Цель модуля
Научить работника правильно получать, использовать и закрывать учётные записи, соблюдать парольную политику и понимать, почему общие и служебные учётные записи строго ограничены.
Жизненный цикл учётной записи
- Заведение: заявка от руководителя, обоснование необходимости доступа, срок действия.
- Выдача: учётная запись персональная, привязана к конкретному работнику, выдаётся с обязательной сменой первичного пароля.
- Использование: работник отвечает за все действия, выполненные под его учётной записью.
- Пересмотр: права проверяются по расписанию, неиспользуемые доступы отзываются.
- Закрытие: при переводе, уходе или окончании договора доступ закрывается в тот же день.
Требования к паролям
- длина не менее 12 знаков, для привилегированных учётных записей — не менее 16;
- сочетание строчных и заглавных букв, цифр и знаков препинания;
- пароль не содержит имени, фамилии, даты рождения, названия компании и продукта;
- пароль не повторяет пароль от внешних сервисов и личных учётных записей;
- каждый сервис — свой пароль; повторное использование запрещено;
- хранение — только в корпоративном хранилище паролей, не в заметках, файлах и переписке.
Общие и служебные учётные записи
- Общая учётная запись не позволяет установить, кто именно выполнил действие, — расследование становится невозможным.
- Служебные учётные записи для автоматических задач заводятся отдельно от личных, с минимальными правами и без возможности входа вручную.
- Пароль служебной учётной записи хранится в службе управления секретами и выдаётся только автоматике.
- Передача пароля другому работнику недопустима, даже временно и даже руководителю.
Типовые ошибки
- Пароль записан на листке, в файле на рабочем столе или в заметках телефона.
- Один пароль используется на рабочем и личном сервисе.
- Пароль передан коллеге в переписке, чтобы «быстрее закрыть задачу».
- Учётная запись уволившегося работника остаётся активной.
- Первичный пароль, выданный при заведении, не изменён.
- Права выданы «на всякий случай» и не пересматриваются.
Ответственность
Все действия под учётной записью считаются действиями её владельца. Если работник передал пароль, а под учётной записью причинён вред, отвечать будет владелец записи. Именно поэтому передача паролей запрещена без исключений.
Проверочный список перед выходом на работу
- Учётная запись персональная, не общая.
- Первичный пароль сменён при первом входе.
- Пароль соответствует требованиям по длине и составу.
- Пароль хранится только в корпоративном хранилище паролей.
- При уходе или переводе доступ закрывается в день события.
- Права периодически пересматриваются, лишние отзываются.
Вопросы для самопроверки
- Почему общая учётная запись опасна? По ней нельзя установить исполнителя действия, а значит невозможно расследовать происшествие и разграничить ответственность.
- Можно ли передать пароль руководителю по его просьбе? Нет. Порядок не предусматривает передачи паролей; при необходимости доступ выдаётся отдельной учётной записью.
- Что делать, если пароль попал в переписку? Сообщить в службу информационной безопасности и немедленно заменить пароль.
Основание и что делать при сомнении
Модуль опирается на: Приказ ФСТЭК России от 11.02.2013 № 17, приказ ФСБ России от 10.07.2014 № 378.
Если ситуация не описана в модуле и вы не уверены в правильном действии, не принимайте решение самостоятельно: обратитесь к руководителю и в службу информационной безопасности до того, как выполнить операцию с данными или доступами.