Съответствието с управлението на идентичността и достъпа (IAM compliance) е практиката за демонстриране, че контролите за идентичност и достъп са не просто документирани, но и действително се прилагат при потребители, приложения, инфраструктура и нечовешки идентичности. Това ръководство обяснява какво изисква съответствието с IAM, кои разпоредби са от значение и как организациите преминават от периодични прегледи на достъпа към непрекъснато, подкрепено с доказателства верифициране, на което одиторите могат да се доверят.

Разбиране на съответствието с IAM и защо то е важно

Управлението на идентичността и достъпа (IAM) определя кой достъпва определени ресурси, при какви условия и за колко време. Съответствието с IAM измерва дали тези решения за достъп съответстват на вашите декларирани политики и регулаторни задължения, както и дали можете да представите доказателства в подкрепа на това.

Критичната разлика е между намерението на политиката и изпълнението в реално време. IAM платформите описват как трябва да работи достъпът. Приложенията и инфраструктурата разкриват как достъпът действително работи. Разликата между двете е мястото, където се появяват пропуски в съответствието, неуправляван достъп и неочаквани изненади при одити.

Голяма част от това несъответствие съществува в т.нар. „тъмна материя на идентичността“: акаунти, права и потоци на автентификация, които остават извън централизираната видимост на IAM. Едно тримесечно преразглеждане на достъпа може да премине успешно на хартия, докато пропуска локални за приложенията акаунти, идентификационни данни за услуги или наследени системи, които никога не са били напълно интегрирани с вашия доставчик на идентичности (identity provider).

Защо съответствието на ниво политика не е достатъчно

Документираните контроли удовлетворяват искането на одитора само докато някой не поиска доказателство за тяхното прилагане. Разгледайте следните често срещани пропуски в доказателствата:

  • Предполагаемо покритие: Платформите за управление често приемат, че приложенията спазват централната политика, вместо да го проверят във всяка конкретна система.
  • Ненаблюдавано изпълнение: Дневниците на доставчика на идентичности показват събития за автентификация, но рядко разкриват какво се случва в самите приложения след вход.
  • Конфигурация срещу реалност: Политиката за минимални привилегии може да съществува в писмен вид, докато дадено приложение все още предоставя постоянни права на администратор на локално ниво.

Зрялото съответствие с IAM затваря тези пропуски, като проверява внедряването, а не само дизайна. Това е от ключово значение за предефиниране на управлението на идентичността и достъпа около потвърденото прилагане, а не предполагаемото покритие.

Ключови изисквания за съответствие и разпоредби в IAM

Изискванията за съответствие с IAM рядко идват от един източник. Те се натрупват от разпоредби, браншови стандарти и вътрешни стандарти за управление, като всеки изразява подобни принципи за контрол на достъпа на различен език. Разбирането на категориите ви помага да съпоставите контролите веднъж и да удовлетворите множество задължения.

Различни видове рамки за съответствие с IAM

Задълженията за съответствие с IAM се разделят на познати групи. Всяка от тях акцентира върху контрола на достъпа, автентификацията и отчетността, но доказателствата, които изискват, варират.

Общи регулаторни рамки и рамки за контрол
  • SOX ITGCs: Общи ИТ контроли за предоставяне на достъп, управление на промените и привилегирован достъп, фокусирани върху целостта на системите за финансова отчетност съгласно Закона Сарбейнс-Оксли (Sarbanes-Oxley Act).
  • PCI DSS v4.0: Изисквания 7, 8 и 10 уреждат ограничаването на достъпа, силата на автентификацията и регистрирането (logging) около данни на картодържатели.
  • Правило за сигурност на HIPAA: Технически защитни мерки, изискващи контроли на достъпа и одитни механизми за електронна защитена здравна информация.
  • ISO/IEC 27001:2022: Контроли за достъп и управление на идентичността в Приложение А (Annex A) в рамките на сертифицирана система за управление на сигурността на информацията.
  • NIST SP 800-53: Семейства от контроли за контрол на достъпа (AC), идентификация и автентификация (IA), и одит и отчетност (AU), използвани във федералните и корпоративните програми на САЩ.
  • GDPR: Принципи за защита на данните, включително сигурността на обработването съгласно член 32, които подпомагат управлението на достъпа и ограниченото обработване.

Съпоставянето на IAM контролите към тези рамки веднъж, а след това повторното използване на доказателствата, обикновено е по-устойчив подход, отколкото разглеждането на всеки одит като отделно упражнение.

Основни изисквания за контрол на достъпа и управление на идентичността

В тези рамки се повтаря последователен набор от очаквания за контрол на достъпа. Одиторите искат доказателство, че тези контроли наистина работят, а не само че са описани в политиките. Повтарящата се тема е проверката: един контрол е съвместим само тогава, когато можете да демонстрирате функциите му в системите, които го прилагат.

Повтарящи се очаквания за контрол на достъпа
  • Минимални привилегии: Потребителите и идентичностите притежават само достъпа, който се изисква за ролята им, като излишните права са премахнати.
  • Разделение на задълженията: Конфликтните отговорности са разделени, така че нито една идентичност не може да завърши чувствителна трансакция сама.
  • Сертифициране на достъпа: Собствениците периодично преглеждат и потвърждават кой има достъп и защо.
  • Управление на привилегирования достъп: Разширените права се одобряват, ограничават се във времето и се наблюдават.
  • Контрол на жизнения цикъл: Достъпът се предоставя, променя и отнема в съответствие със събитията по постъпване, преместване и напускане на служители.
Одитни пътеки, поверителност на данните и запазване на доказателства

Рамките за съответствие последователно изискват записи, които да възстановят действията с достъпа...