Riadenie prístupových práv k sieťam a informačným systémom – vzor smernice

Riadenie prístupových práv k sieťam a informačným systémom

(smernica)

(možný vzor)

1. Úvodné ustanovenia

1. Táto smernica upravuje procesy prideľovania a zmeny prístupových práv, rušenia a blokácie prístupových práv, riadenia, prideľovania a odobratia privilegovaných práv v organizácii XYZ.
2. Táto smernica definuje povinnosti organizácie a jej zamestnancov tak, aby bolo možné riadiť prístupové práva do sietí a informačných systémov organizácie v súlade so zavedenou bezpečnostnou politikou.
3. Správu a prevádzku všetkých sietí, informačných systémov a služieb infraštruktúry informačno-komunikačných technológií (ďalej len „IKT“) organizácie zabezpečuje organizačný útvar informačných technológií.

2. Účel smernice

1. Účelom tejto smernice je riadiť prístupy pre používateľov na takej úrovni prístupu do sietí a informačných systémov organizácie, ktorá je nevyhnutná na plnenie ich pracovných povinností.
2. Organizácia riadi zodpovednosť používateľov sietí a informačných systémov a určila osobu zodpovednú za riadenie prístupu používateľov do sietí a informačných systémov organizácie a za prideľovanie a odoberanie prístupových práv používateľom, ich formálnu evidenciu a vedenie úplných prevádzkových záznamov o každom prístupe do siete a informačného systému v zmysle príslušnej bezpečnostnej politiky. Zodpovedná osoba:

3. Základné pojmy

1. Na účely tejto smernice sa rozumie:
   1. používateľom osoba, ktorá ma do siete alebo informačného systému pridelené prístupové práva s cieľom vykonávať úkony súvisiace s jeho schválenou, resp. pridelenou prácou pre organizáciu,
   2. sieťou alebo informačným systémom súbor hardvéru a softvéru vrátane lokálnych sietí a pripojenia do externých sietí podporujúceho jednotlivé procesy organizácie,
   3. externým systémom taký informačný systém, ktorý nie je v úplnej alebo čiastočnej správe organizácie (to preto, lebo nie je umiestnený v technologických priestoroch organizácie),
   4. administrátorom informačného systému zamestnanec organizácie alebo tretej strany, ktorý je oprávnený vykonávať zásadné zmeny v procesoch alebo dátach v danom informačnom systéme (na tieto zmeny potrebuje mať pridelené privilegované prístupové práva),
   5. treťou stranou taká strana, s ktorou má organizácia uzatvorenú zmluvu (spravidla sa tým myslí dodávateľ infraštruktúry, informačného systému alebo informačných služieb),
   6. zamestnancom tretej strany osoba, ktorá nie je zamestnancom organizácie a zároveň je zamestnancom tretej strany, s ktorou má organizácia ...