Методика экспресс-оценки уровня кибербезопасности организации РезБез

6.1. Процесс
Процедуры управления доступом регламентированы как в верхнеуровневых документах (политиках), так и в операционных (регламентах, процедурах, инструкциях). Документы актуальны и достаточны для работы участников процесса.
Определены роли и назначены ответственные за управление доступом (например, владелец/менеджер процесса, аналитики, технические специалисты и т. д.).
Для оценки эффективности процесса установлены и применяются показатели (метрики). Показатели  (метрики) процесса пересматриваются на регулярной основе.

6.2. Права доступа и учетные записи
Назначение прав доступа осуществляется согласно роли и должностным (функциональным) обязанностям. Для каждой роли установлены минимально необходимые права доступа. 
Предоставление доступа осуществляется автоматизированно с использованием решения класса identity management (IDM).
Контроль действий привилегированных пользователей  осуществляется на регулярной основе и автоматизирован с помощью решения класса privileged account management (PAM). 
Доступ к административным и сервисным УЗ строго ограничен. Для работы с системами используются отдельные персонифицированные УЗ с определенными наборами ролей и прав доступа к системам.
Блокирование (отключение) учетных записей осуществляется не позднее 24 часов после прекращения или изменения обязанностей сотрудника (или подрядчика). Отключение учетных записей осуществляется после определенного периода бездействия.
Пересмотр активных учетных записей и прав доступа осуществляется на регулярной основе.

6.3. Удаленный доступ
Разработаны и внедрены сценарные условия удаленного доступа к системам и приложениям организации.
Удаленный доступ к системам и приложениям осуществляется с использованием специализированных механизмов защиты (VPN).
Для удаленного доступа к системам и приложениям используется многофакторная аутентификация.
Осуществляется отключение сеансов удаленного доступа после определенного периода бездействия.
Осуществляется блокирование одновременных удаленных сеансов пользователя.