A hozzáférés-menedzsment általános szabályai mintaszakaszok

A hozzáférés-menedzsment általános szabályai. A hozzáférési jogosultságok megállapításának alapját az érintett munkavállaló tevékenységi és munkaköri leírásában rögzített szerepköre, külsős beszállítók és karbantartók alkalmazottai esetében a vonatkozó szerződésben leírt feladat ellátásához szükséges és indokolt adathozzáférési igény képezi. Ennek során érvényesíteni kell azt a – biztonságpolitikában lefektetett – követelményt, hogy a munkavállaló és külsős munkavállaló csak a munkájához feltétlenül szükséges adatokhoz és csak a szükséges időtartamban férhessen hozzá. Fokozott védelemben kell részesíteni a minősített (pl.: üzleti titkot képező adatokat feldolgozó, vagy személyes adatokat kezelő, feldolgozó) informatikai rendszereket. A Társaság informatikai rendszeréhez való hozzáférés kizárólag AD (Active Directory) címtár felhasználásával történhet. Külső fél minden esetben csak a Biztonsági Igazgatóság engedélyével kerülhet felvételre az AD rendszerbe. Az AD kezelését a mindenkori informatikai szolgáltató végzi, és az Informatika szervezet felügyeli. Az egyes alkalmazások biztonsági feltételeit úgy kell kialakítani, hogy a hozzáférési jogosultságok érvényesítése, az adatkezelés eseményeinek nyomon követhetősége és személyi felelősséghez köthetősége garantálható legyen. A hozzáférési jogosultságokra vonatkozó elképzelést már a rendszer tervezésének időszakában, a biztonsági osztálynak megfelelő követelményszinten ki kell alakítani. Az informatikai rendszerrel dolgozó minden munkatárs a védelmi rendszertervben konkrétan meghatározott szerepkörbe sorolandó, és megkapja a szerepkörre meghatározott hozzáférési jogokat. A munkaköröktől történő eltérést a tervezés során a projekt vezetőjének, az üzemeltetés során pedig az üzleti tulajdonosnak kell meghatározni és az információbiztonsági koordinátorral egyeztetni. A jogosultságokban bekövetkezett változásokat mindig az adott rendszer Rendszerszintű Informatikai Biztonsági Szabályzatának megfelelően kell végrehajtani. A felhasználó-azonosítónak minden esetben egyedinek kell lennie, akár az AD, akár egy felhasználói rendszerről van szó (azaz semmilyen körülmények között sem adható ki különböző felhasználók részére megegyező azonosító). A felhasználói azonosítók és jogosultságok rendszerében bekövetkezett mindennemű változást (az ellenőrizhetőség érdekében) minden rendszerben külön-külön naplózni kell. Az adott felhasználói rendszerhez kiadott rendszeradminisztrátori, felhasználói rendszergazda azonosítókat és jelszavakat lezárt, lepecsételt borítékban, bizto...