Configurare i controlli di accesso all'identità per soddisfare il livello di High Impact di FedRAMP

L'organizzazione
(a.) Identifica e seleziona i tipi di account del sistema informativo seguenti per supportare le missioni organizzative e le funzioni aziendali: [assegnazione: tipi di account del sistema informativo definiti dall'organizzazione];

(b.) Assegna i gestori degli account per gli account del sistema informativo;

(c.) Stabilisce le condizioni per l'appartenenza a gruppi e ruoli;

(d.) Specifica gli utenti autorizzati del sistema informativo, l'appartenenza a gruppi e ruoli e le autorizzazioni di accesso (ad esempio, privilegi) e altri attributi (in base alle esigenze) per ogni account;

(e.) Richiede approvazioni per [assegnazione: personale o ruoli definiti dall'organizzazione] per le richieste di creazione di account del sistema informativo;

(f.) Crea, abilita, modifica, disabilita e rimuove gli account del sistema informativo in base a [assegnazione: procedure o condizioni definite dall'organizzazione];

(g.) Monitora l'uso degli account del sistema informativo;

(h.) Notifica ai responsabili degli account:
(1.) Quando gli account non sono più necessari;
(2.) Quando gli utenti vengono terminati o trasferiti; e
(3.) Quando l'utilizzo o ciò che occorre sapere sui singoli sistemi informatici cambia;

(i.) Autorizza l'accesso al sistema informativo in base a:
(1.) Autorizzazione di accesso valida;
(2.) Utilizzo previsto del sistema; e
(3.) Altri attributi richiesti dall'organizzazione o dalle funzioni aziendali/missioni associate;

(j.) Verifica la conformità ai requisiti di gestione degli account [Assegnazione FedRAMP: mensile per l'accesso con privilegi, ogni sei (6) mesi per l'accesso senza privilegi]; E

(k.) Stabilisce un processo per la riemissione delle credenziali dell'account condiviso/gruppo (se distribuito) quando i singoli utenti vengono rimossi dal gruppo.

Usare Microsoft Entra ID per effettuare il provisioning di account da sistemi HR esterni, on-premises Active Directory o direttamente nel cloud. Tutte le operazioni del ciclo di vita dell'account vengono controllate all'interno dei log di controllo Microsoft Entra. È possibile raccogliere e analizzare i log usando una soluzione SIEM (Security Information and Event Management), ad esempio Microsoft Sentinel. In alternativa, è possibile usare Azure Event Hubs per integrare i log con soluzioni SIEM di terze parti per abilitare il monitoraggio e la notifica. Usare la gestione delle entitlements di Microsoft Entra con le verifiche degli accessi per garantire lo stato di conformità degli account.

Configurazione degli account

Configurare il provisioning automatizzato degli account controllati dai clienti dai sistemi HR esterni o da Active Directory in sede. Per le applicazioni che supportano il provisioning delle applicazioni, configurare Microsoft Entra ID per creare automaticamente identità utente e ruoli nelle applicazioni software cloud come soluzione (SaaS) a cui gli utenti devono accedere. Oltre a creare le identità utente, il provisioning automatico include la manutenzione e la rimozione delle identità utente quando lo stato o i ruoli cambiano. Per semplificare il monitoraggio dell'utilizzo degli account, è possibile trasmettere Microsoft Entra ID Protection log, che mostrano utenti rischiosi, accessi a rischio e rilevamenti dei rischi e log di controllo direttamente in Microsoft Sentinel o Hub eventi.

Provisionamento

AC-02(3)
Il sistema informativo disabilita automaticamente gli account inattivi dopo [Assegnazione FedRAMP: trentacinque (35) giorni per gli account utente].

Ac-2 (3) requisiti e indicazioni aggiuntivi di FedRAMP:
Requisito: Il provider di servizi definisce il periodo di tempo per gli account non utente , ad esempio gli account associati ai dispositivi. I periodi di tempo sono approvati e accettati da JAB/AO. Se la gestione degli utenti è una funzione del servizio, i report dell'attività degli utenti consumer devono essere resi disponibili.

