TRUST-IT · Δημοσίευση
ΣΥΝΟΨΗ ΑΠΟΦΑΣΗΣ
Τι πρέπει να τεκμηριώνει η αξιολόγηση
- Χαρτογραφήστε εξουσιοδοτήσεις και ανάκτηση πρόσβασης ανά πρόσωπο, οντότητα και πάροχο.
- Επαληθεύστε ουσιώδη μέτρα με εξουσιοδοτημένες δοκιμές και χρονολογημένα στοιχεία.
- Ζητήστε υπευθύνους ενεργειών, ελέγξιμα κριτήρια αποδοχής και εμπιστευτική παράδοση.
Ορίστε το πεδίο γύρω από πρόσωπα και εξουσιοδοτήσεις
Ξεκινήστε από τις προτεραιότητες του εντολέα: αποτροπή απάτης πληρωμών, προστασία ιδιωτικότητας, διατήρηση πρόσβασης στα ταξίδια ή ουσιαστική εποπτεία εξωτερικών παρόχων πληροφορικής. Καταγράψτε τις νομικές οντότητες, κατοικίες, υποδομές γραφείου και συμβούλους που περιλαμβάνονται. Ένα γραφείο που εξυπηρετεί μία οικογένεια έχει διαφορετικές ανάγκες διαχωρισμού και κοινοποίησης από ένα γραφείο πολλών οικογενειών. Τα όρια ανά πελάτη πρέπει να είναι σαφή.
Καταγράψτε τον ιδιοκτήτη, τον διαχειριστή και τον υπεύθυνο ανάκτησης κάθε λογαριασμού. Συχνά είναι διαφορετικά πρόσωπα. Διαχωρίστε προσωπικούς και εταιρικούς λογαριασμούς από πλατφόρμες τραπεζών, θεματοφυλάκων ή συμβούλων. Εξασφαλίστε εξουσιοδότηση του αρμόδιου ιδιοκτήτη πριν από τεχνικές δοκιμές. Η συνεργασία με το γραφείο δεν εξουσιοδοτεί αυτόματα πρόσβαση σε ιδιωτική συσκευή μέλους της οικογένειας ή σε σύστημα τρίτου.
Εντοπίστε προνομιακή πρόσβαση και εξαρτήσεις ανάκτησης
Απογράψτε κύριο email, διαχείριση κωδικών, καταχώριση domain, διαχειριστές cloud και εξαρτήσεις από αριθμούς κινητών. Εξετάστε ενεργές συνδέσεις, εκχωρημένα γραμματοκιβώτια, κανόνες προώθησης, άδειες εφαρμογών και ρόλους διαχειριστή, κατά προτίμηση με περιορισμένες εξαγωγές μόνο για ανάγνωση. Καταγράψτε τον πληθυσμό που ελέγχθηκε και τον χρόνο συλλογής. Ένα στιγμιότυπο προστατευμένου λογαριασμού δεν αποδεικνύει κάλυψη ολόκληρου του γραφείου.
Δοκιμάστε συμφωνημένες διαδικασίες ανάκτησης με δοκιμαστικούς λογαριασμούς ή υπό επίβλεψη. Ελέγξτε αν η απώλεια κινητού αντιμετωπίζεται χωρίς εξάρτηση από ανεξέλεγκτο email ή προσωπικό αριθμό βοηθού. Εξετάστε εφεδρικά κλειδιά ταυτοποίησης, υπευθύνους έκτακτης πρόσβασης και ανάκληση δικαιωμάτων μετά από αλλαγές προσωπικού. Η επιτυχής δοκιμή πρέπει να δείχνει ότι το εξουσιοδοτημένο πρόσωπο ανέκτησε πρόσβαση και ότι η παλιά πρόσβαση καταργήθηκε.
Από το εμπιστευτικό αντικείμενο στην επαληθευμένη βελτίωση
- ΠεδίοΠρόσωπα, οντότητες, συστήματα και εξουσιοδότηση
- ΧαρτογράφησηΠρόσβαση, εγκρίσεις και ανάκτηση
- ΕπαλήθευσηΤεκμήρια και ελεγχόμενες ασκήσεις
- ΠροτεραιότητεςΕπίπτωση, αβεβαιότητα και υπεύθυνοι
- ΕπανέλεγχοςΕπιβεβαίωση κριτηρίων αποδοχής
Εξετάστε τις πληρωμές ως αλληλουχία αποφάσεων
Χαρτογραφήστε τη διαδρομή από την εντολή προμηθευτή έως την καταχώριση δικαιούχου, την έγκριση και την τραπεζική εκτέλεση. Εντοπίστε πού ένα παραβιασμένο email, αλλαγμένος αριθμός τηλεφώνου ή επείγον φωνητικό μήνυμα μπορεί να επηρεάσει την απόφαση. Ελέγξτε αν οι αλλαγές δικαιούχου επιβεβαιώνονται από ήδη έμπιστο κανάλι, με κατάλληλο διαχωρισμό προετοιμασίας και έγκρισης.
Μια άσκηση επί χάρτου μπορεί να χρησιμοποιήσει υποθετικό αίτημα αλλαγής χωρίς πραγματική πληρωμή. Καταγράψτε αν η ομάδα αναγνωρίζει την αλλαγή, χρησιμοποιεί την εγκεκριμένη πηγή τηλεφωνικής επιβεβαίωσης και κλιμακώνει ασυμφωνίες. Διατηρήστε μόνο τα στοιχεία που χρειάζονται για την απόδειξη του ελέγχου. Πραγματικοί αριθμοί λογαριασμών, διαπιστευτήρια και οικογενειακά οικονομικά αρχεία δεν ανήκουν σε γενική αναφορά αξιολόγησης.
Ελέγξτε συσκευές, συμβούλους και ευαίσθητες πληροφορίες
Συμφωνήστε την απογραφή συσκευών με την κάλυψη διαχείρισης και προστασίας, συμπεριλαμβάνοντας συσκευές ταξιδιών και εγκεκριμένη πρόσβαση από προσωπικό εξοπλισμό. Εξετάστε δειγματοληπτικά κρυπτογράφηση, ενημερώσεις, κλείδωμα, τοπικά προνόμια και διαδικασία απώλειας. Ελέγξτε κοινόχρηστους συνδέσμους, πρόσβαση συμβούλων και διατήρηση εγγράφων. Η αναφορά διασφάλισης ενός εξωτερικού συμβούλου πρέπει να αξιολογείται σε σχέση με την πραγματική υπηρεσία και πρόσβασή του.
Καταγράψτε εξαιρέσεις αντί να επιβάλλετε ενιαίες εταιρικές ρυθμίσεις σε κάθε οικιακή δραστηριότητα. Όταν δεν επιτρέπεται αξιολόγηση ιδιωτικής συσκευής, εξηγήστε τι παραμένει άγνωστο και ποια αντισταθμιστικά μέτρα είναι εφικτά. Επαληθεύστε την κατάργηση πρόσβασης πρώην συμβούλου σε ομάδες, φακέλους, εκχωρημένα email και ενεργές συνδέσεις, εντός της εξουσιοδότησης.
Πίνακας ελέγχου που συνδέει μέτρα και τεκμήρια
| Περιοχή | Στοιχεία προς εξέταση | Έλεγχος αποδοχής |
|---|---|---|
| Ταυτότητες και ανάκτηση | Απογραφή λογαριασμών και διαχειριστών, εξαρτήσεις ανάκτησης, χρονολογημένες εξαγωγές πρόσβασης. | Δειγματοληπτική ανάκτηση και ανάκληση σε εξουσιοδοτημένους λογαριασμούς, με καταγεγραμμένες εξαιρέσεις. |
| Πληρωμές | Χάρτης εγκρίσεων, διαδικασία αλλαγής δικαιούχου, ανωνυμοποιημένα στοιχεία άσκησης. | Η προσομοιωμένη αλλαγή δεν προχωρά χωρίς τη συμφωνημένη ανεξάρτητη επιβεβαίωση. |
| Πρόσβαση συμβούλων | Κατάλογος πρόσβασης, κοινόχρηστοι πόροι, συμβατικό αντικείμενο και αρχείο αποχώρησης. | Η επιλεγμένη ληγμένη πρόσβαση καταργείται και επαληθεύεται στα σχετικά συστήματα. |
| Συσκευές και συνέχεια | Συμφωνία απογραφής και κάλυψης, εξαιρέσεις, επιβλεπόμενη άσκηση επαναφοράς ή απώλειας. | Τα επιλεγμένα αρχεία χρησιμοποιούνται μετά την επαναφορά, με σαφείς υπευθύνους και κενά. |
Αποδείξτε την ανάκτηση χωρίς διατάραξη της λειτουργίας
Επιλέξτε ελεγχόμενο σενάριο, όπως απώλεια του κινητού ταξιδιού του εντολέα όταν ο συνήθης βοηθός δεν είναι διαθέσιμος. Ορίστε κανάλι επικοινωνίας, αναπληρωτή εγκρίνοντα, έλεγχο ταυτότητας, θεματοφύλακα έκτακτης πρόσβασης και σειρά ανάκτησης. Χρησιμοποιήστε δοκιμαστικά δεδομένα και συμφωνημένο όριο διακοπής. Ο χρόνος ολοκλήρωσης αποτελεί παρατήρηση της συγκεκριμένης άσκησης, όχι υπόσχεση για κάθε μελλοντικό περιστατικό.
