Laat leveranciers en engineers bij klantservers komen, pas na goedkeuring en voor een bepaalde tijd.
Vraagt een klant wie er vorig kwartaal bij zijn servers kwam, dan is het antwoord nu een chatthread en een stapel SSH-logs. Hier is elke toekenning een verzoek, een goedkeuring en een venster, en uw klant kan degene zijn die goedkeurt. Een CyFun-beoordelaar vraagt bewijs dat onderhoud op afstand vooraf is goedgekeurd en dat de uitvoering ervan is vastgelegd.
Wie het vroeg, wie goedkeurde, hoe lang, en elke verbinding die eronder is gemaakt.
Dit is de hoofdvastlegging van de bewijspagina. U voegt haar toe wanneer een klant, een auditor of een vragenlijst erom vraagt.
Access record /grant #a91c on prod
- Requested
- Alex Moreau @alex at 13:58:12, for patch nginx across prod
- Approved
- Dana Okafor @dana at 14:02:40
- Window
- 14:05:00 to 16:05:00, 2h
- Ended
- Expired on its own
| Time | Server | Through | Certificate |
|---|---|---|---|
| 14:32:11 | web-01 | run #4f2a | 5 min |
| 14:32:11 | web-02 | run #4f2a | 5 min |
| 14:32:12 | web-03 | run #4f2a | 5 min |
Sleutelmaatregelen: deze vastlegging beantwoordt PR.AA-03.3 (toegang op afstand wordt geautoriseerd en beperkt) en PR.AA-03.2 (multifactorauthenticatie voor toegang op afstand). Hieronder staat de maatregel ID.AM-08.11.
De eis waarop dit antwoordtCyFun 2025, ID.AM-08.11 (2023: PR.MA-2.1)
Onderhoud op afstand wordt vooraf goedgekeurd en de uitvoering ervan wordt vastgelegd.
De vastlegging toont het verzoek, de goedkeurder, het venster en elke verbinding eronder. De sessie zelf wordt niet opgenomen, zie de grenzen onderaan.
Vijf stappen, elk op de vastlegging.
- Aangevraagd met een reden
- De persoon vraagt toegang tot één omgeving en zegt waarom, zodat de reden vanaf de eerste minuut in de vastlegging staat.
- Goedgekeurd door een met naam genoemd persoon
- Een toegangsverzoek kan niet worden goedgekeurd door wie het deed. De goedkeuring bewaart de naam van de goedkeurder en het tijdstip.
- Beperkt tot een venster
- De toekenning loopt van een begin tot een einde die bij de goedkeuring zijn ingesteld, bijvoorbeeld de twee uur van een onderhoudswerk.
- Beëindigd zonder dat iemand eraan hoeft te denken
- Als het venster sluit, sluit de toegang. Niemand hoeft te onthouden een sleutel in te trekken, en niemand hoeft elke sleutel te vervangen omdat één persoon vertrok.
- Elke verbinding in de lijst
- Elke verbinding onder de toekenning staat in de lijst met de server en de run waartoe ze behoorde. Op een server die voor certificaten is ingericht, gebruikt elke verbinding een certificaat dat vijf minuten geldig is.
Laat de klant ja zeggen tegen wat er op zijn servers gebeurt.
Een wijziging of toekenning op de servers van een klant kan wachten op de eigen goedkeurder van die klant. De goedkeuring wordt vastgelegd met de naam van de goedkeurder en de revisie waarvoor ze geldt, zodat “de klant ging akkoord” een vastlegging is en geen e-mail die u moet zoeken. Zie hosting en managed hosting en managed serviceproviders.
Patch nginx across prod
Upgrade nginx to 1.25.3@alex → AIDry-run passedApproval requiredAudit
- Revision
- Covers revision 7 only.
- Targets
- web-01, web-02, web-03 in prod, derived from the targets
- Approver
- Must hold access to prod
Wat Opafra niet vastlegt.
Opafra legt vast wat er via Opafra loopt. Toegang die op een andere weg een server bereikt, staat niet in deze vastleggingen, en accounts die op de servers zelf bestaan, beoordeelt u waar ze staan. Valt uw organisatie onder Uitvoeringsverordening (EU) 2024/2690, dan vraagt punt 6.7.2(h) dat verbindingen van dienstverleners pas komen na een autorisatieverzoek en voor een bepaalde periode.
Laat uw klanten zien wie bij hun servers kwam.
Vertel ons hoeveel servers u voor klanten beheert en wie er toegang toe nodig heeft. U krijgt een demo en uw prijs schriftelijk binnen één werkdag, zonder gesprek.