Implementare l'automazione della gestione degli account con Microsoft Graph e Microsoft Graph PowerShell. Usare Microsoft Graph per monitorare l'attività di accesso e Microsoft Graph PowerShell per intervenire sugli account nell'intervallo di tempo necessario.

Determinare l'inattività

Tutte le operazioni del ciclo di vita dell'account, ad esempio la creazione, la modifica, l'abilitazione, la disabilitazione e la rimozione delle azioni, vengono controllate all'interno dei log di controllo Azure. È possibile trasmettere i log direttamente in Microsoft Sentinel o hub eventi per facilitare la notifica.

Controllo

Ac-2 (5) requisiti e linee guida aggiuntivi di FedRAMP:
Guida: Usare un intervallo di tempo più breve rispetto a AC-12

Implementare il blocco del dispositivo usando criteri di accesso condizionale che limitano l'accesso ai dispositivi conformi. Configurare le impostazioni dei criteri nel dispositivo per applicare il blocco del dispositivo a livello di sistema operativo con soluzioni di gestione di dispositivi mobili (MDM), ad esempio Intune. Endpoint Manager o gli oggetti Criteri di Gruppo possono essere considerati anche nelle distribuzioni ibride. Per i dispositivi non gestiti, configurare l'impostazione Frequenza di accesso per forzare i dispositivi a riautenticare gli utenti.

Accesso condizionale

L'organizzazione:
(a.) Stabilisce e amministra gli account utente con privilegi in base a uno schema di accesso basato sui ruoli che organizza l'accesso e i privilegi consentiti al sistema informativo nei ruoli;
(b) Monitora le assegnazioni di ruolo con privilegi; E
(c) Accetta [assegnazione FedRAMP: disabilita/revoca l'accesso entro un intervallo di tempo specificato dall'organizzazione] quando le assegnazioni di ruolo con privilegi non sono più appropriate.

Implementare Microsoft Entra Privileged Identity Management con verifiche di accesso per i ruoli con privilegi in Microsoft Entra ID per monitorare le assegnazioni di ruolo e rimuovere le assegnazioni di ruolo quando non sono più appropriate. È possibile trasmettere i log di controllo direttamente in Microsoft Sentinel o hub eventi per facilitare il monitoraggio.

Gestione

Creare criteri di accesso condizionale per applicare decisioni di controllo di accesso tra utenti e dispositivi.

Accesso condizionale

L'organizzazione:
(a) Monitora gli account del sistema informativo per l'uso atipico definito dall'organizzazione; e
(b) Segnala l'utilizzo atipico degli account del sistema informativo a [FedRAMP: assegnazione, almeno, ISSO e/o ruolo simile all'interno dell'organizzazione].

AC-2 (12) (a) e AC-2 (12) (b) Requisiti e indicazioni aggiuntivi per FedRAMP:
Obbligatorio per gli account con privilegi.

Per informazioni sul monitoraggio dell'utilizzo atipico, è possibile trasmettere Microsoft Entra ID Protection log, che mostrano utenti rischiosi, accessi a rischio e rilevamenti dei rischi e log di controllo, che consentono la correlazione con l'assegnazione dei privilegi, direttamente in una soluzione SIEM, ad esempio Microsoft Sentinel. È anche possibile usare Hub eventi per integrare i log con soluzioni SIEM di terze parti.

Protezione ID

In Microsoft Entra ID Protection configurare e abilitare un criterio di rischio utente con la soglia impostata su Alto. Creare criteri di accesso condizionale per bloccare l'accesso per gli utenti a rischio e gli accessi a rischio. Configurare i criteri di rischio per consentire agli utenti di autocorreggere e sbloccare i tentativi di accesso successivi.

Protezione ID

L'organizzazione:
(a.) Rivede [Assegnazione FedRAMP: almeno, annualmente] i privilegi assegnati a [Assegnazione FedRAMP: tutti gli utenti con privilegi] per convalidare la necessità di tali privilegi; e
(b.) Riassegna o rimuove i privilegi, se necessario, per riflettere correttamente la missione aziendale o le esigenze operative.

