Registro di revisione dei diritti di accesso ISO 27001

Che cosa richiede la norma

---

Che cosa impone la norma ISO 27001 e che cosa lascia alla sua discrezione

Il controllo 5.18 chiede che i diritti di accesso siano assegnati, riesaminati, modificati e revocati in conformità alla politica di controllo degli accessi (5.15). La revisione periodica è la parte più dimenticata e quella che genera più rilievi.

La norma non fissa la frequenza: la decide l’organizzazione in base al rischio. Di solito si riesaminano più spesso gli accessi privilegiati di quelli ordinari, e sempre dopo cambi di mansione o uscite.

Ciò che trasforma la revisione in evidenza è che la faccia il proprietario del sistema o del dato, non solo l’IT, e che lasci traccia di ciò che si mantiene e di ciò che si revoca.

Struttura

---

Campi che il modello deve contenere

• Sistema o applicazione riesaminata
• Data e periodo coperto
• Elenco di utenti e permessi riesaminati
• Revisore: proprietario del sistema
• Decisione per utente: mantenere, ridurre, revocare
• Account generici, di servizio e privilegiati, con la relativa giustificazione
• Modifiche applicate e data

In audit

---

Errori che gli auditor rilevano più spesso

• La revisione la fa l’IT senza che decida il proprietario del dato.
• Si riesamina l’elenco e lo si firma, ma non si applica alcuna modifica.
• Restano attivi gli account di persone uscite dall’azienda da mesi.
• Account generici condivisi senza proprietario né giustificazione.

In Kimobox

---

Come si gestisce questa registrazione in Kimobox

1. 1I permessi si gestiscono per profilo dal portale del dipendente.
2. 2La revisione periodica di accessi e privilegi per profilo resta registrata con la data e il revisore.
3. 3La cessazione nella scheda del personale chiude automaticamente gli accessi al portale, all’app e ai moduli associati.

Domande frequenti

---

Cosa ci chiedono prima di iniziare