Behörighetsstyrning
Behörighetshantering och loggning är viktiga aspekter för informationssäkerheten och handlar om att säkerställa att endast auktoriserade användare har tillgång till information och system i organisationen.
Behörighet innebär vissa rättigheter att använda en informationstillgång i en IT-tjänst på ett specificerat sätt. Behörigheter, eller åtkomsträttigheter, definierar vad en användare har rätt att utföra, till exempel, läsa, söka, skriva, radera, skapa eller köra ett program.
För att skydda information mot obehörig åtkomst behöver användare ange en identitet som kan verifieras (autentiseras), vanligen med flerfaktorautentisering. Ju känsligare information som bearbetas, desto högre är kravet på skydd mot obehörig åtkomst.
Aktörer, roller och behörigheter
Nedan presenteras ett urval av lämpliga roller i ett loggsystem som tilldelas en behörighet
Aktör | Roll | Behörighet/åtkomst/beskrivning |
|---|---|---|
Konsument | Administratör | Personer med högre rättigheter än vanliga besökare med behörighet att skapa, editera, läsa och ta bort data på andra individer |
Konsument | API | IT-tjänst som är anslutna mot en e-tjänst API för att skapa, editera, läsa och/eller ta bort data |
Konsument | Objektägare | Personer med access till driftsmiljö, dvs de komponenter som uppgör e-tjänst (exempelvis databas) |
Konsument | IT-arkitekt | Högre rättigheter än vanliga besökare med behörighet att skapa, editera och läsa data. |
Konsument | Verksamhetsutvecklare | Högre rättigheter än vanliga besökare med behörighet att skapa, editera och läsa data. |
Producent | Utvecklare | Personer med access till driftsmiljö, dvs de komponenter som uppgör e-tjänst (exempelvis databas) |
Producent | Loggproducent | Personer med högre rättigheter än vanliga besökare med behörighet att skapa, editera, läsa och ta bort data på andra individer |
Flerfaktorsautentisering
En vanlig metod för åtkomstkontroll är att tillämpa tvåfaktorautentisering (2FA) eller multifaktorautentisering (MFA), som innebär att identiteten verifieras på minst två olika sätt, till exempel med användare och lösenord plus en kod som användaren kan få via en autentiseringsapplikation. En sådan metod höjer säkerheten väsentligt och rekommenderas.
Processen för att beställa behörigheter till loggsystemet
Det ska finnas en process eller rutiner som underhåller och förvaltar behörigheter för en IT-tjänst, exempelvis hantering av beställning, ändring och borttagning av behörigheter och rättigheter.
Åtkomstkontroll
Åtkomstkontroll - Behörighetshantering innefattar att sätta upp rätt åtkomstkontroller för att reglera vilka användare som har tillgång till vilka delar av informationen och systemen. Genom att logga åtkomst till system och information kan organisationen övervaka och spåra vem som har haft åtkomst till vilken information eller system.
Autentisering
Identifiering och autentisering - För att säkerställa att endast auktoriserade användare har åtkomst till information och system är det viktigt att använda en lämplig identifiering och autentiseringsverktyg. Genom att logga användarautentisering kan verksamheter verifiera att användare som får åtkomst till informationen är auktoriserade att göra det.
Behörighetsstyrning
En offentlig aktör bör:
- implementera en behörighetsmodell som definierar olika användarroller och deras åtkomsträttigheter till olika informationstillgångar.
- använda sig av flerfaktorautentisering för bättre verifiering att användaren är den som hen utger sig att vara. Det är även viktigt att logga aktiviteter relaterade till loggen, alltså logga loggen.
Ditt svar hjälper oss att förbättra sidan
Senast uppdaterad: