu toisistaan selkeästi.

Tiketteihin ja muutoksiin liittyvät hyväksynnät:

Suurivaikuttavat toiminnot – globaalit komentosarjat, vuokralaisen laajuiset käytäntömuutokset, varmuuskopioiden poistaminen käytöstä – linkitetään aina tikettiin tai muutostietueeseen, jolla on yksiselitteinen päätös.

Jäljitettäviä näytteitä pyynnöstä:

Jos tilintarkastaja tai asiakas viittaa äskettäiseen muutokseen, voit ohjata heidät käytännöstä tikettiin ja sieltä konsolilokiin muutamalla napsautuksella.

Kun voit siirtyä sujuvasti paikasta toiseen työkalujen inventaarion käytäntömuotoilu, jotta suunnittelusta voidaan päästä käsiksi todelliseen lokimerkintäänEt enää kiistele A.8.18:n tulkinnoista. Osoitat yksinkertaisesti, että etuoikeutettuja apuohjelmia ymmärretään, hallitaan ja valvotaan. ISMS.online auttaa sinua pitämään kyseisen tason yhdessä paikassa – käytännöt, rekisterit, roolit, riskit ja arvioinnit – joten sinun ei tarvitse rakentaa sitä uudelleen tyhjästä joka kerta, kun joku tarkistaa, miten ajat pinoasi.

Mitä nykyaikaisessa hallintaohjelmassa pitäisi pitää "etuoikeutettuna apuohjelmana" vanhanaikaisten hallintatyökalujen lisäksi?

”Etuoikeutettu apuohjelma” on mikä tahansa työkalu, jonka avulla voit ohittaa normaalit tarkistukset tai toimia epätavallisen laaja-alaisesti, vaikka se ei näyttäisikään perinteiseltä järjestelmäapuohjelmalta. Järjestelmänvalvojan palvelimella (MSP) se yleensä tarkoittaa hallintatasot ja automaatiomoottorit, ei vain komentorivityökaluja yksittäisillä palvelimilla.

Mitkä MSP-työkalut yleensä kuuluvat A.8.18-kohdan piiriin, ja miten vältät hallitsemattoman luettelon?

Useimmat palveluntarjoajat käsittelevät seuraavia A.8.18:n soveltamisalaan kuuluvina:

RMM-alustat ja automaatiomoottorit:

Mikä tahansa, mikä voi skriptata, ottaa käyttöön tai määrittää uudelleen useissa päätepisteissä tai vuokralaisissa.

PSA-hallinta- ja integraatiokeskukset:

Alueet, jotka voivat laukaista muutoksia muissa järjestelmissä tai muuttaa tikettien, hyväksyntöjen tai ilmoitusten toimintaa.

Varmuuskopiointi- ja DR-konsolit:

Liitännät, jotka voivat poistaa varmuuskopioita, säätää säilytystä, muokata aikatauluja tai muuttaa salausasetuksia.

Hypervisor ja verkonhallintatyökalut:

Virtualisoinnin, palomuurien, kytkimien ja SD-WAN-verkkojen hallintatasot, jotka voivat muuttaa ydininfrastruktuuria yhdellä siirrolla.

Pilvi- ja identiteettiportaalit:

Azure, Microsoft 365, AWS, Google Cloud, Okta, Entra ID ja vastaavat, joissa tehdään koko vuokralaista koskevia ja vuokralaisten välisiä muutoksia.

Jaetut komentotulkit ja usean käyttäjän komentosarjojen isännät:

Hyppypalvelimet, bastion-isännät tai skriptien suorituspalvelimet, jotka antavat insinööreille laajan tavoittavuuden eri kiinteistöissä.

Tämän hallitsemiseksi monet MSP:t ottavat käyttöön porrastettu malli jonka he voivat selittää yhdellä dialla:

eläin	Vaikutusalue	Tyypillisiä esimerkkejä
1	Usean vuokralaisen / usean asiakkaan / ydininfrastruktuuri	RMM-konsolit, hypervisorit, pilvi ja identiteetti
2	Yksittäinen vuokralainen, mutta suuri vaikutus	Asiakkaan palomuurit, varmuuskopiokonsolit, PSA-hallinta
3	Paikallinen tai kapea-alainen, mutta silti herkkä	Palvelimen hallintatyökalut, hyppyisännät, avaintenhallinta

Käytät tiukimmat käyttöoikeus-, lokikirjaus- ja hyväksyntäsäännöt tasolle 1, vankan valvonnan tasolle 2 ja oikeasuhtaiset suojatoimet tasolle 3. Näiden tasojen, omistajien ja perustelujen kirjaaminen tietoturvanhallintajärjestelmään auttaa insinöörejä ymmärtämään, miksi jotkut työkalut tuntuvat "raskaammilta" käyttää, ja tilintarkastajat näkevät, että etuoikeutettujen työkalujen määritelmäsi on harkittu eikä mielivaltainen.

