iT邦幫忙

第 11 屆 iT 邦幫忙鐵人賽

DAY 5
0

控制對資產的物理和邏輯訪問

通過設置訪問規則和流程來控制訪問。如果要使用該對象,則應該只有一種/兩種方法可以到達它。 您必須通過讓某人證明自己的身份來確認他們的身份:他們知道的東西,他們擁有的東西或他們自己的東西。

  • 資訊
  • 系統
  • 設備
  • 設施

管理人員,設備和服務的認證

  • 身份管理實施
  • 多因素身份驗證:至少提供三種不同形式的身份認證中的兩種
  • 責任制:能夠審核系統
    • 會話管理:為用戶提供某種類型的憑證(Token),他們使用憑證來獲取資源
  • 註冊和身份證明:在註冊服務時:可能會要求您提供PII,其他人難以理解的個人問題
  • 聯合身份管理(FIM):在兩家公司之間共享身份驗證資料
  • 憑證管理系統:密碼加密,防止未經授權的訪問

身份整合

  • 內部部署:大多數資訊系統都包含身分識別功能
  • 雲端:身份即服務(IDaaS)
  • 混和:大規模的SSO及跨組織整合

授權機制實施和管理

  • 基於角色的訪問控制(RBAC):定義組織中的角色,並為他們提供預設權限
  • 基於規則的訪問控制:系列用於存取對象的規則,限制和過濾器
  • 強制訪問控制(MAC):基於物件的許可和物件的標籤而強制執行的系統
  • 自由訪問控制(DAC):完全控制它們建立的物件或對它們的存取權限
  • 基於屬性的訪問控制(ABAC):存取控制

管理身份和存取設置生命週期

  • 帳號權限審查:需要對其進行審核,不再需要這些角色或權限時刪除
  • 設置取消設置:需要制訂政策和指南來審核及授予人員權限,在某些關鍵事件發生後將其註銷

上一篇
資訊安全與風險管理(Information Security and Risk Management )
下一篇
存取控制(Access Control)
系列文
認證信息系統安全專業人員(CISSP)學習筆記30

尚未有邦友留言

立即登入留言