Lektion 6 von 6 · Video
Die vierteljährliche Überprüfung
Der Fortschritt wird nur auf diesem Gerät gespeichert. Mit einem kostenlosen LFW-Konto geräteübergreifend speichern.
Lehrplan0 von 6 erledigt
Gleichen Sie alle drei Monate das Inventar mit der Wirklichkeit ab, entfernen Sie nicht mehr benötigte Zugänge, prüfen Sie zweistufige Anmeldung und Wiederherstellungsdaten, bestätigen Sie Verlängerungen und berichten Sie dann, was Sie gefunden haben.
Notizen
Schritt 1 von 8
Einstieg
Das Inventar aus Lektion 1 beginnt an dem Tag zu veralten, an dem Sie es fertigstellen. Personen kommen und gehen, Dienstleister wechseln, jemand meldet mit einer Karte einen neuen Dienst an, eine Wiederherstellungs-Telefonnummer ändert sich. Eine Überprüfung alle drei Monate erfasst diese Verschiebungen, solange sie noch klein sind.
Diese Lektion ist die Überprüfung. Sobald das Inventar existiert, dauert sie etwa eine Stunde.
Schritt 2 von 8
Wann
Tragen Sie vier Termine für das Jahr in den Kalender ein, etwa jeweils die erste Woche im Januar, April, Juli und Oktober. Wählen Sie eine Zeit, die nicht die geschäftigste für Sitzungen oder Haushaltsarbeit ist. Benennen Sie eine Vertretung, die die Überprüfung durchführt, wenn Sie es nicht können.
Schritt 3 von 8
Die Überprüfung, Konto für Konto
Öffnen Sie das Inventar und die aktuelle Personalliste nebeneinander. Prüfen Sie für jedes Konto:
- Personen: Arbeiten alle mit Zugang noch hier oder noch mit uns? Entfernen Sie alle, bei denen das nicht der Fall ist.
- Rollen: Ist die Rolle jeder Person noch die kleinste, die zu ihrer Aufgabe passt (Lektion 3)?
- Inaktive Konten: Hat sich jemand seit Monaten nicht angemeldet? Das Ziel 3.D der CISA verlangt, Benutzerzugänge zu überprüfen und Konten zu deaktivieren, die einen festgelegten Zeitraum lang inaktiv waren, und nennt 30 Tage als Beispiel. Viele Dienste zeigen das Datum der letzten Anmeldung an.
- Zweistufige Anmeldung: Ist sie für jede Person aktiv, und ist die Methode noch eine, die die Person erreichen kann?
- Wiederherstellungsdaten: Verweisen Wiederherstellungs-E-Mails und -Telefonnummern auf Funktionspostfächer oder aktuelle Personen?
- Dienstleister: Entspricht jedes Dienstleisterkonto einem laufenden Vertrag (Lektion 5)?
Beheben Sie, was Sie sofort beheben können. Schreiben Sie auf, was Sie nicht beheben können.
Schritt 4 von 8
Die Adresse, jedes Quartal
Die Domain ist das eine Konto, das alles mitreißt, wenn es abläuft. Jedes Quartal:
- prüfen Sie das Ablaufdatum,
- vergewissern Sie sich, dass die automatische Verlängerung aktiv ist, mit einem Zahlungsmittel, das die Einrichtung kontrolliert und das nicht vorher abläuft,
- vergewissern Sie sich, dass Domaininhaber und Kontakte aktuell sind,
- wenn Sie eine .gov-Domain haben, vergewissern Sie sich, dass die Kontakte in Ihrem get.gov-Konto aktuell sind.
Schritt 5 von 8
Nach neuen Konten suchen
Hat seit der letzten Überprüfung jemand einen neuen Dienst begonnen? Prüfen Sie:
- Kartenabrechnungen und Rechnungen des Quartals,
- neue Seiten auf Ihrer Website, die externe Dienste einbetten,
- Fragen an die Abteilungsleitungen: „Haben Sie sich für etwas Neues für die Website oder für Social Media angemeldet?“
Ergänzen Sie, was Sie finden, im Inventar, mit einer verantwortlichen Person.
Schritt 6 von 8
Der Passwortmanager
Überprüfen Sie die gemeinsamen Tresore:
- Entspricht die Mitgliedschaft jedes Tresors den Personen, die Zugang haben sollten?
- Gibt es Passwörter für Dienste, die nicht mehr existieren? Archivieren oder entfernen Sie sie.
- Ist ein gemeinsames Passwort darunter, das eine ausgeschiedene Person kannte und das übersehen wurde?