Usare Microsoft Entra Entitlement Management con revisioni di accesso per utenti privilegiati per verificare se è necessario l'accesso privilegiato.

Verifiche di accesso

L'organizzazione:
(a.) Applica un limite di [assegnazione FedRAMP: non più di tre (3)] tentativi di accesso non validi consecutivi da parte di un utente durante un[assegnazione FedRAMP: quindici (15) minuti]; E
(b.) Automaticamente [Selezione: blocca l'account/nodo per un [assegnazione FedRAMP: almeno tre (3) ore o fino a quando non viene sbloccato da un amministratore]; ritarda la richiesta di accesso successiva in base a [assegnazione: algoritmo di ritardo definito dall'organizzazione]] quando viene superato il numero massimo di tentativi non riusciti.

Abilitare le impostazioni di blocco intelligente personalizzate. Configurare la soglia di blocco e la durata del blocco in secondi per implementare questi requisiti.

Blocco intelligente

Il sistema informativo:
it-IT: (a.) Visualizza agli utenti [Assegnazione: messaggio di notifica o banner definiti dall'organizzazione (Assegnazione FedRAMP: vedere ulteriori requisiti e linee guida)] prima di concedere l'accesso al sistema che fornisce comunicazioni sulla privacy e sulla sicurezza coerenti con le leggi federali, gli ordini esecutivi, le direttive, i criteri, le normative, gli standard e le linee guida e dichiara che:
(1.) Gli utenti accedono a un sistema informatico degli enti pubblici degli Stati Uniti;
(2.) L'utilizzo del sistema informatico può essere monitorato, registrato e soggetto a controllo;
(3.) L'uso non autorizzato del sistema informatico è vietato e soggetto a sanzioni penali e civili; e
(4.) L'uso del sistema informatico indica il consenso al monitoraggio e alla registrazione;

(b.) Mantiene il messaggio di notifica o il banner sullo schermo finché gli utenti non riconoscono le condizioni di utilizzo e non esemettono azioni esplicite per accedere o accedere ulteriormente al sistema informativo; E

(c.) Per i sistemi accessibili pubblicamente:
(1.) Visualizza le informazioni sull'uso del sistema [assegnazione: condizioni definite dall'organizzazione (assegnazione FedRAMP: vedere requisiti e indicazioni aggiuntivi)], prima di concedere ulteriore accesso;
(2.) Mostra i riferimenti, se presenti, al monitoraggio, alla registrazione o al controllo coerenti con le strutture di privacy per i sistemi che in genere impediscono tali attività; e
(3.) Include una descrizione degli usi autorizzati del sistema.

AC-8 Requisiti e Linee Guida Aggiuntivi per FedRAMP:
Requisito: Il provider di servizi deve determinare gli elementi dell'ambiente cloud che richiedono il controllo di notifica dell'uso del sistema. Gli elementi dell'ambiente cloud che richiedono la notifica sull’uso del sistema vengono approvati e accettati da JAB/AO.
Requisito: Il provider di servizi determina come verrà verificata la notifica sull'utilizzo del sistema e fornirà la periodicità appropriata del controllo. La verifica e la periodicità delle notifiche sull'uso del sistema vengono approvate e accettate dal JAB/AO.
Guida: Se eseguita come parte di un controllo della baseline di configurazione, è possibile specificare la % di elementi che richiedono impostazioni e di cui il superamento (o il fallimento) del controllo possono essere indicati.
Requisito: Se non viene eseguita come parte di un controllo della linea di base di configurazione, è necessario disporre di un contratto documentato su come fornire i risultati della verifica e la periodicità necessaria della verifica da parte del provider di servizi. L'accordo documentato su come fornire la verifica dei risultati viene approvato e accettato dal JAB/AO.

Con Microsoft Entra ID è possibile recapitare messaggi di notifica o banner per tutte le app che richiedono e registrano il riconoscimento prima di concedere l'accesso. È possibile applicare in modo granulare questi criteri per le condizioni per l'utilizzo a utenti specifici (membro o guest). È anche possibile personalizzarli per ogni applicazione tramite i criteri di accesso condizionale.

