Rà soát truy cập xác nhận mỗi tài khoản còn cần, có chủ được ủy quyền, đường khôi phục kiểm soát và không có phiên hay ứng dụng lạ. Đầu ra hữu ích là quyết định có ngày cho từng tài khoản cùng bằng chứng sửa đổi đã hoàn tất.
Danh sách dành cho vận hành agency, QA, nghiên cứu và tự động hóa hợp lệ. Nó bổ sung hướng dẫn bảo mật: bài kia giải thích biện pháp, bài này chỉ cách nhóm xác minh định kỳ.
Xác định đợt rà soát trước khi mở tài khoản
Bắt đầu với phạm vi, người rà soát, bằng chứng và hạn. Chỉ định chủ kinh doanh đánh giá nhu cầu và người kỹ thuật xem bảo mật. Nhóm nhỏ có thể một người làm cả hai nhưng vẫn ghi quyết định và bằng chứng riêng.
Hướng dẫn lập kế hoạch của Microsoft yêu cầu xác định tài nguyên, đối tượng, tần suất, người duyệt, hạn và hành động trước. Mô hình này cũng phù hợp tài khoản nhà cung cấp độc lập.
| Trường rà soát | Câu hỏi | Bằng chứng an toàn |
|---|---|---|
| Mục đích và chủ | Vì sao tồn tại và ai chịu trách nhiệm | Yêu cầu được duyệt hoặc xác nhận chủ |
| Nhà cung cấp và trạng thái | Hoạt động, đình chỉ, thử thách hay ngừng | Màn hình nhà cung cấp hoặc sổ có ngày |
| Khôi phục | Nhóm có thể lấy lại không cần thiết bị cá nhân | Phương thức và người giữ đã xác minh, không phải mã |
| Phiên và thiết bị | Mọi đăng nhập đều mong đợi | Danh sách đã xem với ngoại lệ |
| Ứng dụng | Mọi tích hợp còn mục đích | Danh sách được duyệt và hồ sơ xóa |
| Quyết định | Giữ, đổi, dừng hay ngừng | Người duyệt, lý do, chủ hành động, ngày xong |
Giữ bí mật ngoài bảng
Sổ có thể chứa địa chỉ, chủ, trạng thái và tham chiếu kho; không chứa mật khẩu, passkey, mã khôi phục, khóa API hay tệp xuất đầy đủ. Lưu trong kho được duyệt có nhật ký quyền.
Thực hiện rà soát truy cập
- 1Đóng phạm vi, ghi ngày ảnh chụp sổ
- 2Ghép từng tài khoản với mục đích và chủ
- 3Xác minh khôi phục và xác thực mạnh mà không thu mã
- 4Xem hoạt động, thiết bị và phiên gần đây
- 5Xem ứng dụng, mật khẩu ứng dụng, chuyển tiếp và ủy quyền
- 6Ghi quyết định, người khắc phục và hạn
- 7Kiểm tra lại trạng thái, giữ bằng chứng tối thiểu và lên lịch lần sau
Không dùng hoạt động cuối làm quy tắc duy nhất. Tài khoản có thể cố ý ngủ, còn hoạt động gần đây không chứng minh người dùng được phép. Kết hợp với mục đích, quyết định chủ và tích hợp mong đợi.
Thu thập bằng chứng theo nhà cung cấp
Với Google, dùng danh sách thiết bị và phiên và rà soát ứng dụng liên kết. Ghi kết quả, không sao chép nội dung nhạy cảm.
Với Microsoft, kiểm tra hoạt động gần đây và phương thức trong thông tin bảo mật. Địa chỉ công việc mất khi bàn giao không phải kế hoạch bền.
Với Yahoo, hướng dẫn hoạt động bảo mật chỉ cách xem đăng nhập, kết nối và thay đổi. Xóa kết nối có thể cần xóa mật khẩu ứng dụng, nên xác nhận mục đích trước.
Màn hình nhà cung cấp không giống nhau
Dùng nhãn và luồng hiện tại của từng nhà cung cấp. Không ép Gmail, Yahoo và Outlook vào bằng chứng giống hệt khi mô hình khác nhau.
Biến phát hiện thành hành động kiểm soát
| Quyết định | Khi dùng | Theo dõi bắt buộc |
|---|---|---|
| Giữ | Mục đích, chủ và bảo mật hiện tại | Ghi người duyệt và lần sau |
| Thay đổi | Cần tài khoản nhưng chủ, khôi phục, phiên hoặc ứng dụng sai | Giao sửa và xác minh trạng thái mới |
| Tạm dừng | Sử dụng chưa rõ hoặc điều tra | Giữ bằng chứng cần và chặn theo chính sách |
| Ngừng | Mục đích hết hoặc không còn chủ | Gỡ tích hợp, thu hồi, áp lưu giữ và đóng dòng |
Quyền truy cập bất ngờ là sự cố bảo mật. Dùng quy trình khôi phục chính thức, báo chủ nội bộ và chỉ giữ bằng chứng chính sách yêu cầu. Không vượt thử thách hoặc tạo bản giống nhau.
Chọn nhịp theo rủi ro
Không có khoảng chung. Dựa trên giá trị, số người vận hành, hệ kết nối, cam kết khách hàng và yêu cầu pháp lý. Tài khoản tác động cao và nhóm chung cần rà soát thường hơn test ngắn tách biệt.
- Rà soát khi chủ, nhà thầu, khách hàng hoặc dự án đổi
- Rà soát ngay sau nghi ngờ lộ, đổi khôi phục lạ hay phiên lạ
- Kiểm tra lại QA/nghiên cứu tạm cuối chu kỳ
- Đặt người dự phòng và đường tăng cấp
- Đo hoàn tất bằng hành động đã xác minh
NIST khuyên mật khẩu duy nhất, trình quản lý và MFA. Rà soát phải xác nhận mà không lộ bí mật.
Đưa tài khoản MailCreator mới vào chu kỳ
Sau đợt được phép, chuyển CSV vào kho, đối soát tài khoản thành công với danh sách và thêm mục đích, chủ, người giữ khôi phục, trạng thái cùng lần sau. Xóa bản làm việc theo chính sách.
Bắt đầu bằng quy trình cấp, rồi dùng danh sách này định kỳ. Khi quy tắc sẵn sàng, so sánh gói hoặc tạo tài khoản cho thử nghiệm.
Tạo tài khoản không cho phép spam, giả mạo hay vượt bảo vệ. Chỉ dùng theo mục đích được duyệt và tuân thủ quy định nhà cung cấp, quyền riêng tư, lưu giữ và liên hệ.