Miten A.8.18 voidaan upottaa RMM-, PSA- ja etäkäyttötyönkulkuihin hidastamatta insinöörejä tai menettämättä palvelutasosopimuksia?

A.8.18 sopii hyvin silloin, kun etuoikeutettujen työkalujen päätökset sopivat luonnollisesti tiimiesi jo olemassa oleviin tiketteihin, muutoksiin ja tapahtumavirtoihin. Kun sitä käsitellään erillisenä tarkistuslistana, se usein jätetään huomiotta, kunnes kalenteriin on merkitty tarkastus.

Mitkä käyttöoikeustilat pitävät etuoikeutetut työkalut turvassa mutta silti käytännöllisinä?

Malli, joka toimii monille MSP:ille, on määritellä kolme käyttötapaa ja kytke ne olemassa olevien järjestelmiesi kautta:

Normaalitila:

Päivittäinen diagnostiikka ja vähäriskinen työ rajoitettujen roolien ja ennalta hyväksyttyjen käsikirjojen alaisuudessa – ei lisähyväksyntöjä tarvita. Ihmiset voivat saada asioita tehtyä yhden käyttäjän tai laitteen puolesta ilman, että prosessiin törmätään.

Korotettu tila:

Suunnitellut, vaikuttavammat toimet – maailmanlaajuiset käytäntöjen käyttöönotot, laajat ohjelmistokehityshankkeet, palomuurimuutokset – joissa oikeuksia tarkastellaan juuri ajoissa tiketistä tai muutostietueesta ja palautetaan sitten automaattisesti.

Hätätila:

Kiireelliset toimenpiteet tapahtuman aikana, jossa tarkoituksella tingit jostakin prosessista nopeuden vuoksi tiiviissä luotetun henkilöstön alaisuudessa, ja kompensoit ne sitten kattavammalla lokikirjauksella, tarkastelulla ja siivoamisella hätätilanteen päätyttyä.

Kun olet hahmotellut muutamia yleisiä työnkulkuja – esimerkiksi uuden asiakkaan perehdyttäminen, kriittiseen hälytykseen vastaaminen tai merkittävän päivityksen käyttöönotto – tulee selväksi, missä etuoikeutetut apuohjelmat sijaitsevat. Näissä vaiheissa sinä:

Vaaditaan voimassa oleva lippu tai vaihtoraha.
Esitä erityisiä korotettuja rooleja pysyvien järjestelmänvalvojien sijaan.
Ota käyttöön parannettu lokikirjaus tai erittäin riskialttiiden polkujen tapauksessa istunnon tallennus.

Insinöörit toimivat edelleen nopeasti, koska hyväksynnät ja käyttöoikeudet ovat osa heidän jo käyttämiään järjestelmiä, eivätkä erillisiä portaaleja ja laskentataulukoita. Samaan aikaan jokainen merkittävä etuoikeutetun apuohjelman käyttö jättää jäljen, joka on helppo selittää. ISMS.online tukee tätä mallia tallentamalla menettelytavat, roolimallit ja arviointiaikataulut näiden prosessien takana, jotta dokumentaatiosi ja työkalusi eivät ajaudu erilleen ajan myötä.

Minkälaisen koventamisperustason sinun tulisi asettaa etuoikeutetuille työkaluille ennen kuin kutsut A.8.18-kontrolliasi uskottaviksi?

Jos RMM-järjestelmäsi, varmuuskopiokonsolisi ja pilviportaalisi on suojattu vain kevyesti, yksikään tilintarkastaja ei ole vakuuttunut siististä käytännöstä. Ennen kuin A.8.18 tuntuu vankalta, tarvitset tekninen vähimmäisstandardi joka koskee kaikkia etuoikeutettuja apuohjelmiasi.

Mitkä tekniset kontrollit vähentävät riskiä nopeasti ja eniten?

