נוהל: ניהול מידע אימות סודי של משתמשים A9.2.4

מטרת הנוהל היא להבטיח כי ההקצאה של מידע אימות סודי של משתמשים בארגון תהיה מבוקרת באמצעות תהליכים ניהול רשמיים, על מנת להגן על נכסי המידע של הארגון מפני גישה בלתי מורשית.

תחום יישום

הנוהל חל על כל מידע אימות סודי של משתמשים בארגון, לרבות סיסמאות, קוד PIN או אמצעי אימות דו-גורמי.

הגדרות

• מידע אימות סודי: מידע המשמש לאימות זהות של משתמשים.
• משתמש: כל אדם המקבל גישה לנכסי מידע של הארגון.

אחריות

• הנהלה:
  • אחראית על קביעת מדיניות ניהול מידע אימות סודי של משתמשים בתחום אבטחת המידע בחברה.
  • אחראית על אספקת המשאבים הדרושים ליישום מדיניות ניהול מידע אימות סודי של משתמשים בתחום אבטחת המידע בחברה.
  • אחראית על מעקב אחר ביצוע מדיניות ניהול מידע אימות סודי של משתמשים בתחום אבטחת המידע בחברה.
• ממונה אבטחת מידע:
  • אחראי על יישום מדיניות ניהול מידע אימות סודי של משתמשים בתחום אבטחת המידע בחברה.
  • אחראי על ניהול תהליך ניהול מידע אימות סודי של משתמשים בתחום אבטחת המידע בחברה.
• מנהלי מחלקות:
  • אחראים על יישום מדיניות ניהול מידע אימות סודי של משתמשים בתחום אבטחת המידע בחברה בהתאם להנחיות הממונה על אבטחת המידע.
• עובדים:
  • אחראים על יישום מדיניות ניהול מידע אימות סודי של משתמשים בתחום אבטחת המידע בחברה בהתאם להנחיות הממונה על אבטחת המידע.

תהליך

1. קביעת מדיניות ניהול מידע אימות סודי של משתמשים

הנהלת הארגון תגדיר את מדיניות ניהול מידע אימות סודי של משתמשים, אשר תכלול את הנושאים הבאים:

• סוגים של מידע אימות סודי
• אופן יצירת מידע אימות סודי
• אופן אחסון מידע אימות סודי
• אופן שימוש במידע אימות סודי
• אופן ניהול הרשאות גישה למידע אימות סודי

2. הקצאת מידע אימות סודי של משתמשים

הקצאת מידע אימות סודי של משתמשים תבוצע בהתאם למדיניות ניהול מידע אימות סודי של משתמשים.

3. שימוש במידע אימות סודי של משתמשים

שימוש במידע אימות סודי של משתמשים יהיה מבוקר ומוגבל, ותבוצע בהתאם להנחיות הארגון.

הנחיות נוספות

• החברה תשמור על תיעוד של כל הפעילויות הקשורות לניהול מידע אימות סודי של משתמשים.
• החברה תבצע ביקורות תקופתיות על תהליך ניהול מידע אימות סודי של משתמשים.