Pređi na sadržaj
FIN-CSIRT
EN

FIN-CSIRT / Pretraga

Šta tražite?

Počnite unos da biste videli rezultate.
    Prijavi incident

    FIN-CSIRT / Praktična lekcija

    Kontrolišite ko može da vidi, menja i prosleđuje dokument

    Jedan pogrešan primalac ili javni link može otkriti podatke. Podesite pristup prema zadatku i proverite ga i nakon slanja.

    Zaposleni, spoljni saradnici i korisnici servisa u oblakuOko 6 minuta čitanja + 3 pitanja
    Pogledajte primer Dokument je podeljen pogrešnoj osobi?

    Šta ćete naučiti

    • Izaberite imenovani pristup umesto javnog linka kada sadržaj nije javan.
    • Dodelite samo pravo koje je primaocu potrebno.
    • Opozovite pogrešno ili zastarelo deljenje.

    Primer za vežbu

    Spisak klijenata poslat spoljnim saradnicima

    Servis u oblakuSpisak klijenata poslat spoljnim saradnicima

    Svako ko ima link može da pregleda i preuzme dokument. Link nema datum isteka.

    Pristup nije vezan za osobuDozvoljeno je više nego što trebaPristup nema kraj
    Izmišljeni primer za vežbu.
    Pogledajte objašnjenje
    Pristup nije vezan za osobu
    Link se može proslediti dalje bez jasnog zapisa o stvarnom primaocu.
    Dozvoljeno je više nego što treba
    Za pregled nije potrebno pravo izmene, preuzimanja ili daljeg deljenja.
    Pristup nema kraj
    Saradnja može biti završena, dok dokument ostaje dostupan.

    Pre deljenja: proverite sadržaj i primaoca

    Prvo utvrdite da li dokument sme da napusti organizaciju i da li sadrži više podataka nego što je primaocu potrebno. Proverite punu adresu ili nalog primaoca; automatsko dopunjavanje može izabrati osobu sličnog imena.

    Za poverljiv sadržaj izbegavajte opciju „svako ko ima link”. Pristup vežite za imenovan nalog i, kada servis to omogućava, zahtevajte prijavu i dodatnu autentifikaciju.

    Dodelite najmanje potrebno pravo

    Razdvojite tri odluke:

    1. Ko pristupa? Jedna osoba, definisana grupa ili cela organizacija.
    2. Šta može da uradi? Pregled, komentar, izmena, preuzimanje ili dalje deljenje.
    3. Koliko dugo? Do datuma, završetka zadatka ili dok vlasnik ručno ne opozove pristup.

    Ako je dovoljno čitanje, ne dajte pravo izmene. Ako saradnja ima rok, postavite datum isteka ili zabeležite obavezu uklanjanja pristupa.

    Link nije isto što i kontrola

    Javni link je jednostavan, ali otežava proveru ko ga je koristio. Može završiti u prosleđenoj poruci, istoriji razgovora ili starom projektnom dokumentu. Za osetljive podatke deljenje imenovanog pristupa omogućava bolju evidenciju i opoziv.

    Ne unosite lozinku za servis u oblaku na stranici otvorenoj iz neočekivane poruke. Saradnički pozivi su čest mamac za krađu naloga; dokument otvorite preko zvanične aplikacije ili poznate adrese servisa.

    Pregledajte pristup tokom saradnje

    • Periodično proverite listu ljudi i grupa sa pristupom.
    • Uklonite osobe koje više ne rade na zadatku.
    • Proverite da li primalac sme da prosleđuje ili preuzima sadržaj.
    • Izbegavajte deljenje preko zajedničkih ili privatnih naloga kada postoji poslovni nalog.
    • Vlasništvo nad važnim dokumentom držite na nalogu organizacije, ne na nalogu pojedinca koji može otići.

    Ako je dokument podeljen pogrešno

    1. Odmah uklonite pogrešnog primaoca ili isključite javni link.
    2. Sačuvajte podatke o dokumentu, primaocu, vremenu deljenja i dostupnim zapisima pristupa.
    3. Obavestite vlasnika podataka, nadređenog ili bezbednosni tim prema pravilima organizacije.
    4. Ne pretpostavljajte da opoziv briše već preuzetu kopiju.
    5. Procena incidenta treba da uzme u obzir vrstu podataka, stvarni pristup i mogućnost daljeg deljenja.

    Provera znanja · 3

    Kako biste postupili?

    Za svako prikazano pitanje izaberite jedan odgovor. Složenije lekcije pri svakom učitavanju biraju tri pitanja iz šire baze.

    Otvorite pitanje da pročitate odgovore i objašnjenja. Ovaj prikaz radi i bez JavaScripta.

    Dokument sadrži poslovne podatke i treba ga videti jedan spoljni saradnik. Kako ga delite?

    Zašto je ovo važno? Imenovani pristup omogućava proveru identiteta i kasniji opoziv bez slanja nove kopije.

    1. Javnim linkom bez roka, da ne bi imao problem sa prijavom.

      Javni link može biti prosleđen i ostati aktivan posle završetka posla.

    2. Na imenovani nalog, samo za pregled i uz rok koji odgovara zadatku.Tačan odgovor

      Primalac, ovlašćenje i trajanje odgovaraju stvarnoj potrebi.

    3. Kao prilog na privatnu adresu koju je poslao u poruci.

      Privatna adresa i nova kopija mogu zaobići pravila organizacije i otežati opoziv.

    Primaocu treba samo da pročita dokument. Koja dozvola je primerena?

    Zašto je ovo važno? Najmanje potrebno ovlašćenje smanjuje posledice greške ili kompromitovanog naloga.

    1. Vlasnik dokumenta.

      Vlasništvo daje znatno više kontrole nego što je potrebno.

    2. Može da menja i deli dalje.

      Izmena i dalje deljenje nisu potrebni za čitanje.

    3. Može da pregleda.Tačan odgovor

      Pravo pregleda odgovara zadatku bez suvišnih mogućnosti.

    Dokument je podeljen pogrešnoj osobi. Šta radite prvo?

    Zašto je ovo važno? Brz opoziv može sprečiti budući pristup, ali ne može dokazati da sadržaj već nije pregledan ili preuzet.

    1. Odmah uklanjam pristup i obaveštavam vlasnika podataka ili nadležni tim.Tačan odgovor

      Opoziv ograničava dalju izloženost, a prijava omogućava procenu i dokumentovanje događaja.

    2. Menjam naziv dokumenta.

      Promena naziva ne menja dozvole postojećeg linka.

    3. Čekam da primalac potvrdi da nije otvorio link.

      Čekanje ostavlja pristup aktivnim i odlaže reakciju.

    Kviz možete da uradite bez registracije. Odgovori se ne šalju, a rezultat služi za ličnu proveru znanja.

    Delite pristup, ne nekontrolisanu kopiju

    Proverite primaoca, minimalnu dozvolu i trenutak kada pristup treba ukloniti.

    Postupite ako su podaci već bili izloženi

    Reference

    Izvori i dodatno čitanje

    Preporuke o poverljivom podrazumevanom stanju, imenovanim primaocima, minimalnim dozvolama i opozivu zasnovane su na smernicama britanskog Nacionalnog centra za sajber bezbednost za bezbedno korišćenje SaaS servisa (UK).

    Poslednja provera sadržaja