الغرض والنطاق
يجب أن يقتصر الوصول إلى NexCommand وبيئات العملاء على الأشخاص والخدمات المصرح لهم بها لغرض محدد. تغطي هذه السياسة الأنظمة المؤسسية، ومستودعات المصدر، والخدمات المستضافة، وتكاملات العملاء، والمعدات الميدانية، وأدوات الدعم، والوصول المادي ذي الصلة بأنظمة المعلومات. وهي تدعم المعتمد سياسة أمن المعلومات دون استبدال متطلبات العملاء المحددة.
يجب أن يكون لكل نظام مالك مسؤول يخضع للمساءلة، يتولى الموافقة على قواعد الوصول والمراجعة الدورية. يجب على الموارد البشرية أو الجهة الراعية للعقد الإبلاغ عن حالات الانضمام، وتغيير الأدوار، والمغادرة. تقوم إدارة تكنولوجيا المعلومات بتنفيذ التغييرات المصرح بها؛ ويتحقق المديرون من الحاجة العملياتية؛ وتراجع إدارة الأمن عمليات الوصول ذات المخاطر العالية. يظل المستخدمون مسؤولين عن حماية بيانات الاعتماد والإبلاغ عن أي إساءة استخدام مشتبه بها.
دورة حياة الهوية والترخيص
استخدم هويات فريدة من نوعها حيثما كان ذلك ممكنًا تقنيًا وحظر الحسابات المشتركة غير الموافق عليها. يجب أن تحدد طلبات الوصول الفرد أو الخدمة ، والمالك الراعي ، والدور المطلوب ، ونطاق المعلومات ، والغرض والمدة. التحقق من الهوية والترخيص قبل توفير. منح الحد الأدنى من الأذونات اللازمة والواجبات غير المتوافقة المنفصلة حيث تتطلبها المخاطر أو العقد.
تتطلب تغييرات الأدوار مراجعة الأذونات القديمة وكذلك الوصول الجديد. تتطلب المغادرة والعقود المنتهية الصلاحية والسلطة الملغاة تعطيلًا فوريًا في إطار عملية موثقة وإلحاح قائم على المخاطر. قم بإلغاء الجلسات النشطة والرموز وحقوق الوصول عن بُعد وبيانات الاعتماد المادية عند الاقتضاء. احتفظ بسجلات العمل الضرورية دون ترك وصول المستخدم السابق نشطًا. يجب ألا تنتظر عمليات الإزالة الطارئة دورة مراجعة روتينية.
المصادقة وبيانات الاعتماد
تتطلب المصادقة المناسبة لمخاطر النظام والمتطلبات المعمول بها ، بما في ذلك MFA للوصول المتميز والبعيد كخط الأساس. يفضل أساليب أقوى مقاومة للتصيد الاحتيالي حيثما كان ذلك ممكنًا ومطلوبًا. يجب أن تقاوم إجراءات كلمة المرور والاسترداد والتسجيل إعادة الضبط غير المصرح به وإعادة استخدام بيانات الاعتماد والهندسة الاجتماعية. لا تقم بتخزين الأسرار في شفرة المصدر أو المستندات العامة أو مطالبات الذكاء الاصطناعي أو الدردشة المشتركة.
تحديد إجراءات قفل الحساب، والجلسة، والاسترداد، وفقدان الجهاز بما يحافظ على كل من الأمن وإمكانية الوصول القابلة للاستخدام. تسجيل الاستثناءات المعتمدة للأنظمة القديمة مع ضوابط تعويضية وتاريخ انتهاء صلاحية. يجب ألا يتحول العجز المؤقت عن استخدام المصادقة متعددة العوامل (MFA) إلى تجاوز غير محدد المدة. اختبار الاسترداد بحيث لا تعتمد الضوابط الأمنية على فرد واحد أو جهاز واحد.
امتياز ودعم الوصول
عمل المستخدم الروتيني المنفصل عن الإدارة. منح امتياز الوصول فقط إلى الموظفين المختصين المعينين ، والحد من مدته حيثما يكون ذلك عمليًا وتسجيل النشاط الإداري ذي الصلة. مراجعة الارتفاع والدعم عن بعد وحسابات كسر الزجاج والوصول إلى أدوات الأمان. يجب أن يكون الوصول في حالات الطوارئ سببًا مسجلاً وتنشيطًا مصرحًا به ومراجعة بأثر رجعي.
