22.5 User Access ManagementThe obje

22.5 User Access Management
The objective of this Policy is to prevent unauthorized access to information systems. This Policy comprises the following controls: -
i. User registration
ii. User ID deletion
iii. Review of user access rights
iv. Suspension of user access
22.5.1 User Registration
User and external agencies are given a clear statement of the business requirements to be met by access controls. Access to multi-user information systems including applications, databases, operating systems and networking resources are controlled through a formal user registration process. User registration or deregistration procedure addresses the following aspects:
a) User registration form is used to create the users in the system. The user access for internal users is authorized by the Business / Information Owners as well as head of departments of the respective department to which the user belongs.
b) All users must be provided with unique user IDs so that user can be linked to and made accountable for their actions. A standard naming convention is adopted for creating the user IDs.
c) The use of group IDs/passwords to access the information systems is not permitted unless there is a business requirement and this is to be approved by GIOD IT Security.
d) Proper registration procedures are to be followed to create users for all systems and networking resources.
e) The Business / Information owner authorizing user registration is to ascertain that the level of access granted is appropriate to the business purpose and is consistent with the relevant security policy.
f) Level of access to be granted to the users must take into account the following considerations:
(i) Security requirements of all systems and IS resources.
(ii) Identification of sensitive information related to all systems and IT resources.
(iii) Policies for information dissemination and authorization, e.g. the need to know/need-to-do security levels and classification of information.
g) Access to third-party representatives must not be provided.
h) A formal record of all persons registered to use the services/applications is to be maintained.
i) IT Security must be informed of the employee’s discontinuance of work, or other status, so that access rights to such employees can be adequately and appropriately restricted.
j) An employee can only be released upon clearance from HR and HR has informed IT Security to disabled the access rights of the employee.
k) A monthly housekeeping of the user accounts must be conducted by IT Security and to cover the following. The report of such review is to be maintained for review.
(i) Review the access rights of users who have left the organization to ensure that the rights have been removed
(ii) Access rights of users who have been transferred to different locations, different departments, different divisions, different team, are to be reviewed in light of changed job requirement and accordingly modified in the system.
(iii) A check needs to be carried out by the system administrator for identifying and removing redundant user IDs and accounts
l) Normal users are not allowed to change user settings, which include the following:-
(i) Password rules
(ii) Change user settings/profile including user rank and type
m) Restrict the ability to change the following settings by the system administrator:
(i) Create/change configurations file
(ii) User access to application modules

ผลลัพธ์ (ไทย) 1:

