Nastavitev dostopa glede na raven zaupanja

Kdo sme s katero napravo in od kod dostopati do katerih podatkov, določi vaše podjetje. Podatkovni prehod to odločitev uveljavi in omogoča, da jo dokažete. Ta navodila na devetih vsakdanjih primerih – od službenega računalnika in zasebne naprave do vprašanja „Zakaj je bil ta dostop dovoljen?“ – pokažejo, kje dostop nastavite v aplikaciji za upravljanje in kako preverite, ali deluje, kot ste ga zamislili.

Prehod zahteve razlikuje po podatkih, ki jih ob vsaki prijavi zanesljivo pozna: po osebi, načinu prijave (račun Windows, osebni ključ, prijava SQL), posameznem ključu, izvoru (omrežju, iz katerega prihaja naslov) in času. Ti podatki skupaj z vašimi pravili določajo, ali je prijava dovoljena, ali zahteva kodo ali je zavrnjena, in do česa ima zahteva nato dostop.

Stanja naprave – ali je upravljana ali zasebna, šifrirana, zaščitena s protivirusnim programom – prehod ne pozna. Naprave razlikuje po njihovem lastnem ključu in izvoru, ne s preverjanjem naprave (glejte Napotki). Kaj prehod ugotovi in česa ne, pojasnjuje stran Zero Trust in zasebne naprave (dokumentacija podatkovnega prehoda).

1. Odprite Anmelderichtlinie (Pravilnik za prijavo) in izberite Weitere (Več) > Vorlagen der Richtlinie (Predloge pravilnika) > Büro ohne Code, außen mit Code (V pisarni brez kode, od zunaj s kodo). Vnesite omrežje podjetja, na primer 10.0.0.0/8.
2. Odprite Personen und Schlüssel (Osebe in ključi) in izberite Neue Person … (Nova oseba …). V koraku Anmeldung (Prijava) izberite Windows-Konto (Račun Windows) osebe in označite njena pravila.

Preverjanje: Označite osebo in izberite Rechte (Pravice) > Anmeldung und Rechte … (Prijava in pravice …). Vrstica računa Windows za omrežje podjetja prikazuje „erlaubt“ (dovoljeno), za dostop od zunaj pa „Code nötig“ (potrebna koda).

Vse korake, tudi ključ za delo od doma, opisuje stran Nastavitev dostopa osebe glede na lokacijo.

1. Označite osebo in izberite Schlüssel (Ključi) > Schlüssel ausstellen … (Izdaj ključ …). Ključ poimenujte po napravi, na primer „Laptop privat“, kot namen pa izberite Arbeitsplatz (Delovno mesto).
2. Razširite vrstico osebe, odprite zavihek Schlüssel in označite novi ključ. V njegovem obrazcu nastavite, kaj velja za to napravo: Nur lesen (Samo branje), zgodnji datum v polju Läuft ab (UTC) (Poteče (UTC)) in kot omejitev vir podatkov (Nur Datenquelle, Samo vir podatkov) ali omrežje (glejte Omejitve).
3. Enkratno povezavo iz sporočila posredujte osebi.

Če velja pravilnik za prijavo iz prejšnjega razdelka, prehod od zunaj zahteva kodo.

Preverjanje: Anmeldung und Rechte … prikaže vrstico za ta ključ z odločitvijo za vsak izvor in s pravilom, ki to odločitev določa.

Omejitve: Da je naprava zasebna, prehod ve samo po tem ključu. Zato vsaki napravi izdajte lasten ključ: če se naprava izgubi, prekličete samo njen ključ.

Pojasnilo in omejitve v podatkovnem prehodu: Dostop z zasebnih naprav (dokumentacija podatkovnega prehoda)

1. Odprite Regeln (Pravila), izberite Weitere > Neue Regel (Novo pravilo) in označite Nur lesen (Samo branje).
2. Izberite Merkmal hinzufügen … (Dodaj lastnost …) in dodajte Datenquelle (Vir podatkov) z imenom vira, Objektart (Vrsta objekta) views in Methode (Metoda) GET.
3. Pod Objekte (Objekti) izberite samo poglede, ki jih zastopniki smejo videti, na primer pogled pogodb brez zdravstvenih podatkov.
4. Ustvarite osebo, ji dodelite to pravilo in izdajte ključ z datumom poteka, kot je opisano pri zasebni napravi.

