Anais - Engenharia de Redes de Comunicação - UnB

Tabela 2 – Controles Selecionados para a Gestão de Identidade e de Acesso
Controles C O T N 2
Controles C O T N 2
Gestão de Identidade
Políticas e Procedimentos
(A) Se todos os usuários possuem um único
identificador universal e formalmente definido.
(A) Se o custo beneficio para a representação da
identidade digital foi definido
(A) Se os direitos e obrigações do uso da
identidade estão definidos no contrato de
trabalho
(A) Se o processo de solicitação, emissão,
revogação, modificação de identidade está
definido
(O) Se existe política de confidencialidade na
entrega de credenciais
(A) Se existem políticas de privacidade para o
uso da identidade
(A) Se são definidos políticas e procedimentos
prévios de credenciamento
x x x
x
x x x x
x x x x x
x
x
x
(O) Se os direitos de acesso são
concedidos baseados nos princípios
necessidade de conhecer, mínimo
privilégio e interesse do serviço
(O) Se os direitos de acesso são
revisados periodicamente
(O) Se existem relatórios de métricas
de acesso
Gestão de Políticas
Política e Procedimentos
(A) Se os direitos e obrigações do uso
dos direitos de acesso estão definidos
no contrato de trabalho
(A) Se a política de controle de acesso
é definida formalmente pela
organização
(A) Se a segregação de funções é
definida na política de controle de
acesso
x x x x x
x
x
x
x x
x x x
x
(A) Se o credenciamento ocorre apenas depois
da contratação
(A) Se existe política para a criação de
credenciais seguras
(A) Se o processo de solicitação, emissão,
revogação e modificação de identidade está
definido para os ambientes de desenvolvimento
(A) Se o credenciamento dos usuários está de
acordo com as normas e legislações vigentes
para o acesso a sistemas críticos
(A) Se são definidas políticas para a concessão
de credenciais de administração
Execução e Verificação
(T) Se as identidades digitais estão armazenadas
em um repositório central
(O) Se as identidades digitais são revisadas
periodicamente
(A) Se existem relatórios de métricas das
identidades
(T) Se o primeiro acesso com uma credencial é
controlado
(O) Se as credenciais são modificadas
periodicamente
(T) Se os históricos das credenciais são
armazenados
(T) Se as identidades são bloqueadas por
inatividade
(T) Se o credenciamento é feito por um
processo automatizado
(O) Se as credenciais são removidas após o
desligamento do usuário
(T) Se a autenticação utiliza múltiplos fatores
Gestão de Acesso
Gestão de Recursos
x
x
x
x
x
x
x
x
x
x
x
x
x
x
x
x
x
x
x
(A) Se existe uma política que
descreva o procedimento de
autenticação
(A) Se são definidos nos contratos
políticas que apliquem sanções a
acessos não autorizados por parte das
terceirizadas
(A) Se a implementação do controle de
acesso é aprovada previamente pela
direção da organização
(A) Se a política de controle de acesso
está em conformidade com a política
de segurança da informação e
comunicações
(A) Se existem programas de
conscientização e sensibilização sobre
controle de acesso
Execução e Verificação
(T) Se o registro de último acesso é
preservado e mostrado ao usuário
(T) Se a sessão de acesso é expirada
após tempo de inatividade
(T) Se a sessão de acesso proíbe acesso
concorrente
(T) Se a concessão de acesso baseia-se
em horários
(T) Se as conexões são encerradas apos
o fim da sessão de acesso
(T) Se informações relevantes não são
informadas no procedimento de
autenticação
Gestão de Privilégios
Política e Procedimentos
(A) Se o processo de solicitação,
concessão, modificação e revogação de
direitos de acesso está definido
x x
x
x x
x x
x
x
x x
x
x x
x
x
x x x x
Política e Procedimentos
(A) Se a política de classificação da informação
está definida
x
x
(A) Se existe um modelo para
solicitação de acesso
(A) Se a concessão de acesso é baseada
na segregação de funções
x
x
384