22.5 จัดการการเข้าถึงผู้ใช้วัตถุประสงค์ของนโยบายนี้คือการ ป้องกันการเข้าถึงข้อมูลระบบ นโยบายนี้ประกอบด้วยตัวควบคุมต่อไปนี้: -i. ผู้ลงทะเบียนการลบครั้งที่สองผู้ใช้ IDiii. ทบทวนสิทธิการเข้าถึงของผู้ใช้iv. ระงับการเข้าถึงผู้ใช้22.5.1 ลงทะเบียนผู้ใช้ผู้ใช้และหน่วยงานภายนอกจะได้รับคำสั่งที่ชัดเจนของความต้องการทางธุรกิจจะต้องตอบสนอง ด้วยการควบคุมการเข้า การเข้าถึงข้อมูลแบบหลายผู้ใช้ระบบรวมถึงโปรแกรมประยุกต์ ฐานข้อมูล ระบบปฏิบัติการ และเครือข่ายทรัพยากรจะถูกควบคุมผ่านกระบวนการลงทะเบียนผู้ใช้ทาง ลงทะเบียนผู้ใช้ หรือ deregistration อยู่ตอนด้านต่อไปนี้:) แบบฟอร์มลงทะเบียนผู้ใช้ใช้ในการสร้างผู้ใช้ในระบบ ได้รับอนุญาตการเข้าถึงของผู้ใช้สำหรับผู้ใช้ภายในธุรกิจ / เจ้าของข้อมูลเป็นหัวหน้าแผนกกรมตามลำดับซึ่งผู้ใช้เป็นสมาชิกb) ผู้ใช้ทั้งหมดต้องมีให้กับรหัสผู้ใช้เฉพาะเพื่อให้ผู้ใช้สามารถเชื่อมโยงกับ และทำรับผิดชอบการกระทำของ ชื่อมาตรฐานถูกนำมาใช้เพื่อสร้างรหัสผู้ใช้c) การใช้กลุ่มรหัส/รหัสผ่านในการเข้าถึงระบบข้อมูลไม่ได้รับอนุญาตเว้นแต่จะมีความต้องการธุรกิจ และจึงได้รับการอนุมัติ โดย GIOD เรื่องความปลอดภัยd) ขั้นตอนการลงทะเบียนเหมาะสมเพื่อสร้างผู้ใช้สำหรับระบบและทรัพยากรเครือข่ายทั้งหมดได้อีธุรกิจ) และเจ้าของข้อมูลการอนุมัติการลงทะเบียนผู้ใช้จะตรวจว่าระดับการเข้าถึงให้เหมาะสมกับวัตถุประสงค์ทางธุรกิจ และสอดคล้องกับนโยบายความปลอดภัยที่เกี่ยวข้องf) ระดับการเข้าถึงที่จะมอบให้ผู้ใช้ต้องคำนึงถึงข้อควรพิจารณาดังต่อไปนี้:(i) ความต้องการความปลอดภัยของระบบและทรัพยากรของ IS ทั้งหมด(ii) การระบุข้อมูลที่สำคัญเกี่ยวข้องกับทุกระบบและทรัพยากร(iii) นโยบายเผยแพร่ข้อมูลและการตรวจสอบ เช่นจำเป็นต้องรู้/ต้องการสิ่งที่ต้องปฏิบัติความปลอดภัยระดับและประเภทของข้อมูลg) ไม่ต้องระบุถึงผู้อื่นh) บันทึกอย่างเป็นทางการของทุกคนลงทะเบียนเพื่อใช้บริการ/โปรแกรมประยุกต์จะต้องรักษาi) ความปลอดภัยจะต้องทราบของ discontinuance พนักงานการทำงาน หรือสถานะอื่น ๆ เพื่อให้สิทธิ์กับพนักงานดังกล่าวได้อย่างเพียงพอ และเหมาะสมจำกัดเจ) เฉพาะจะออกพนักงานตามเคลียร์จาก HR และ HR ทราบเรื่องความปลอดภัยเพื่อปิดใช้งานสิทธิ์การใช้งานของพนักงานได้k) การทำความสะอาดรายเดือนของบัญชีผู้ใช้ต้องดำเนินการ ด้วยความปลอดภัยได้ และครอบคลุมต่อไปนี้ รายงานการทบทวนดังกล่าวจะต้องรักษาเพื่อตรวจทาน(i) ทบทวนสิทธิการเข้าถึงของผู้ใช้ที่ได้จากองค์กรเพื่อให้แน่ใจว่า สิทธิ์ที่ถูกเอาออก(ii) การเข้าถึงสิทธิของผู้ใช้ที่มีการโอนย้ายไปตำแหน่ง แผนก หน่วยงานต่าง ๆ ทีมอื่น จะตรวจทานเมื่อความต้องการเปลี่ยนงาน และปรับเปลี่ยนให้สอดคล้องกัน ในระบบ(iii) การตรวจสอบต้องทำ โดยผู้ดูแลระบบสำหรับระบุ และลบรหัสผู้ใช้ที่ซ้ำซ้อนและบัญชีl) ปกติผู้ใช้ไม่สามารถเปลี่ยนการตั้งค่าผู้ใช้ ซึ่งรวมถึงต่อไปนี้: -(i) ผ่านกฎ(ii) เปลี่ยนการตั้งค่าผู้ใช้/โพรไฟล์ผู้ใช้ตำแหน่งและชนิดm) จำกัดความสามารถในการเปลี่ยนการตั้งค่าต่อไปนี้ โดยผู้ดูแลระบบ:(i) แฟ้มการกำหนดค่าสร้างเปลี่ยนแปลง(ii) ผู้ใช้เข้าถึงแอพลิเคชันโมดูล

ผลลัพธ์ (ไทย) 3:

22.5 การบริหารจัดการการเข้าถึงของผู้ใช้
วัตถุประสงค์ของนโยบายนี้เป็นนโยบายที่จะป้องกันการเข้าถึงระบบสารสนเทศ นโยบายนี้ประกอบด้วยการควบคุมดังต่อไปนี้ : -
ฉันลงทะเบียนผู้ใช้
2 การตรวจสอบรหัสผู้ใช้ของผู้ใช้สิทธิ์การเข้าถึง
3
4 . ระงับการเข้าถึงของผู้ใช้ผู้ใช้ลงทะเบียน