Schritt 7 von 8
Festhalten und berichten
Schreiben Sie am Ende eine kurze Aufzeichnung:
- das Datum und wer die Überprüfung durchgeführt hat,
- wie viele Konten geprüft wurden,
- was behoben wurde (Personen entfernt, Rollen herabgesetzt, Wiederherstellungsdaten aktualisiert),
- was noch offen ist, mit verantwortlicher Person und Datum.
Schicken Sie sie an Ihre Vorgesetzten und bewahren Sie eine Kopie beim Inventar auf. Wenn Sie den monatlichen Website-Bericht aus dem Kurs Eine öffentliche Website im Alltag betreiben schreiben, nehmen Sie die offenen Punkte in dessen Abschnitt zu Entscheidungen auf.
Schritt 8 von 8
Wie ein gutes Jahr aussieht
Nach vier Überprüfungen hat jedes Konto eine verantwortliche Person, mindestens zwei Personen können sich anmelden, niemand, der ausgeschieden ist, hat noch Zugang, jeder Zugang hat eine zweistufige Anmeldung, und keine Verlängerung kommt überraschend. Wenn jemand fragt: „Wer kontrolliert unsere Website?“, können Sie in einer Minute antworten.
Quellen
- CISA, Cross-Sector Cybersecurity Performance Goals 2.0 (2.A, 3.D, 3.F)
- get.gov, .gov domain registration
- CISA, Secure Our World
Transkript
Synthetische Sprecherstimme; später ersetzt sie eine aufgenommene Stimme.
- 0:00The inventory starts going out of date the day you finish it.
- 0:03People join and leave, vendors come and go, a recovery phone number changes.
- 0:08A review every three months catches the drift while it is still small.
- 0:12Put four dates on the calendar for the year, such as the first week of January, April, July and October, and name a backup who runs it if you cannot.
- 0:22Open the inventory and the current staff list side by side.
- 0:26Then, for each account, the six checks.
- 0:29Here is the Users screen of a fictional city site.
- 0:32One: people.
- 0:34Does everyone with access still work here, or still work with us?
- 0:37Last year's summer intern still has an account.
- 0:40Remove anyone who does not.
- 0:43Two: roles.
- 0:44Is each person's role still the smallest that fits their job?
- 0:48Three people here are administrators.
- 0:50Does each of them need to be?
- 0:52Three: inactive accounts.
- 0:55Has anyone not signed in for months?
- 0:57CISA's goals call for disabling accounts inactive for a set period, and give 30 days as an example.
- 1:04Four and five: is two-step sign-in on for every person, and do recovery emails and phones point to role mailboxes or current people?
- 1:13Six: vendors.
- 1:14Does every vendor account match an active contract?
- 1:17A web design firm is an administrator here.
- 1:20Is that contract still running?
- 1:23Then the address.
- 1:24The domain is the one account that takes everything down if it lapses.
- 1:28Check the expiration date, that auto-renew is on with a payment method the institution controls, and that the contacts are current.
- 1:36Look for new accounts in the quarter's card statements and invoices, and ask department heads.
- 1:41Review the password manager's shared vaults.
- 1:44Then write a short record: who did the review, what was fixed, and what is still open, with an owner and a date.
- 1:52Your task.
- 1:53Put four review dates on the calendar and name your backup.
- 1:56Run the first review now, with the six checks for every account.
- 2:00Check your domain's expiration, auto-renew and contacts.
- 2:03Write the record and send it to your manager.
Aufgabe
Ihre Aufgabe in Ihrer Einrichtung
Quiz
4 Fragen. Wählen Sie bei jeder eine Antwort und prüfen Sie dann. Zu jeder Antwort wird die Begründung angezeigt.
Antworten zeigen
- B. Das Inventar und die Personalliste mit den Personen, die tatsächlich Zugang haben. Zugänge verschieben sich mit der Zeit. Die Überprüfung findet, was sich unbemerkt geändert hat.
- B. Zugänge überprüfen und Konten deaktivieren, die einen festgelegten Zeitraum lang inaktiv waren. Die CISA nennt 30 Tage als Beispielzeitraum für das Deaktivieren inaktiver Konten.
- B. Sie jetzt verlängern oder die automatische Verlängerung einschalten, mit einem Zahlungsmittel der Einrichtung. Eine abgelaufene Domain reißt die Website und meist auch die E-Mail mit.
- B. Eine datierte Aufzeichnung dessen, was geprüft, gefunden und behoben wurde, an Ihre Vorgesetzten geschickt. Die Aufzeichnung zeigt, dass die Überprüfung stattgefunden hat und was noch offen ist.
Sie haben auf diesem Gerät alle Lektionen von „Gemeinsame Konten und Offboarding“ erledigt. Ein kostenloses LFW-Konto speichert das und gibt Ihnen einen datierten Abschlussnachweis.