Beheerswerkstroom voor IT-naleving

End-to-end voorbeeld: RBAC-handhavingscontrole

Volg hoe Sarah, een nalevingsbeheerder, een op rollen gebaseerde toegangscontrole (RBAC) maakt en beheert die voldoet aan het beleid voor de vereisten van Minste machtigingen, het beleid voor gegevenstoegang van de organisatie afdwingt en het risico van toegang met te veel machtigingen verkleint.

Fase 1: Controle en procedure definiëren

Sarah begint met het maken van een nalevingsprocedure met de naam Productietoegangsbeheer. Deze procedure groepeert alle besturingselementen met betrekking tot het beheer van toegangsrechten in productiesystemen.

Tijdens deze procedure maakt ze een nalevingscontrole met de naam RBAC-handhavingscontrole. Het doel van de controle is te controleren of alle gebruikers van productiesystemen op rollen gebaseerde toegangsrechten hebben die zijn afgestemd op hun functie en of geen enkele gebruiker toegang tot klantgegevens met te veel rechten heeft.

Sarah maakt een RBAC-afdwingingscontrole (v1.0) voor nalevingscontroleversie en documenteert het bereik, de frequentie (driemaandelijks) en het verwachte bewijs van de controle (screenshots van IAM-roltoewijzingen, CSV-exports van toewijzingen van gebruiker naar rol).

Fase 2: Controle toewijzen aan regelgeving, polissen en bedrijfsprocessen

Sarah wijst de controleversie toe aan de records die deze afdwingt en beschermt. Ze gebruikt kruispuntrecords om traceerbare koppelingen te maken:

• Toewijzing van regelgeving: Ze koppelt de besturingsversie aan het beleid voor de regelgevingsclausule Logische en fysieke toegang met behulp van een record Versie van nalevingsbeheer van regelgevingsclausule. Deze toewijzing bewijst dat de besturing voldoet aan de externe regelgeving.
• Beleidstoewijzing: Ze koppelt de controleversie aan de beleidsclausule Gegevenstoegang (RBAC with Minst Privilege) met behulp van een record Versiebeheer nalevingsbeleidsclausule. Deze toewijzing toont dat de controle het interne beleid afdwingt.
• Toewijzing van bedrijfsprocessen: Ze koppelt de besturingsversie aan het bedrijfsproces van Klantgegevensverwerking met behulp van een record Versie van Controle over naleving van bedrijfsproces. Deze toewijzing toont dat het besturingselement de kernwerkstroom voor klantgegevens van de organisatie beschermt.
• Activumtoewijzing: Ze koppelt de controleversie aan de productie-AWS-accounts die worden bijgehouden als activa in de CMDB. Met deze toewijzing kunnen activumeigenaars zien welke nalevingsverplichtingen van toepassing zijn op hun systemen.

Fase 3: De controle koppelen aan de risico's die deze vermindert

Sarah heeft al een nalevingsrisico geregistreerd met de naam Overbevoorrechte toegang tot klantgegevens. Dit risico beschrijft de dreiging dat IT-personeel ongeoorloofde toegang tot klantgegevens kan krijgen vanwege buitensporige machtigingen. Nu koppelt ze de RBAC Enforcement Check aan dit risico om te laten zien hoe de controle de ernst van het risico vermindert.

Ze maakt een record Risico van nalevingscontroleversie die de controleversie koppelt aan het risico. Ze kent een effectiviteitsbeoordeling van 80% effectief toe, wat aangeeft dat wanneer de controle correct werkt, de impact van het risico met 80% wordt verminderd.

Als de inherente risicoscore 12 is (gemiddelde waarschijnlijkheid × grote impact) en de effectiviteit van de controle 80% is, wordt het restrisico:

Residual Risk = 12 × (1 - 0.80) = 2.4 (Low)

Uit deze berekening blijkt dat de RBAC-regeling een aanzienlijke risicovermindering oplevert. Als de controle later mislukt voor een test, daalt de effectiviteitsbeoordeling naar 0% en wordt het resterende risico teruggebracht naar het inherente risiconiveau van 12, waardoor waarschuwingen en herstelwerkstromen worden geactiveerd.

Fase 4: Nalevingstests definiëren en uitvoeren

Sarah maakt een nalevingstest met de naam Driemaandelijkse RBAC-audit.

Ze koppelt de test aan de besturingsversie met behulp van een record Versietest voor nalevingscontrole. Ze plant dat de test elk kwartaal wordt uitgevoerd, met de eerste uitvoering op 31 maart 2024.