Condizioni per l'utilizzo

Attualmente, gli utenti si connettono da più dispositivi, a volte in contemporanea. La limitazione delle sessioni simultanee comporta un'esperienza utente danneggiata e offre un valore di sicurezza limitato. Un approccio migliore per affrontare l’intento di questo controllo consiste nell'adottare una postura di sicurezza zero-trust. Le condizioni vengono convalidate in modo esplicito prima della creazione di una sessione e convalidate continuamente durante la sessione.

Inoltre, utilizzare i seguenti controlli di compensazione.

Usare i criteri di accesso condizionale per limitare l'accesso ai dispositivi conformi. Configurare le impostazioni dei criteri nel dispositivo per applicare restrizioni di accesso utente a livello di sistema operativo con soluzioni MDM come Intune. Endpoint Manager o gli oggetti Criteri di Gruppo possono essere considerati anche nelle distribuzioni ibride.

Usare Privileged Identity Management per limitare e controllare ulteriormente gli account con privilegi.

Configurare il blocco intelligente dell’account per i tentativi di accesso non validi.

Linee guida per l'implementazione

Zero Trust

AC-11(1)
Il sistema informatico nasconde, tramite il blocco della sessione, informazioni precedentemente visibili sullo schermo con un'immagine visualizzabile pubblicamente.

Implementare il blocco del dispositivo usando un criterio di accesso condizionale per limitare l'accesso ai dispositivi conformi. Configurare le impostazioni dei criteri nel dispositivo per applicare il blocco del dispositivo a livello di sistema operativo con soluzioni MDM come Intune. Endpoint Manager o gli oggetti Criteri di Gruppo possono essere considerati anche nelle distribuzioni ibride. Per i dispositivi non gestiti, configurare l'impostazione Frequenza di accesso per forzare i dispositivi a riautenticare gli utenti.

Accesso condizionale

Implementare la rivalutazione automatica della sessione utente con Microsoft Entra funzionalità come l'accesso condizionale basato sul rischio e la valutazione dell'accesso continuo. È possibile implementare condizioni di inattività a livello di dispositivo, come descritto in AC-11.

Risorse

AC-8 Requisiti e Linee Guida Aggiuntivi per FedRAMP:
Guida: Test per la funzionalità di disconnessione (OTG-SESS-006) Test per la funzionalità di disconnessione

Tutte le interfacce Web con superficie di Microsoft Entra ID offrono una funzionalità di disconnessione per le sessioni di comunicazione avviate dall'utente. Quando le applicazioni SAML sono integrate con Microsoft Entra ID, implementare l'accesso Single Sign-Out.

Funzionalità di disconnessione

AC-20(1)
L'organizzazione consente agli utenti autorizzati di usare un sistema informatico esterno per accedere al sistema informatico o per elaborare, archiviare o trasmettere informazioni controllate dall'organizzazione solo quando l'organizzazione:
(a.) Verifica l'implementazione dei controlli di sicurezza necessari nel sistema esterno, come specificato nei criteri di sicurezza e nel piano di sicurezza delle informazioni dell'organizzazione; O
(b.) Mantiene i contratti di connessione o elaborazione approvati del sistema informativo con l'entità organizzativa che ospita il sistema informativo esterno.

Richiedere l'accettazione delle condizioni per l'utilizzo per gli utenti autorizzati che accedono alle risorse da sistemi esterni. Implementare criteri di accesso condizionale per limitare l'accesso da sistemi esterni. I criteri di accesso condizionale possono essere integrati con Defender for Cloud Apps per fornire controlli per le applicazioni cloud e locali da sistemi esterni. La gestione di applicazioni mobili in Intune può proteggere i dati dell'organizzazione a livello di applicazione, incluse app personalizzate e app di archiviazione, da dispositivi gestiti che interagiscono con sistemi esterni. Un esempio è l'accesso ai servizi cloud. Puoi usare la gestione delle app sui dispositivi di proprietà dell'organizzazione e su quelli personali.

Condizioni