Preverjanje: Za osebo odprite Anmeldung und Rechte …; drevo pod Regeln prikaže, kaj pravilo dovoljuje.

Omejitve: Prehod dovoli dostop do celotnih objektov. Katere stranke in katere stolpce pogled vrne, določa podatkovna zbirka – sam pogled ali varnost na ravni vrstic v SQL Serverju. Občutljivi stolpci zato ne sodijo v odobreni pogled. Glejte Ustvarjanje pravila.

Pojasnilo in omejitve v podatkovnem prehodu: Omejitev zastopnikov na njihove stranke (dokumentacija podatkovnega prehoda)

• Poročilo, ki se osvežuje vsak dan: Izdajte ključ z namenom Arbeitsplatz (Delovno mesto) in v njegovem obrazcu označite Nur lesen (Samo branje) in Ohne zweiten Faktor (Brez 2FA), ker Excel in Power BI kode za 2FA (dvostopenjsko preverjanje pristnosti) ne moreta vnesti.
• Predstavitev: Izdajte ključ z namenom Präsentation auf Abruf (Predstavitev na zahtevo). Tak ključ omogoča samo branje, miruje in deluje šele, ko ga za čas sestanka aktivirate z Schlüssel > Schlüssel freischalten … (Aktiviraj ključ …).

Preverjanje: Na zavihku Schlüssel stolpec Zustand (Stanje) prikazuje „ruht“ (miruje) ali „frei bis … UTC“ (aktiven do … UTC).

Omejitve: Kar sta Excel ali Power BI že naložila, ostane v datoteki na napravi. Prehod nadzoruje dostop, ne kopij. Glejte Izdaja predstavitvenega ključa in zamenjava izgubljenega ključa.

Pojasnilo in omejitve v podatkovnem prehodu: Ločevanje poročil in osveževanja (dokumentacija podatkovnega prehoda)

Če oddelek doslej uporablja skupno prijavo v SQL Server, katere geslo poznajo vsi, se lahko vsak prijavlja sam, prehod pa za dostop do podatkovne zbirke namesto njega uporabi skupno prijavo. Gesla skupne prijave nato nihče v oddelku ne potrebuje več.

1. Odprite Identitäten (Identitete) in izberite Neu (Novo). Izberite Datenquelle (Vir podatkov), vnesite Name zur Auswahl (Ime za izbiro) in izberite vrsto Sammelanmeldung (Login) (Skupna prijava) s prijavo v SQL Server.
2. Razširite vrstico identitete, odprite zavihek Zuordnungen (Dodelitve) in dodelite osebe ali skupino Windows oddelka.

Preverjanje: V področju Protokoll (Dnevnik) sta na zavihku Audit (Revizijska sled) pri vsaki zahtevi navedeni oseba in identiteta.

Glejte Nastavitev identitet podatkovne zbirke. Program, ki ne deluje v imenu osebe, se prijavi s ključem storitve; tega določa konfiguracija prehoda, ne aplikacija za upravljanje.

Pojasnilo in omejitve v podatkovnem prehodu: Povezava poslovne aplikacije (dokumentacija podatkovnega prehoda)

1. Z ukazom Neue Person … ustvarite osebo in ji dodelite samo pravila, ki jih naročilo zahteva.
2. V obrazcu njenega ključa v polje Läuft ab (UTC) (Poteče (UTC)) vnesite konec naročila.
3. Ob koncu naročila označite osebo in izberite Person sperren … (Zakleni osebo …).

Preverjanje: V Übersicht (Pregled) kartica Schlüssel laufen ab (Ključi potekajo) prikaže, katerim osebam ključi potečejo v naslednjih 14 dneh. Dokazno poročilo Austritte und Sperren (Odhodi in zaklepanja) navaja, kdo je bil zaklenjen in kdaj.

Pojasnilo in omejitve v podatkovnem prehodu: Časovno omejen dostop (dokumentacija podatkovnega prehoda)

1. Razširite vrstico osebe, odprite zavihek Schlüssel in označite ključ naprave.
2. Izberite Schlüssel > Schlüssel neu ausstellen … (Znova izdaj ključ …): stari ključ je preklican, novi ima enake nastavitve. Če oseba ne dobi nadomestne naprave, izberite Schlüssel sperren … (Prekliči ključ …).
3. Izberite Weitere > Darunter zeigen (Pokaži spodaj) > Sitzungen der Person (Seje osebe), označite odprto sejo te naprave in izberite Zweiter Faktor und Sitzung (2FA in seja) > Sitzung beenden (Končaj sejo).

