Dieses Dokument beschreibt einen Beispielablauf für eine Drittanbieter-Intervention in fünf Schritten: Autorisierung, Identifikation, Umfang, Sitzung und Abschluss.
Betrachten Sie es als Vorlage zur Inspiration, nicht als Verfahren, das buchstabengetreu befolgt werden muss. Kopieren Sie es, streichen Sie, was für Sie nicht zutrifft, ergänzen Sie die Prüfungen, die Ihr Standort tatsächlich erfordert, und machen Sie es zu Ihrem eigenen.
Das Beispiel behandelt einen Integrator, der an einem Pumpenregler arbeitet. Die gleiche Abfolge gilt für einen Maschinenbauer, einen SCADA-Anbieter oder einen Support-Ingenieur, der sich von einem anderen Kontinent einwählt.
Schritt 1: Arbeit autorisieren, bevor etwas erstellt wird
Der Zugang folgt dem Arbeitsauftrag, nicht umgekehrt.
- Bestätigen Sie, dass ein Arbeitsauftrag oder Vertrag für diese Intervention vorliegt.
- Legen Sie fest, was der Anbieter tatsächlich berühren muss. Fragen Sie nach Assets und Protokollen, nicht nach „Zugang zum Netzwerk".
- Vereinbaren Sie ein Zeitfenster. Ein Start- und ein Enddatum, nicht „diese Woche".
- Notieren Sie, wer an Ihrem Standort diese Intervention verantwortet und Änderungen daran genehmigt.
Schritt 2: Anbieter als temporären Benutzer anlegen
Anbieter gehören nicht in das Unternehmensverzeichnis, wo ein vergessenes Konto den Auftrag um Jahre überdauert.
- Gehen Sie zu Users und wählen Sie Create User für den einzelnen Ingenieur, nicht für das Anbieterunternehmen.
- Füllen Sie die Details aus und legen Sie das security level für die auszuführenden Arbeiten fest.
- Verwenden Sie unter Login Information die Option Set Password, um dem Anbieter Zugangsdaten zu vergeben. Login Source zeigt Access Gate an, d. h. dieses Konto ist lokal am Gate und nicht in Ihrem Unternehmensverzeichnis.
- Hängen Sie den Arbeitsauftrag als conformity record an und setzen Sie das expiration date auf das Ende des Interventionszeitraums.
Ein Benutzer pro Ingenieur ist hier entscheidend. Ein gemeinsam genutztes Anbieterkonto bedeutet, dass die Sitzungsaufzeichnung nicht erkennen lässt, welche Person was getan hat, genau die Frage, die nach einem Vorfall gestellt wird. Beachten Sie das Panel History (Enclaves) im Datensatz: Die Erstellung des Kontos und jede Enclave, der es hinzugefügt wird, werden ab dem Moment seiner Erstellung protokolliert.
Siehe Beispielprozess zur Einarbeitung eines neuen Benutzers für den vollständigen Benutzerdatensatz.
Schritt 3: Zugang auf den Arbeitsumfang beschränken
- Öffnen Sie die enclave, die die Assets im Arbeitsauftrag abdeckt.
- Verwenden Sie Edit principals, um diesem Ingenieur nur die erforderlichen Dienste zu erlauben.
- Prüfen Sie, ob für diesen Anbieter noch bestehender Zugang aus einem früheren Besuch vorhanden ist.
Diese letzte Prüfung ist die, die am häufigsten übersprungen wird. Ein Zugang, der vor zwei Jahren für einen Auftrag erteilt wurde, ist immer noch ein Zugang, und er wird niemandem auffallen, bis er entweder überprüft oder genutzt wird.
Schritt 4: Sitzung über Access Gate führen
Das VPN des Anbieters zeigt auf das Access Gate und auf nichts anderes. Das ist die gesamte Vereinbarung. Der Anbieter erhält keinen Tunnel in das Anlagennetzwerk, keine Route zur Zielmaschine und keine Zugangsdaten für das Gerät selbst. Seine Verbindung endet am Gate, er authentifiziert sich dort als er selbst, und das Gate öffnet eine Sitzung zu dem einen System, das er erreichen darf, für einen festgelegten Zeitraum.
Wenn ein Anbieter ein VPN in Ihr Netzwerk anfordert, lautet die Antwort: Er erhält ein VPN zum Access Gate. Nichts Internes ist direkt erreichbar, weder vor noch nach der Authentifizierung.
- Richten Sie das VPN oder den Zugang des Anbieters auf das Access Gate aus, niemals auf ein internes Subnetz.
- Teilen Sie ihm die Zugangs-URL mit, zum Beispiel
yoursite.tr-sec.net/access_form?id=vendor_abc. - Lassen Sie ihn sich über den access screen authentifizieren, der eine benutzerbezogene Anmeldung gegen Ihr Verzeichnis erzwingt, bevor irgendetwas erreichbar ist.
- Setzen Sie den preset timeout des Access Screen passend zur Arbeit. Fünfzehn Minuten für eine hochsichere Enclave, eine Stunde für Standard-Engineering-Arbeiten, acht Stunden für eine Schicht.
Nach der Authentifizierung öffnet das Gate eine Sitzung, die an diese namentlich genannte Person gebunden und durch den von Ihnen festgelegten Timeout begrenzt ist. Wenn das Fenster schließt, widerruft sich der Zugang selbst, und der Anbieter authentifiziert sich erneut, falls die Arbeit noch nicht abgeschlossen ist. Die Sitzung wird durchgehend vermittelt und aufgezeichnet:
Der Text des Access Screen sollte sinnvoll genutzt werden. Dort werden die Bedingungen für den Zugang zu Ihrem Netzwerk der Person gezeigt, die ihn gleich nutzen wird, anstatt in einem Vertrag zu stehen, den vor Ort niemand liest. Siehe Authenticate Users with Access Screens und Privileged Access Management für die Einrichtung beider Funktionen.
Schritt 5: Abschließen und Nachweise sichern
- Entfernen Sie die für diese Intervention erteilten Enclave-Berechtigungen.
- Prüfen Sie die enclave change history, damit sowohl die Erteilung als auch die Aufhebung dokumentiert sind.
- Notieren Sie, was der Anbieter tatsächlich geändert hat, in Ihrem eigenen Wartungsprotokoll sowie in dem des Anbieters.
- Lassen Sie den conformity record ablaufen oder schließen Sie ihn, falls die Arbeit vorzeitig abgeschlossen wurde.
Die Änderungshistorie kann weder bearbeitet noch gelöscht werden, das ist es, was sie als Beweismittel nutzbar macht und nicht nur als Protokoll.
Was erreicht wurde
In den fünf Schritten haben wir:
- Den Zugang an einen Arbeitsauftrag mit Enddatum gebunden, sodass er einen Grund hat zu existieren und einen Grund hat aufzuhören.
- Den einzelnen Ingenieur identifiziert, sodass die Aufzeichnung beantwortet, wer, nicht nur was.
- Die Berechtigung auf benannte Assets und Protokolle statt auf Netzwerkreichweite eingegrenzt.
- Den Zugang des Anbieters am Access Gate beendet, sodass intern nichts jemals direkt erreichbar war und die Sitzung an die Person und die Uhr gebunden war.
- Den Zugang geschlossen und einen manipulationssicheren Nachweis des gesamten Vorgangs aufbewahrt.
Der Anbieter hat seine Arbeit erledigt, die Anlage lief weiter, und wenn jemand in achtzehn Monaten fragt, wer an diesem Regler war und wozu er berechtigt war, liegt die Antwort in der Akte und nicht in jemandes Erinnerung.