Jokaiselle etuoikeutetulle työkalulle sinun tulisi pystyä osoittamaan ilman metsästystä, että:

Monivaiheinen todennus on pakollinen kaikille järjestelmänvalvojan käyttöoikeuksille:

Ihannetapauksessa keskitetyn identiteetintarjoajan kautta, ehdollisen käyttöoikeuden käytäntöjen tai IP-rajoitusten avulla altistumisen vähentämiseksi.

Nimettyjä, roolipohjaisia tilejä käytetään tosielämän työssä:

Jaetut ”ylläpitäjän” kirjautumiset on poistettu käytöstä, ja oikeudet on ryhmitelty rooleihin, jotka heijastavat todellisia vastuita epämääräisten ”pääkäyttäjä”-tunnisteiden sijaan.

Hallintatasot ovat suojattuja avoimelta internetiltä:

Pääsy on rajoitettu hallintaverkkoihin, VPN-verkkoihin tai hyppypalvelimiin, ja käyttäjien ja järjestelmänvalvojien käyttöoikeudet on erotettu toisistaan selkeästi.

Konfiguraatio on vahvistettu ja sitä pidetään muutosten hallinnassa:

Oletusasetukset poistetaan, käyttämättömät palvelut poistetaan käytöstä, toimittajan suositukset otetaan käyttöön ja kaikki merkittävät asetusmuutokset yhdenmukaistetaan muutostietueiden kanssa.

Hallinta-, määritys- ja todennuslokit on keskitetty:

Tapahtumat siirtyvät lokitietoihin perustuvaan alustaan tai SIEM-järjestelmään, jossa on sovittu säilytysaika ja ymmärrys siitä, kuka niitä tarkastelee ja milloin.

Kokoonpanojen varmuuskopiot ovat olemassa, ne ovat salattuja ja testattuja:

Voit palauttaa tai peruuttaa konsolin ja ydininfrastruktuurin asetukset nopeasti, jos teet virheen tai tietoturva vaarantuu.

Monille MSP:ille tämä on tiukka, aikataulutettu kohotusprojekti valtavan ohjelman sijaan: valitse tason 1 työkalut, täytä aukot lyhyen tarkistuslistan avulla ja siirrä sitten tämä perustaso vähitellen tasoille 2 ja 3. Tavoitetilan, omistajien ja tarkistustiheyden dokumentointi ISMS.online-palvelussa muuttaa kertaluonteiset parannukset eläväksi standardiksi, jota voit esitellä asiakkaille ja auditoijille aina, kun he kysyvät, miten etuoikeutetut apuohjelmasi on suojattu.

Kuinka RBAC, just-in-time-tason nosto ja istuntojen valvonta todistavat, että A.8.18 toimii tukahduttamatta tiimejäsi?

Roolipohjainen käyttöoikeuksien hallinta, väliaikainen käyttöoikeuksien korottaminen ja kohdennettu istuntojen valvonta antavat sinulle keinon rajoittaa, kuka voi käyttää etuoikeutettuja apuohjelmia, millä ehdoilla ja millä tarkkuudella, muuttamatta päivittäistä tukea jatkuvaksi pääsypyyntöjen sarjaksi.

Miten voit suunnitella käyttöoikeusmallin, jota insinöörit kunnioittavat sen sijaan, että yrittäisivät reitittää sen ympäri?

Käytännöllisellä ja hyväksytyllä mallilla on yleensä muutamia yhteisiä piirteitä:

Roolit vastaavat oikeita työtehtäviä, eivät abstrakteja nimikkeitä:

Erotat roolit palvelupisteelle, eskalointi-insinööreille, alustaspesialisteille ja vuokralaisten ylläpitäjille ja yhdistät nämä roolit johdonmukaisesti RMM-, PSA-, varmuuskopiointi- ja pilviportaaleihisi.

Hyvin harvat aina päällä olevat korkean käyttöoikeuden tilit:

Pysyvät ”superylläpitäjän” roolit on rajoitettu pienelle määrälle alustan omistajia, ja niillä on tiukempi valvonta ja useammin tapahtuvat tarkastukset.

Korkeus on aikaan sidottu ja sidottu työhön, ei ihmisiin:

Insinöörit pyytävät lisäoikeuksia tiketin tai muutoksen yhteydessä, saavat tarvitsemansa oikeudet kyseiseen tehtävään tai määriteltyyn ikkunaan ja palaavat sitten automaattisesti normaalille tasolleen.