Če je ogroženih več dostopov, Person sperren … naenkrat prekliče vse ključe osebe in konča vse njene seje.

Preverjanje: Stolpec Zustand (Stanje) ključa prikazuje „gesperrt“ (preklican), stolpec Gesperrt am (Preklican) pa čas preklica v UTC. Glejte Preklic ključa ali zaklepanje osebe.

Pojasnilo in omejitve v podatkovnem prehodu: Ukrepanje ob izgubljeni napravi (dokumentacija podatkovnega prehoda)

1. Odprite Anmeldungen (Prijave), zavihek Hinweise (Namigi) ali Herkunft (Izvor), in označite vrstico omrežja.
2. Izberite Herkunft sperren … (Blokiraj izvor …) in potrdite.

Na splošno priporočamo, da račun Windows in prijavo SQL dovolite samo v omrežju podjetja: v Anmelderichtlinie izberite Weitere > Vorlagen der Richtlinie > Außen nur Schlüssel (Od zunaj samo s ključem).

Preverjanje: Novo pravilo za prijavo je navedeno v Anmelderichtlinie; Anmeldung und Rechte … za osebo iz tega izvora prikaže „abgelehnt“ (zavrnjeno). Glejte Pregled prijav in njihovega izvora.

• Vnaprej, za posamezno osebo: Rechte > Anmeldung und Rechte … za vsak način prijave in vsak izvor prikaže, ali je prijava dovoljena, zahteva kodo ali je zavrnjena, in katero pravilo to določa. Prehod pri tem računa enako kot ob dejanski prijavi.
• Po zavrnitvi: Zugang wiederherstellen … (Obnovi dostop …) prikaže zadnje zavrnitve z vzrokom in rešitvijo.
• Kdo je kaj naredil: V Protokoll zavihek Audit prikazuje dostope, zavihek Änderungsprotokoll (Dnevnik sprememb) pa, kdo je kdaj spremenil katero pravilo.
• Za revizorje: Protokoll > Weitere > Nachweisberichte (Dokazna poročila) pripravi pregled pravic, pokritost z MFA (večstopenjsko preverjanje pristnosti), odhode in zaklepanja ter spremembe upravljanja kot datoteko Excel in PDF.

Glejte Priprava dokaznih poročil.

Pojasnilo in omejitve v podatkovnem prehodu: Sledenje odločitvi o dostopu (dokumentacija podatkovnega prehoda)

Pravila za prijavo in pravila začnejo veljati takoj, ko jih shranite. Zato takoj zatem z ukazom Anmeldung und Rechte … preverite dve ali tri značilne osebe, na primer eno v pisarni in eno s ključem od zunaj. Tudi sprememba ali izbris pravila velja takoj. Kadar pravilo zadeva upravljanje, imejte odprto drugo prijavo, dokler preverjanje ne pokaže pričakovanega rezultata (glejte Določanje pravilnika za prijavo).

Pojasnilo in omejitve v podatkovnem prehodu: Zero Trust in zasebne naprave (dokumentacija podatkovnega prehoda)

• Stanje naprave. Ali je naprava upravljana, šifrirana ali zaščitena, prehod ne preverja. Če to zahteva vaša varnostna politika, potrebujete upravljanje naprav (MDM) ali preverjanje pred prehodom; rezultat tega preverjanja nato v prehodu izrazite z ločenimi ključi in omrežji.
• Lokalne kopije. Prehod odloča, katere podatke zahteva prejme. Kar aplikacija nato shrani – datoteko Excel ali tabelo Access –, je zunaj njenega nadzora.
• Izvor. Prehod vidi naslov, s katerega prihaja zahteva. Naslov za posredniškim strežnikom (proxy) upošteva samo, če je ta strežnik vpisan v konfiguraciji prehoda kot zaupanja vreden.
• Skupine Windows pri Anmeldung und Rechte … niso upoštevane, ker jih prehod izve šele ob prijavi z računom Windows.
• Časi so povsod navedeni v UTC.

• Nastavitev dostopa osebe glede na lokacijo
• Določanje pravilnika za prijavo
• Ustvarjanje osebe in izdaja ključa
• Ustvarjanje pravila
• Preklic ključa ali zaklepanje osebe
• Zero Trust in zasebne naprave (dokumentacija podatkovnega prehoda)
• Dostop na potovanju (dokumentacija podatkovnega prehoda)