Назначение документа. Матрица фиксирует правила предоставления, изменения и отзыва прав доступа в информационной системе, обязывает документировать основания и ответственных. Цель - обеспечить принцип минимально необходимого доступа и прослеживаемость решений при работе с персональными данными.
Область применения и нормативные основания. Охватывает все пользовательские, сервисные и административные учётные записи ИСПДн и управляемые ими привилегии. Документ является обязательным при обработке персональных данных и устанавливает соответствие требованиям по уровням защищённости и базовому набору мер.
Структура матрицы и ключевые поля. Рекомендуемая структура: роль или должность, ресурс/подсистема, точный набор привилегий, основание доступа, срок действия, лицо-инициатор и ответственный за назначение, требование к учёту действий. Обязательно указывать обоснование выдачи привилегии и условие её прекращения.
Роли и ответственность. Утверждает матрицу руководитель организации приказом, ведёт и актуализирует ответственный за организацию обработки персональных данных. Назначение прав выполняют ответственные подразделений по установленной процедуре, при необходимости оформляется отдельное обоснование для привилегий повышенного уровня.
Триггеры для пересмотра и реакция при инцидентах. Пересмотр матрицы проводят при изменении функций сотрудника, вводе новых информационных сервисов, увольнении или переводе, а также по результатам инцидента. В случае инцидента по персональным данным должна быть выполнена процедура уведомления и реагирования в установленные законом сроки.
Внедрение и типичные ошибки. При внедрении проверяйте соответствие учётных записей матрице, документируйте обоснования для высоких привилегий и задавайте срок действия привилегий. Частые ошибки - избыточные права, отсутствие срока действия, незадокументированные сервисные аккаунты и отсутствие учёта привилегированных действий.
Позвонить