22.5.1ผู้ใช้และหน่วยงานภายนอกจะได้รับข้อความที่ชัดเจนของความต้องการทางธุรกิจที่จะถูกพบโดยการควบคุมการเข้าถึง การเข้าถึงผู้ใช้หลายคนรวมทั้งการประยุกต์ใช้ระบบสารสนเทศ ฐานข้อมูล ระบบปฏิบัติการและทรัพยากรเครือข่ายที่ถูกควบคุมผ่านกระบวนการการลงทะเบียนผู้ใช้ระบบ . ลงทะเบียนผู้ใช้หรือกระบวนการยกเลิกการลงทะเบียนที่อยู่ด้าน
) แบบฟอร์มการลงทะเบียนผู้ใช้ที่ใช้ในการสร้างผู้ใช้ในระบบ การเข้าถึงของผู้ใช้สำหรับผู้ใช้ภายในได้รับอนุญาตจากเจ้าของธุรกิจ / ข้อมูลเช่นเดียวกับหัวของแผนกแผนกที่เกี่ยวข้องที่ผู้ใช้เป็นของ .
b ) ผู้ใช้ทุกคนจะต้องได้รับรหัสผู้ใช้เฉพาะเพื่อให้ผู้ใช้สามารถเชื่อมโยงเพื่อให้รับผิดชอบต่อการกระทำของตนเองการประชุมการตั้งชื่อมาตรฐานใช้สำหรับการสร้างรหัสผู้ใช้ .
c ) ใช้กลุ่มรหัส / รหัสผ่านในการเข้าถึงข้อมูลไม่ได้รับอนุญาตเว้นแต่มีความต้องการทางธุรกิจและนี้ได้รับการอนุมัติโดยการรักษาความปลอดภัย giod .
d ) ขั้นตอนการลงทะเบียนที่เหมาะสมที่จะปฏิบัติตามเพื่อสร้างผู้ใช้สำหรับระบบทั้งหมด และ
ทรัพยากรเครือข่ายE ) เจ้าของธุรกิจ / ข้อมูลการลงทะเบียนผู้ใช้เพื่อให้แน่ใจว่าระดับการเข้าถึงที่ได้รับเหมาะสมกับวัตถุประสงค์ทางธุรกิจ และสอดคล้องกับนโยบายความปลอดภัยที่เกี่ยวข้อง .
f ) ระดับการเข้าถึงให้กับผู้ใช้ที่ต้องพิจารณา การพิจารณาดังต่อไปนี้ :
( i ) ความต้องการความปลอดภัยของระบบทั้งหมดและ
เป็นทรัพยากร( 2 ) การระบุข้อมูลที่สำคัญที่เกี่ยวข้องกับทุกระบบและทรัพยากร .
( 3 ) นโยบายเผยแพร่ข้อมูลและอนุมัติ เช่น ต้องรู้ ต้องทำระดับการรักษาความปลอดภัยและการจัดหมวดหมู่ของข้อมูล .
g ) การเข้าถึงตัวแทนบุคคลที่สามไม่ต้องให้
H ) บันทึกอย่างเป็นทางการของผู้ลงทะเบียนทั้งหมด ที่จะใช้บริการ / งานคือการรักษา .
ฉัน ) การรักษาความปลอดภัยจะต้องแจ้งของพนักงานหยุดทำงาน หรือสถานะอื่นใด เพื่อให้สิทธิ์การเข้าถึงให้กับพนักงานดังกล่าวสามารถอย่างเพียงพอและเหมาะสม จำกัด .
J ) พนักงานสามารถได้รับการปล่อยตัวเมื่อแหวนจาก HR และ HR แจ้งการเพื่อความสะดวกการเข้าถึงสิทธิของพนักงาน
K ) แม่บ้านรายเดือนของบัญชีผู้ใช้จะต้องดำเนินการโดยการรักษาความปลอดภัยและครอบคลุมต่อไปนี้ รายงานการทบทวนดังกล่าวจะถูกเก็บรักษาไว้เพื่อการตรวจสอบ .
( i ) การทบทวนสิทธิการเข้าถึงของผู้ใช้ที่องค์กรด้านซ้ายเพื่อให้มั่นใจว่าสิทธิได้ถูกลบออก
( 2 ) สิทธิ์การเข้าถึงของผู้ใช้ที่ได้รับการโอนไปยังสถานที่ ต่างฝ่ายต่าง ๆส่วน ทีมที่แตกต่างกันที่แตกต่างกันที่จะต้องดูในแง่ของการเปลี่ยนแปลงและแก้ไขงานตามความต้องการในระบบ .
( 3 ) การตรวจสอบจะต้องดำเนินการโดยผู้ดูแลระบบเพื่อระบุและลบซ้ำซ้อนรหัสผู้ใช้และบัญชี
L ) ผู้ใช้ปกติจะไม่อนุญาตให้เปลี่ยนการตั้งค่าผู้ใช้ ซึ่งรวมถึงต่อไปนี้ : -
( )
กฎของรหัสผ่าน( II ) การเปลี่ยนแปลงการตั้งค่าโปรไฟล์ผู้ใช้และผู้ใช้รวมถึงอันดับประเภท
m ) จํากัดความสามารถในการเปลี่ยนการตั้งค่าดังต่อไปนี้โดยผู้ดูแลระบบ :
( i ) สร้าง / เปลี่ยนแปลงการตั้งค่าไฟล์
( 2 ) ผู้ใช้สามารถเข้าถึงโปรแกรมโมดูล