Brukertilgangsstyring (UAM) — også kjent som Identitets- og tilgangsstyring (IAM) — er en protokoll som er laget for å sikre at brukere tilkoblet et nettverk har riktig tilgang til nødvendige ressurser innenfor det. Den inneholder prosessene med å tildele, tilbakekalle og oversikte tilgang til verktøy og informasjon til disse brukerne i samsvar med selskapspolicy og loven. Et enkelt mål for UAM kan defineres som: Alle har eller kan enkelt be om tilgang til det de trenger. Ingen har tilgang til det de ikke trenger.

UAM-revisjoner er viktige for sikkerheten til ikke bare bedriften din, men også dine ansatte og kunder.

Å gjennomføre dem regelmessig reduserer risikoen for potensielle trusler mot datasikkerheten din.

Regulering av tilgangsstyring er en nødvendig forebyggende metode mot cyberangrep.

1) Opprett en selskapsomfattende UAM-policy

Første skritt for å sikre tilgang til selskapsinformasjon er å opprette et offisielt retningslinjedokument.

Det burde være unødvendig å si at den nevnte retningslinjen må være i samsvar med myndighetsreguleringer i ditt land.

Når det er gjort, velg en måte å samle inn alles ‘signatur’.

Hvis du foretrekker en penn-og-papir tilnærming, sørg for å skanne dokumentene etterpå.

Å ha en tydelig definert policy på plass vil hjelpe deg:

• Enkelt kartlegge hvilke brukere som trenger tilgang til hva
• Identifisere mulige sikkerhetsfeil i tilgang til bedriftsinformasjon (IA)
• Sørg for at ansatte (eller kunder) blir riktig informert
• Beskjerm selskapet ditt og bidra til å håndheve juridiske tiltak hvis det noensinne er nødvendig

2) Del ansvar mellom ledere

Når retningslinjen er på plass, er det viktig å tildele en kjede av ansvarsområder til tilsvarende ledere.

Afhengig av selskapets størrelse, kan du ønske å dele ansvar til spesifikke personer for ekstra sikkerhet.

Dette kalles prinsippet om oppdeling av oppgaver (SoD).

For eksempel skal lederen for én sektor ikke ha tilgangsrettigheter til en annen sektor, og omvendt, med mindre de går gjennom en riktig forespørselsprosedyre.

Noen tilgangsforespørsler kan gå direkte fra ansatte til IT.

Imidlertid vil det mest sannsynlig være lederens oppgave å be om tilgang på vegne av en ansatt eller forhåndsgodkjenne (signere) det før det havner i IT-innboksen.

Det er ikke IT-ledernes oppgave å kjenne hver ansattes myndighetsnivå og sørge for at ingen retningslinjer brytes.

De bør ha klar informasjon om at hvis nevnte leder godkjenner forespørselen, er den gyldig.

Hvordan du setter opp denne prosedyren vil avhenge av antall ansatte du har og sensitiviteten til informasjonen du håndterer.

3) Behold bare grunnleggende tilgang

Når du tildeler nettverksrettigheter til en ansatt, må du begynne med smått.

Det er mye enklere og sikrere å gradvis øke enn å redusere tilgangen deres.

Tilgang til ressurser som ikke er nødvendige for en vanlig arbeidsdag for ansatte, bør bare innvilges etter godkjent forespørsel.

Ideelt sett bør det også trekkes tilbake så snart bruksperioden er over, med mindre en offisiell forespørsel om forlengelse blir godkjent.

Ikke la det være opp til den ansatte å informere deg om at de er ferdige med informasjonen, dette er den enkleste måten å glemme det på.

På samme måte, gi aldri full tilgang til informasjon eller programvare som en ansatt sannsynligvis vil bruke, men ikke trenger umiddelbart.

I det beste tilfellet vil det være en liten ulempe å tilbakestille alt.

I verste tilfeller kan det føre til en utilsiktet sikkerhetsbrudd, lekkasje av informasjon, osv.

4) Administrer ubrukte kontoer

Det burde være unødvendig å si at kontoer som ikke lenger er i bruk, bør slettes permanent.

Selv om det meste av dette gjøres retrospektivt når en ansatt forlater selskapet eller endrer stilling, bør det gjennomføres en manuell sjekk med jevne mellomrom, bare i tilfelle.

Hver andre måned er en vanlig anbefaling, men du kan vurdere enda tettere kontroller avhengig av ansattes skiftefrekvens og eventuell selskapsrestrukturering som kan være i gang.

Du vil sannsynligvis ha et par bot/testkontoer liggende og vente på å bli brukt også.

Hold deg til den samme retningslinjen for dem som for alle brukere:

• Hvis kontoen er i bruk, behold den med minimale rettigheter
• Hvis den ikke er i vanlig bruk, fjern all tilgang eller slett den helt

5) Ikke gi ut faktiske påloggingsopplysninger til vanlige apper

For programvare som er ment å brukes på fulltid, vil ansatte bli tildelt eller må opprette personlige kontoer med unike legitimasjoner.

Når det gjelder delte applikasjoner, må du imidlertid aldri gi de faktiske påloggingsopplysningene til brukerne.

Dette kan føre til lekkasje eller misbruk, med vilje eller ikke.

En mye sikrere alternativ for rask app-deling er å bruke et passordkrypteringsverktøy, som det som finnes i AppsCo.

Det vil tillate deg å dele påloggingsadgang trygt uten behov for å avsløre legitimasjon.

6) Dokumenter eventuelle endringer

Alle endringer i samsvar med loven krever umiddelbar oppmerksomhet og tilpasning.

Enhver endring som kan forårsake et smutthull eller underminere selskapets retningslinjer, må umiddelbart håndteres og dokumenteres.

Dette kan variere fra omorganisering av ledelse, endring av selskapsprogramvare, nye stillinger, osv.

Mens hackere i filmer ofte bruker superdatamaskiner for å deaktivere nettverksbeskyttelse, er det i virkeligheten vanligvis mye enklere.

Å overta en brukerkonto med for mange nettverksrettigheter og misbruke den for å oppnå dypere tilgang er en vanlig form for datainnbrudd.

Dette er grunnen til at gjennomføring av regelmessige revisjoner av brukertilgangsstyring og å holde tilgangsrettigheter til et minimum er viktig.

I datainnbruddsscenarioer sørger det for at inntrengerne ikke kan komme unna med for mye før de blir identifisert og håndtert.

I tillegg gjør det det enkelt å avgrense hvor angrepet kom fra.

Den beste metoden for å administrere brukertilgang er et sikkert administrativt verktøy.

AppsCo One tilbyr en brukervennlig tilgangsstyringsplattform.

Utstyrt med et helt tilpassbart grensesnitt, lar det deg implementere selskapets retningslinjer innenfor appen.

Brukere med tilgang til AppsCo One trenger ikke å utføre ekstra pålogginger til apper og tjenester du allerede har gitt tilgang til.

AppsCo One IT-dashboardet har alt nettverksadministratorer trenger:

• Administrer alle ansattes apper fra ett sted
• Grant or revoke user privileges in a few clicks
• Opprett egendefinerte grupper for enklere gruppetilgangsstyring
• Avvise uautoriserte pålogginger raskt
• Legg til tofaktorautentisering (2FA)
• Enkeltpålogging (SSO) for rask tilgang
• Deler påloggingsadgang uten å avsløre legitimasjon
• Enkelt ta ansatte om bord og av bord