O politică privind conturile de utilizator este un document sau un set de reguli organizaționale care stabilește cerințele pentru crearea, aprobarea, utilizarea, modificarea, monitorizarea și închiderea conturilor de utilizator pe sisteme informatice și rețele de calculatoare. O asemenea politică face parte, de regulă, din cadrul mai larg de management al identității și accesului al unei organizații.
În mod obișnuit, politica stabilește cine poate solicita un cont, ce aprobări sunt necesare, ce tipuri de conturi sunt permise, cum se acordă drepturile de acces și în ce condiții acestea sunt revizuite, limitate sau revocate. Ea poate include și cerințe privind autentificarea, utilizarea conturilor privilegiate, parolele, autentificare multi-factor și dezactivarea conturilor inactive sau neautorizate.
Pentru organizațiile mari, o astfel de politică este importantă deoarece utilizatorii pot avea conturi pe mai multe sisteme, iar lipsa unor reguli uniforme poate duce la acces excesiv, conturi orfane sau utilizarea necorespunzătoare a privilegiilor. În practică, utilizatorilor li se poate cere să confirme că au citit și acceptat regulile aplicabile contului lor, însă forma concretă a acestei confirmări variază de la o organizație la alta.
Conținutul politicii
O politică privind conturile de utilizator ar trebui, de regulă, să precizeze:
cine are autoritatea de a aproba crearea, modificarea, suspendarea și eliminarea conturilor; cine este îndreptățit să primească un cont și ce tipuri de conturi sunt permise, de exemplu conturi de utilizator, administrative, privilegiate sau de serviciu; dacă sunt permise conturile partajate, conturile multiple pentru aceeași persoană sau conturile temporare și în ce condiții; drepturile, responsabilitățile și obligațiile titularilor de cont, inclusiv protejarea credențialelor și utilizarea contului numai în scopuri autorizate; condițiile în care conturile trebuie dezactivate, suspendate, arhivate sau eliminate, de exemplu la încetarea raporturilor de muncă, la schimbarea rolului, la expirarea contului ori după o perioadă de inactivitate; intervalele și procedurile de revizuire periodică a conturilor și privilegiilor pentru a confirma că accesul este încă justificat; regulile privind autentificarea și gestionarea credențialelor, inclusiv lungimea și caracteristicile parolelor, folosirea autentificării multifactor și schimbarea parolei în caz de compromitere; cerințele de jurnalizare și audit pentru crearea, modificarea, activarea, dezactivarea și eliminarea conturilor.
Exemplu Un exemplu de formulare într-o asemenea politică poate fi următorul:
Utilizatorii pot primi conturi numai pentru sistemele și resursele la care au o nevoie profesională justificată. Fiecărui utilizator i se atribuie un cont individual, unic, iar partajarea conturilor este interzisă, cu excepția situațiilor aprobate expres și documentate. Drepturile de acces se acordă în conformitate cu principiul privilegiului minim și sunt limitate la resursele necesare pentru îndeplinirea atribuțiilor de serviciu. Înainte de activarea contului, utilizatorul trebuie să confirme că a citit și a acceptat politica de utilizare acceptabilă și celelalte reguli de securitate aplicabile.
Note
Vezi și Politica de securitate a rețelei Politica de securitate informatică Securitatea internetului Securitatea calculatoarelor Securitatea rețelelor de calculatoare Spionaj industrial Securitatea informației
Legături externe Institutul Național pentru Standarde și Tehnologie
Categorie:Administrarea tehnologiei informației