يجب على دعم العملاء استخدام مسار ونطاق الوصول المتفق عليهما. يجب الحصول على تفويض العميل المطلوب، وتقييد عرض البيانات، وإلغاء الوصول المؤقت عند انتهاء المهمة. لا تقم بنسخ بيانات العميل إلى مساحة عمل شخصية من أجل الراحة. يجب ألا يتلقى دعم المورد أو مزود النموذج وصولاً أوسع مما يسمح به العقد والحدود التقنية.
هويات الخدمة والتكامل وأدوات الذكاء الاصطناعي
يجب أن يكون لكل حساب خدمة، وموصل (connector)، ورمز واجهة برمجة تطبيقات (API token)، وهوية أتمتة، مالك، وغرض، ونطاق صلاحيات، ودورة حياة لبيانات الاعتماد. يُفضل استخدام بيانات اعتماد محددة النطاق وتخزين سري مدار. تجنب منح أداة ذكاء اصطناعي أو تكامل حقوق مسؤول لمجرد تبسيط الإعداد. راجع الوجهات الصادرة، وحقول البيانات، وعمليات الكتابة المسموح بها.
فرض أذونات المستخدم النهائي في عمليات الاسترداد وسير العمل. يجب ألا تكشف استجابة النموذج عن بيانات لا يمكن للمستخدم الوصول إليها قانونياً من خلال النظام الأساسي. اختبر تغيير الأدوار، والمستخدمين المحذوفين، وحدود المستأجرين المتعددين (cross-tenant boundaries)، والوصول غير المباشر عبر عمليات التصدير. تتطلب عمليات الكتابة التبعية ضوابط التفويض والموافقة المحددة لسير العمل ذاك.
الاستعراض والرصد والأدلة
يجب على مالكي النظام مراجعة الوصول في فترة مستندة إلى المخاطر موثقة ، مع مراجعة الأنظمة المتميزة والحساسة بشكل متكرر. مقارنة الأذونات الفعلية مع الموظفين الحاليين والأدوار والعقود ؛ إزالة الوصول غير المبرر والتحقق من الانتهاء. مراقبة فشل المصادقة ذات الصلة ، والتغييرات المشبوهة في الارتفاع والحساب ، مع المستجيب المعين.
الاحتفاظ بالطلبات والموافقات وتوفير الأدلة والمراجعات وقرارات الاستثناء والسجلات ذات الصلة. بالنسبة للارتباطات المنظمة ، قم بتعيين العملية وفقًا لخط الأساس المطلوب للمراقبة وأدلة التقييم ؛ السياسة وحدها لا تثبت التنفيذ. انظر NIST التوجيه و تحديد نطاق CMMC.
السجلات والاستثناءات والمراجعة
يجب على مالك الوثيقة الاحتفاظ بالسجلات اللازمة لإثبات التنفيذ: المتطلبات المعمول بها والمسؤوليات المحددة والتدريب والموافقات والاستثناءات والمراجعات والإجراءات التصحيحية. يجب التحكم في الوصول إلى السجلات والاحتفاظ بها بموجب جدول الاحتفاظ المعمول به وحمايتها من التعديل أو التخلص غير المصرح به. تحظى المتطلبات القانونية ومتطلبات الاحتفاظ الخاصة بالعقد بالأسبقية على الحذف الروتيني.
يجب أن يحدد الاستثناء نطاقه، والسبب التجاري، والمخاطر، والتدابير التعويضية، والموافق المسؤول، وتاريخ الانتهاء. يجب الموافقة عليه قبل المضي قدماً في النشاط المتأثر ومراجعته عند تغير الظروف. لا يمكن لأي استثناء أن يصرح بسلوك غير قانوني، أو يزيل التزاماً تعاقدياً، أو يخفي عدم مطابقة. يجب تصعيد القضايا غير المحلولة إلى الإدارة التنفيذية والمستشار المهني ذي الصلة.
يقوم مالك السياسة بمراجعة هذه السياسة سنويًا على الأقل وبعد إجراء تغيير قانوني أو تجاري أو منتج أو حادث. تتطلب المراجعات الموافقة المصرح بها ومراقبة الوثائق. إجراءات الدعم وتعيينات المسؤولية وأدلة التنفيذ هي سجلات خاضعة للرقابة. يجب أن تحدد بيانات الاعتماد أو الامتثال التعاقدي نطاقها والأدلة الداعمة.