ทบทวนและรับรองสิทธิ์พิเศษอีกครั้ง

กระบวนการ

ทำตามลำดับนี้

1. กำหนดขอบเขตการทบทวน บทบาทพิเศษ ระบบ ช่วงทบทวน แหล่งตัวตนที่เป็นทางการ ผู้อนุมัติ และข้อกำหนดหลักฐาน
2. ส่งออกผู้ใช้ กลุ่ม บัญชีบริการ การกำหนดบทบาท สมาชิกซ้อน กิจกรรมล่าสุด ความแข็งของการยืนยันตัวตน และสถานะบัญชีจากระบบที่ได้รับอนุญาต
3. กระทบยอดการกำหนดกับสถานะ HR หรือผู้รับเหมา ความเป็นเจ้าของระบบ บทบาทงาน คำขอที่อนุมัติ กฎแยกหน้าที่ และขั้นตอนเข้าถึงฉุกเฉิน
4. ทำเครื่องหมายสิทธิ์กำพร้า นิ่ง ใช้ร่วม ซ้ำ ยืนยาว กำหนดจากภายนอก หรือยืนยันตัวตนอ่อน แล้วตรวจผลการค้นพบกับเจ้าของ
5. ให้ผู้จัดการและเจ้าของระบบที่รับผิดชอบรับรอง ลด จำกัดเวลา หรือเพิกถอนแต่ละข้อยกเว้นผ่านกระบวนการเปลี่ยนแปลงที่อนุมัติ
6. ตรวจการเปลี่ยนแปลงโดยตรงในระบบต้นทาง เก็บการตัดสินใจของผู้ทบทวนและเวลาประทับ และยกระดับการรับรองที่เลยกำหนด
7. รายงานความครอบคลุมและข้อยกเว้น แล้วนัดทบทวนครั้งถัดไป และทำให้การเก็บหลักฐานซ้ำอัตโนมัติเมื่อปลอดภัย

เตรียมสิ่งนี้

ข้อมูลที่แมวจะขอ

• ขอบเขตระบบและบทบาทพิเศษ
• การส่งออกตัวตนและการเข้าถึง หรือสิทธิ API อ่านอย่างเดียว
• รายชื่อบุคลากรที่เป็นทางการ
• นโยบายการอนุมัติและการแยกหน้าที่

เราเตอร์ + playbook เดียว

จัดเส้นทางก่อน เลือกอันเดียว

Cat Paw โหลด playbook เดียวต่องาน ไม่ผสมหลายอัน เริ่มที่เราเตอร์นี้ เส้นทางที่เหลือเป็นตัวเลือกเฉพาะ workflow

• เราเตอร์: cybersecurity-pack
• skills/cybersecurity-skills/performing-privileged-account-access-review/SKILL.md
• skills/cybersecurity-skills/performing-access-review-and-certification/SKILL.md

เสร็จหมายถึง

จุดจบที่ตรวจได้

ทุกการกำหนดสิทธิ์พิเศษในขอบเขตถูกรับรองหรือถอดแล้ว ข้อยกเว้นทั้งหมดมีการอนุมัติจากผู้รับผิดชอบและวันหมดอายุ และการเปลี่ยนแปลงถูกตรวจในแต่ละระบบต้นทาง

แหล่งที่มา

กระบวนการนี้มาจากไหน

1. csrc.nist.gov/pubs/sp/800/53/r5/upd1/final
2. csrc.nist.gov/files/pubs/sp/800/53/a/r5/final/docs/sp800-53ar5-assessment-procedures.txt

แหล่งที่มาตั้งรูปแบบของ workflow โพสต์ Reddit และชุมชน ถ้ามี ให้ถือเป็นเรื่องเล่าจากผู้ปฏิบัติ ไม่ใช่ข้อเท็จจริงสากล