访问控制

非公共系统必须在访问之前识别用户和/或设备.

1. 身份验证源使用定义的标识类型 身份识别和认证 标准第1部分.
   适用于:低/中/高
2. 任何用于访问高风险大学资源的设备都必须被识别为健康设备, 通过以下批准的方法之一管理技术设备, Azure条件访问, 签署的设备证书或其他符合以下条件的oit批准的库存:

   适用于:高

   1. 当前支持的操作系统.
   2. 必须在30天内安装最新的安全补丁，以便有宽限期按要求安装补丁.
   3. 设备设置了密码.
   4. 设备已加密.
   5. 设备开启了系统防火墙.
   6. 标识为唯一的托管技术设备.
   7. 大学托管端点安全安装在支持的位置.
   8. 不支持这些检查的系统必须要求流量来自特定的经过验证的网络.
3. 授权是基于个人身份授予资源的, 在一个由it管理的身份源内的组或从属关系.

   适用于:低/中/高

确保符合APM 30的规定.10 B-1以下标准确保最低特权得到实施并可审计:

1. 系统/应用程序所有者必须在文档以及任何相关的系统安全计划或知识库文章中记录授权帐户类型或组.

   适用于:低/中/高

   1. 如果提供了多个级别的权限, 例如特权或管理员角色, 每一组都必须有文件.
   2. 中等和高风险应用程序还必须提供提供给帐户类型或组的角色/权限.
2. 限制仅对具有合法教育兴趣或文档化业务需求的用户和系统进行访问.

   适用于:低/中/高

3. 记录和保留用户访问请求和批准至少1年.

   适用于:中等/高

4. 一旦不再需要访问，就禁用帐户访问.

   适用于:低/中/高

5. 根据APM 30，特权功能必须仅限于打算成为特权帐户的帐户.10 A-2节.

   适用于:中等/高

   1. 特权帐户通过“su-”、“ad-”、“admin-”或“net-”前缀标识.
   2. 通过“v-”前缀标识的供应商帐户可以作为特权帐户使用，如果记录为特权帐户.
6. 如果在应用程序文档中记录为特权帐户，则可能存在特定于本地系统或应用程序的未使用这些前缀的特权帐户.
7. 根据APM 30，特权帐户不能用于非特权功能.10 B-1部分.

确保数据不被不当共享:

1. 外部存储系统:
   1. 不得用于“批准存储地点”中定义的系统。³ 或者“哪些Microsoft 365应用程序被批准使用”?‘⁴ 知识库文章.

      适用于:低/中/高

      1. 如果OIT Security识别出足够的风险，并且CIO/VP批准了限制，则未经批准的系统或应用程序将通过网络或其他应用程序控制受到限制.
   2. 是否只可用于大学资料，须经资讯科技署审核及批准后才可用于大学用途.

      适用于:低/中/高

2. 对于公共系统:
   1. 应用程序所有者必须创建并维护授权发布的用户列表.

      适用于:低/中/高

   2. 应用程序所有者必须定义一个审查过程, 包括数据敏感性审查, 在发布或启用自动发布系统的情况下.

      适用于:低/中/高

   3. 应用程序所有者必须在创建系统时向OIT注册，并证明发布的信息不会也不会包含非365滚球官网，并由系统所有者或OIT自行决定定期进行审查.

      适用于:低/中/高

   4. 应用程序所有者必须定义帖子/内容删除或更正程序.

      过程必须:

      1. 包括搬迁必须向谁报告.
      2. 能够按照APM 30的要求及时完成CSIRT要求的修复工作.14.

         适用于:低/中/高

为确保登录机制的信任，系统必须遵循以下标准:

1. 10分钟内最多20次错误尝试后自动锁定帐户.

   适用于:低/中/高

2. 管理的技术设备必须包括在系统使用通知知识库文章中定义的经批准的系统使用通知⁸.

   适用于:低/中/高

   1. 应用程序所有者必须创建并维护授权发布的用户列表.

1. 在一段时间不活动(空闲)后，为用户访问操作系统强制会话锁定和超时:

   适用于:低/中/高

   设备/访问类型	Lockout	Timeout
   Default	15 mins	N/A
   高风险的系统	5 mins	N/A
   共享工作站	15 mins	20 mins
   共享高风险工作站	5 mins	20 mins
   SSH Access	3分钟保持活力	90 mins

   1. 延长超时的请求必须得到OIT安全部门的批准.
2. 根据NIST 800-63b，对用户访问和空闲超时或锁定进行限制.
   1. 应用程序必须有30天的会话限制，或者在14天不活动(空闲)后锁定/超时。.

      适用于:低

   2. 应用程序必须有12小时的会话限制和30分钟不活动(空闲)后的超时.

      适用于:中等

      1. 重新身份验证必须使用IT帐户创建中定义的至少一(1)个身份验证因素, 保留和过期标准.
      2. 与被管理设备或应用程序的会话可以利用设备锁定期，而不是通过web应用程序强制执行.
   3. 应用程序必须有12小时的会话限制，并且在不活动(空闲)15分钟后锁定。.

      适用于:高

      1. 重新身份验证必须使用IT Account Creation定义的至少两(2)个身份验证因素, 保留和过期标准.
3. 操作系统的锁定必须显示模式隐藏显示，如锁定屏幕, static images, 一个时钟，甚至一个空白的屏幕.

   适用于:低/中/高

4. 当用户或管理员请求时，完全自动地终止用户会话.

   适用于:低/中/高

5. 当会话不再需要或有效时，自动终止会话.

   适用于:低/中/高

通过U of I VPN、VPN授予远程访问权限.uidaho.Edu，或符合这些标准的经批准的路径:

1. 认证事件与user一起记录, timestamp, 验证的结果, 远程和分配的IP.
2. 远程访问必须使用大学证书和oit管理的MFA.
3. 身份验证和会话将使用强大的现代TLS加密，并保持最新状态.
   1. 监管数据将需要使用经批准和验证的算法，如FIPS.
4. 远程访问高风险网络需要对设备进行鉴权，请参见本文档C-1b章节.

确保个人可以安全地访问和使用数据和系统, 他们必须使用适当的U of I无线网络，同时在校园内使用无线网络，这将符合以下标准:

1. 使用的无线接入点记录在NMS内，并由OIT管理.
2. 无线访问需要通过加密通道进行身份验证.
   1. U of I内部网络，如AirVandalGold - WPA2 Enterprise，使用PEAP和MSCHAPv2或EAP-TLS
   2. U of I公共、来宾或事件网络- WPA2预共享密钥(PSK)