CIS Control 5: Gestione degli account

I CIS Critical Security Controls sono strumenti potenti per aiutare le imprese a valutare le loro vulnerabilità, gestire efficacemente i rischi di cybersecurity, rafforzare la loro postura di sicurezza e stabilire e mantenere la conformità con gli obblighi di cybersecurity.

Il CIS Control 5 offre strategie per garantire che i tuoi account utente, amministratore e servizio siano gestiti correttamente. Ad esempio, copre l'impostazione di controlli di accesso ai dati forti e l'implementazione di un monitoraggio continuo per proteggere gli account dall'essere sfruttati dagli attaccanti. Questo articolo descrive questi benchmark CIS in modo più dettagliato per aiutarti a evitare problemi di cybersecurity causati da account vulnerabili.

(Si noti che alcuni CIS controls sono stati rinumerati nella versione 8; in precedenza, la gestione degli account era il CIS Control 16.)

5.1 Stabilire e mantenere un inventario degli account

Il Controllo CIS 5 si concentra sull'istituire e mantenere un inventario degli account amministratori e utenti in un'impresa. Il nome del titolare dell'account, le date di inizio/fine, il nome utente e il dipartimento dovrebbero essere documentati; può essere utile documentare anche lo scopo dell'account.

Mantenere l'inventario richiede di verificare regolarmente che tutti gli account attualmente in uso siano autorizzati. Normalmente, la convalida avviene trimestralmente, anche se potrebbe essere effettuata più frequentemente se necessario. È importante utilizzare questo processo in connessione con le misure di salvaguardia dell'inventario elencate in altri controlli, come i seguenti:

• 1.1: Utilizzare uno strumento di Active Discovery
• 2.1: Mantenere l'inventario del software autorizzato
• 3.2: Eseguire la scansione delle vulnerabilità autenticate
• 5.1: Stabilire configurazioni sicure
• 6.6: Distribuisci SIEM o strumenti di analisi dei log
• 16.4: Criptare o fare l'hash di tutte le credenziali di autenticazione

5.2 Utilizzare Password Uniche

Utilizzare password uniche per ogni account nella tua rete è fondamentale per proteggere le risorse aziendali da accessi non autorizzati. Le migliori pratiche delineate dal CIS includono:

• Richiedere una lunghezza minima della password di otto caratteri quando combinata con l'autenticazione a più fattori (MFA), e una lunghezza di almeno 14 caratteri per gli account che non utilizzano MFA.
• Evitate di usare password che sono facili da indovinare per gli hacker, come nomi o date di nascita.
• Evita di riutilizzare password passate perché potrebbero essere state violate, il che aumenta il rischio di una violazione dei dati
• Modificate le password predefinite per tutte le applicazioni.

5.3 Disabilita Account Inattivi

Gli account inattivi sono quelli che non sono stati utilizzati per almeno 45 giorni. Effettuare regolarmente audit del proprio ambiente per questi account e disabilitarli o eliminarli riduce il rischio che gli hacker li compromettano e accedano alla tua rete. Puoi disabilitare automaticamente questi account impostando delle date di scadenza, se il sistema della tua azienda lo supporta.

5.4 Limitare i privilegi di amministratore agli account amministratore dedicati

Gli account Privileged dovrebbero essere utilizzati solo quando necessario per completare compiti amministrativi. Quando gli amministratori vogliono eseguire compiti regolari come navigare in internet o lavorare con le email, dovrebbero utilizzare il loro account non privilegiato per minimizzare i rischi per la sicurezza.

5.5 Stabilire e Mantenere un Inventario degli Account di Servizio

È importante stabilire un inventario di tutti gli account di servizio. Come minimo, dovrebbe includere il nome del responsabile del dipartimento, la data di revisione e lo scopo dell'account. L'inventario dovrebbe essere esaminato secondo una pianificazione, almeno trimestralmente, per confermare che tutti gli account attivi siano ancora necessari.

5.6 Centralizzare la gestione degli account

Centralizzare tutta la gestione degli account in un unico posto utilizzando un servizio di identità o directory, come Active Directory, semplifica il lavoro e aiuta a garantire l'accuratezza.