Əsas fikir
Hər giriş üçün sahib və məqsəd müəyyən edin. İcazəni təsdiqlənən rol üzrə verin, müntəzəm nəzərdən keçirin və ehtiyac bitəndə vaxtında ləğv edin.
Kimlik həyat dövrünü müəyyən edin
İşçi, podratçı, xidmət və fövqəladə hesabların necə yaradıldığını, kim tərəfindən təsdiqləndiyini və hansı məlumat sistemində əsas qeydin saxlandığını müəyyən edin. İşə qəbulda yalnız təsdiqlənmiş rolun tələb etdiyi girişləri verin; şöbə və vəzifə dəyişəndə əvvəlki hüquqları da nəzərdən keçirin. Müqavilə və ya iş bitəndə hesabı bağlamaq, tokenləri ləğv etmək və açarları döndərmək üçün sahib və vaxt hədəfi təyin edin. Həyat dövrü avtomatlaşdırılması sahiblik və istisna nəzarətini əvəz etmir. Deaktivləşmə və token ləğvindən sonra hər bağlı tətbiqdə girişin faktiki dayandığını yoxlayın; dərhal ləğv dəstəklənmirsə, qalan sessiyanın bitmə vaxtını qeyd edin.
Girişləri gücləndirin və səlahiyyəti məhdudlaşdırın
E-poçt, uzaqdan giriş, idarəetmə panelləri və həssas məlumat sistemləri üçün MFA tələb edin. Administratorlar və yüksək riskli sistemlərdə fişinqə davamlı üsula üstünlük verin; zəif MFA-nı tam qorunma kimi təqdim etməyin. RBAC və ya uyğun atribut qaydaları ilə girişi vəzifəyə görə verin, geniş qruplardan və paylaşılmış istifadəçi hesablarından qaçın. Xidmətlərin bir-birinə verdiyi icazələri də insan hesabları kimi məhdudlaşdırın və saxlanmış sirrləri idarə edin.
Nəzərdən keçirin və audit izi saxlayın
Hər həssas sistem üçün biznes sahibini, məlumat sinfini, təsdiq edən şəxsi və girişə baxış intervalını göstərin. İstifadə olunmayan hüquqları, müvəqqəti istisnaları, rol toqquşmalarını və ziddiyyətli səlahiyyətləri tapmaq üçün periodik yoxlama aparın. Dəyişiklik, təsdiq, giriş və ləğv hadisələrini dəyişdirilməyə davamlı mərkəzi jurnala ötürün. Yalnız log yığmaq yetərli deyil: kim xəbərdarlığı araşdırır, nə qədər saxlanır və necə eskalasiya olunur, bunu əvvəlcədən müəyyən edin.
Təsdiqləri və audit sübutlarını saxlayın
Giriş qərarını sorğu edən şəxs, resurs sahibi və təsdiqlənən rol arasında izlənə bilən əlaqə ilə saxlayın. Həssas məlumat üçün girişin məqsədini, təsdiq tarixini, son baxışını və müddətini qeyd edin; dəyişiklikdən sonra qrup və tətbiq icazələrinin həqiqətən yeniləndiyini yoxlayın. Jurnal və hesabatlar auditə kömək edir, lakin təşkilatın öhdəliklərini, nəzarət sınağını və hüquqi qiymətləndirməni əvəz etmir. İstisnaya sahib və bitmə tarixi verin.
Parol və sirrləri düzgün saxlayın
Parol yoxlayıcısı və sonradan oxunmalı sirr fərqli saxlanma tələb edir. Hər istifadə üçün saxlanma üsulunu və əməliyyat nəzarətini seçin. İstifadəçi parollarını açıq mətn və ya geri çevrilən şifrələmə ilə saxlamayın; parol yoxlanması üçün qəsdən yavaş hash alqoritmi seçin və hesablama çətinliyini mühitə uyğun tənzimləyin.
| Etimadnamə istifadəsi | Saxlanma üsulu | Əməliyyat yoxlaması |
|---|---|---|
| İstifadəçi parolunun yoxlanması | Unikal salt və uyğun parol hash-i | Alqoritm və hesablama çətinliyi |
| Oxuna bilən xidmət/API sirri | Şifrələnmiş idarə olunan sirr anbarı | Minimal oxuma icazəsi, audit və rotasiya |
| Əməkdaş parolları | Təsdiqlənmiş idarə olunan parol meneceri | Unikal parollar, güclü seyf girişi və bərpa |