Wanneer de test wordt uitgevoerd, maakt het systeem een record Testuitvoering van nalevingscontroleversie met het resultaat Geslaagd. De uitvoeringsrecord legt deze details vast:

• Datum en tijd van uitvoering
• Resultaat geslaagd/mislukt
• Verzameld bewijs (screenshots van IAM-rollen, CSV-export van toewijzingen van gebruiker naar rol)
• Naam tester (indien handmatig) of ID van geautomatiseerd testscript (indien geautomatiseerd)
• Observaties en notities

Omdat de test is geslaagd, blijft de beoordeling van de effectiviteit van de controle 80% en blijft de restrisicoscore 2,4 (laag). Het nalevingsteam heeft er alle vertrouwen in dat de controle werkt zoals bedoeld.

Fase 5: Besturingselementen Feed in gegevensverzameling

Tijdens een beoordeling van een nalevingscontrole maakt David, de manager van het auditprogramma, een Bewijsverzoek met de naam Productie-RBAC-configuratiebewijs. Hij koppelt het bewijsverzoek aan de controleversie van de RBAC-handhavingscontrole om te tonen welke beveiliging wordt gecontroleerd.

James, de Bewijsvervuller, verzamelt het vereiste bewijs en dient een Bewijsvoorwerp in dat het volgende omvat:

• Screenshots van IAM-rolconfiguraties
• CSV-export van toewijzingen van gebruiker naar rol
• Screenshots van MFA-afdwingingsinstellingen

Wanneer de nalevingsbeoordelaar het artefact accepteert, wordt het onmiddellijk vergrendeld, waardoor de bewaringsketen voor externe auditors behouden blijft. Het artefact wordt teruggekoppeld naar de controleversie, waardoor er een traceerbare verbinding ontstaat tussen de vereiste van de regelgeving via de controle en het geverifieerde bewijs dat aantoont dat de controle werkt.

Fase 6: Remediëring via triggers voor mislukkingen controleren

In het tweede kwartaal wordt de RBAC-test voor het kwartaal opnieuw uitgevoerd. Dit keer is het resultaat Mislukt. De test heeft aangetoond dat drie gebruikers in het IT Operations-team beheerrechten hebben die hun functievereisten overschrijden.

Op het moment dat de test mislukt, gebeuren er automatisch verschillende dingen.

• Omdat de test van het besturingselement is mislukt, wordt de effectiviteitsbeoordeling opnieuw ingesteld op 0%.
• De engine voor bedrijfsregels berekent het restrisico opnieuw. Bij een effectiviteit van 0% van de beheersing gaat het restrisico terug naar het inherente risiconiveau: Residual Risk = 12 × (1 - 0.00) = 12 (High). Het risiconiveau verspringt van Laag naar Hoog.
• Een agent voor achtergrondbewaking detecteert de fout in de besturing en maakt een Conformiteitsbevinding.
• Maria, de risico-eigenaar voor Overbevoorrechte toegang, ontvangt een waarschuwing dat de restrisicoscore is gestegen van 2,4 naar 12.

Sarah converteert de bevinding naar een nalevingsprobleem met de naam Overbevoorrechte toegangsrechten gedetecteerd in IT Ops Team. Ze koppelt de kwestie aan de controleversie, het risico, de regelgevingsclausule en de polisclausule. Ze past een kant-en-klare actieplansjabloon voor herstel toe, die taken omvat om gebruikerstoegangsrechten te beoordelen, buitensporige machtigingen in te trekken en de controletest opnieuw uit te voeren.

Maria en haar team voltooien het herstelwerk. Ze trekken de buitensporige machtigingen in en voeren de RBAC-test opnieuw uit. Het resultaat is: Geslaagd. De beoordeling van de effectiviteit van de controle wordt hersteld naar 80% en de restrisicoscore daalt terug naar 2,4 (laag). Het nalevingsprobleem wordt afgesloten met bewijs van herstel.

Fase 7: Doorlopende evolutie van bewaking en controle

Sarah configureert een agent voor achtergrondbewaking om te letten op wijzigingen in de productieomgeving voor toegangscontrole. De agent luistert naar:

• Nieuwe gebruikers toegevoegd aan productiesystemen
• Wijzigingen in IAM-roltoewijzingen
• Updates van MFA-afdwingingsbeleid
• Mislukte tests controleren

Wanneer de agent een relevante wijziging detecteert, activeert deze automatisch een nieuwe risicobeoordeling en informeert deze de risico-eigenaar. Als de wijziging een potentiële zwakke plek in de controle vertegenwoordigt, kan de agent een proactieve bevinding maken voordat de driemaandelijkse test wordt uitgevoerd.

Zes maanden later wordt de nalevingsvereiste gewijzigd zodat continue bewaking in plaats van driemaandelijkse keuringen vereist is. Sarah kloont de controleversie om v2.0 te maken, werkt de testfrequentie bij van driemaandelijks naar maandelijks en trekt v1.0 in. De nieuwe versie neemt alle toewijzingen aan regelgeving, polissen, risico's, bedrijfsprocessen en activa over van v1.0, waarbij het controletraject behouden blijft en wordt aangepast aan nieuwe vereisten.