Για επιχειρησιακά αρχεία, ουσιαστική δοκιμή επαναφοράς επιβεβαιώνει αναγνωσιμότητα, δικαιώματα και δυνατότητα συνέχισης της επιλεγμένης διαδικασίας. Η επιτυχής εργασία αντιγράφων ασφαλείας είναι μόνο ένα τεκμήριο. Καταγράψτε εξαρτήσεις που δεν δοκιμάστηκαν, όπως διαθεσιμότητα τράπεζας ή τηλεπικοινωνιακού παρόχου, και αναθέστε το επόμενο βήμα επαλήθευσης.
Μετατρέψτε τα ευρήματα σε αποφάσεις και επανέλεγχο
Ιεραρχήστε ευρήματα βάσει πιθανής βλάβης, έκθεσης, αξιοπιστίας στοιχείων και λειτουργικών εξαρτήσεων. Μια διαδικασία ανάκτησης που ελέγχεται από πρώην εργαζόμενο μπορεί να προηγείται ενός θέματος ρύθμισης μικρής επίπτωσης. Διαχωρίστε επιβεβαιωμένες αδυναμίες, μη ελεγμένες παραδοχές και βελτιώσεις ευχρηστίας που δεν αντιμετωπίζουν ουσιώδη κίνδυνο.
Η παράδοση πρέπει να περιλαμβάνει ενημέρωση διοίκησης, τεχνικό παράρτημα περιορισμένης πρόσβασης, χάρτη αρμοδιοτήτων και μητρώο διορθώσεων. Κάθε ενέργεια χρειάζεται υπεύθυνο, προθεσμία, κριτήριο αποδοχής και μέθοδο επανελέγχου. Συμφωνήστε ασφαλή μεταφορά, διατήρηση και διαγραφή των στοιχείων εργασίας. Ξεκινήστε την εμπιστευτική συζήτηση με περιγραφή του προβλήματος και των συστημάτων. Ευαίσθητα αρχεία ανταλλάσσονται μόνο μέσω συμφωνημένου καναλιού.
Ενδεικτικό σενάριο: μια κρυφή εξάρτηση ανάκτησης
Σε ένα υποθετικό γραφείο, το email του εντολέα έχει ισχυρή ταυτοποίηση, αλλά παλιός εξωτερικός διαχειριστής εξακολουθεί να ελέγχει την καταχώριση domain και το email ανάκτησης. Η αξιολόγηση θα εντόπιζε και θα επαλήθευε την εξάρτηση, θα όριζε ελεγχόμενη μεταβίβαση, θα καταργούσε παλιές συνδέσεις και θα δοκίμαζε την ανάκτηση με τον νέο υπεύθυνο. Πρόκειται για παράδειγμα μεθόδου, όχι για ισχυρισμό σχετικά με πελάτη ή ολοκληρωμένο αποτέλεσμα της TRUST-IT.
Συχνές ερωτήσεις
Είναι το ίδιο με έναν έλεγχο διείσδυσης;
Όχι. Η αξιολόγηση εξετάζει εξουσιοδοτήσεις, διαδικασίες, ρυθμίσεις και ανάκτηση, μαζί με την τεχνική έκθεση. Ένας χωριστά οριοθετημένος έλεγχος διείσδυσης μπορεί να επαληθεύσει επιλεγμένους κινδύνους, αλλά δεν αντικαθιστά την ευρύτερη εξέταση.
Μπορεί να συμμετέχει ο υπάρχων πάροχος πληροφορικής;
Ναι. Συμφωνήστε από κοινού τα στοιχεία και τις αρμοδιότητες. Διαχωρίστε τους ισχυρισμούς του παρόχου από ανεξάρτητες παρατηρήσεις και καταγράψτε συστήματα ή ελέγχους εκτός αντικειμένου.
Θα χρειαστείτε ιδιωτικά οικογενειακά αρχεία;
Αφετηρία είναι μια περιορισμένη απογραφή και το πρόβλημα που σας απασχολεί. Ανωνυμοποιημένα δείγματα και επιβλεπόμενοι έλεγχοι συχνά μειώνουν την κοινοποίηση. Πρόσθετη πρόσβαση, συλλογή και διατήρηση συμφωνούνται πριν από την έναρξη.
Περισσότερες πληροφορίες
Από τη γνώση στην εφαρμογή
Ενισχύστε τη διαχείριση πρόσβασης, τις ασφαλείς επικοινωνίες και την ψηφιακή προστασία οργανισμών και στελεχών.
Ταυτότητα & ασφάλεια στελεχών