Lisäseurantaa aidosti riskialttiilla poluilla:

Vuokralaisten väliset muokkaukset, massaautomaatio ja hätätilanteiden lasinmurto-ongelmat sisältävät laajempia lokeja, hälytyksiä tai tallenteita, jotta voit tutkia tapahtunutta luottavaisin mielin jälkikäteen.

Rutiinitoiminnot – yksittäisen käyttäjän ongelman korjaaminen, yksinkertaisen kokoonpanomuutoksen tekeminen sovitun toimintasuunnitelman mukaisesti – kuuluvat alemman käyttöoikeuden rooleihin eivätkä vaadi erityiskäsittelyä. Tämä pitää vasteajat kurissa ja osoittaa silti asiakkaille ja auditoijille, että Etuoikeutettujen työkalujen korkean riskin funktiot ovat sekä rajoitettuja että näkyviäISMS.online auttaa sinua säilyttämään taustalla olevan käyttöoikeussuunnittelun, riskianalyysin ja tarkastelemaan näyttöä, jotta mallisi ei ole vain "jotain, jonka uskomme toimivan", vaan jotain, jonka voit osoittaa ja puolustaa.

Mitä todisteita sinulla tulisi olla käsilläsi osoittaaksesi asiakkaille ja auditoijille, että A.8.18 on todella hallinnassa?

Tilintarkastajat, kybervakuutusyhtiöt ja suuremmat asiakkaat haluavat nähdä, että lähestymistapasi etuoikeutettuihin sähköyhtiöihin on tarkoituksellinen, johdonmukainen ja osoitettavissa oleva, ei jotain, joka on kirjoitettu edellisenä iltana arviointia varten. Tavoitteena on tiivis kokoelma artefakteja, jotka maalaavat kokonaiskuvan hukuttamatta ketään raakalokitiedostojen vientiin.

Mikä laiha todistusaineisto kertoo selkeän ja vakuuttavan A.8.18-kerroksen?

Sinun pitäisi pystyä tuottamaan nopeasti ja rauhallisesti:

Lyhyt käytäntömääritelmä ja luettelo etuoikeutetuista apuohjelmista:

Sivu, joka määrittelee, mitä "etuoikeutettu hyötypalvelu" tarkoittaa organisaatiossasi, ja sitä tukeva rekisteri, jossa luetellaan työkalut, omistajat, sijainnit ja riskitasot.

Roolikuvaukset ja käyttöoikeussäännöt tärkeimmille alustoille:

Yksinkertaiset roolinarratiivit ja käyttöoikeusmatriisit RMM:lle, PSA-hallinta-alueille, varmuuskopiokonsoleille, hypervisoreille, pilvi- ja identiteettiportaaleille.

Muutamia toimivia esimerkkejä laajennetuista käyttöoikeuksista:

Viimeaikaiset tiketit tai muutostietueet, jotka osoittavat pyynnön, hyväksynnän, ajallisesti rajoitetun käyttöoikeuden laajuuden työkalussa ja vastaavat merkinnät työkalun lokeissa.

Etuoikeutettujen ominaisuuksien käyttö- ja tarkistustietueet:

Säännölliset raportit tai otteet, joissa on yhteenveto siitä, kuinka usein vaikuttavia ominaisuuksia käytetään, kuka niitä käyttää ja mitkä ovat mahdollisten tutkimusten tai hienosäätöjen tulokset.

Tarkista muistiinpanot tai kokouspöytäkirjat säännöllisiä tarkistuksia varten:

Todiste siitä, että tarkastelet säännöllisesti inventaariota, rooleja ja toimintaa, muutat niitä tarvittaessa ja kirjaat päätökset.

Tämän materiaalin pitäminen yhdessä tietoturvajärjestelmässäsi sen sijaan, että se leviäisi sähköpostiketjuihin ja yksittäisille kannettaville tietokoneille, tarkoittaa, että voit käsitellä ulkoista kuulustelua rutiinitoimintana pikemminkin kuin kiirehtimisenä. ISMS.online on suunniteltu säilyttämään määritelmän, inventaarion, omistajuuden, riskikontekstin ja tukevan todistusaineiston yhdessä ympäristössä, joten kun joku kysyy, miten täytät ISO 27001:2022 A.8.18 -standardin, voit vastata rauhallisesti ja johdonmukaisesti sen sijaan, että kiirehtisit kokoamaan sellaisen paineen alla.

A.8.18 Etuoikeutettujen apuohjelmien käyttö – MSP-työkalujen kovettumat ja rajoitukset