Milik-Rakyat.com – Banyak organisasi memiliki beberapa skema IAM yang mereka lupakan ketika berhubungan dengan kerangka kerja kepatuhan yang kuat seperti PCI DSS.
Setidaknya ada dua skema yang perlu ditinjau, tetapi pertimbangkan jika Anda memiliki lebih banyak dari daftar potensial ini, dan mungkin tidak lengkap:
- Manajemen akun master layanan cloud AWS (Amazon Web Services), Microsoft Azure, Google Cloud Platform (GCP), Oracle Cloud Architecture (OCA),
- Nama Pencatat Layanan (Misalnya, GoDaddy, Solusi Jaringan)
- Layanan DNS (Misalnya, Akamai, CloudFront)
- Penyedia sertifikat (Misalnya, Entrust, DigiCert)
- Akun IaaS (Infrastruktur sebagai Layanan) dan SaaS (Perangkat Lunak sebagai Layanan)) (Misalnya: Digital Realty, Equinix, Splunk, USM Anywhere (USMA), Rapid7)
- Server dan manajemen akun administratif perangkat jaringan (Firewall, router, VPN, WAF, penyeimbang muatan, pencegahan DDoS, SIEM, basis data, Wi-Fi)
- Manajemen akun pengguna internal, (Direktori Aktif, LDAP atau yang setara, dan pihak ketiga yang dapat bertindak sebagai layanan penambahan atau pemeliharaan dan perbaikan staf, akses API)
- Manajemen akun konsumen (sering kali dikelola sendiri dalam database terpisah menggunakan serangkaian enkripsi, alat, dan hak istimewa atau kemampuan yang berbeda, dari login staf).
- PCI DSS v4.0 memperluas persyaratan ke semua sistem, akses otomatis, pengujian kredensial, dan antarmuka API, sehingga hal itu perlu dipertimbangkan juga.
Intinya, dengan cara apa pun seseorang atau sesuatu memvalidasi otorisasi mereka untuk menggunakan perangkat, layanan, atau aplikasi, otorisasi tersebut harus dipetakan ke peran dan hak istimewa yang diberikan kepada aktor tersebut. Tujuannya adalah untuk memastikan bahwa masing-masing diberi hak istimewa paling sedikit yang diperlukan untuk dapat menyelesaikan fungsi yang dimaksudkan dan dapat dimintai pertanggungjawaban atas tindakan mereka.
Sebanyak mungkin perangkat harus diintegrasikan ke dalam skema umum, karena memiliki banyak perangkat dengan akun admin lokal saja merupakan resep bencana.
Jika eskalasi hak istimewa dimungkinkan dari dalam akun yang sudah diautentikasi, mekanisme terjadinya harus didokumentasikan dan dipantau (dicatat) secara menyeluruh juga.
Persyaratan PCI DSS 7 meminta asesor untuk meninjau peran dan hak akses serta pengelompokan yang dapat ditugaskan kepada individu tersebut, dan bahwa individu tersebut secara khusus diizinkan untuk memiliki hak akses dan peran tersebut. Ini mencakup akses fisik dan logis.
