Känslig säkerhetsinformation bör endast delas med individer och enheter som har ett
legitimt behov av att veta och har lämpligt
säkerhetsgodkännande eller
auktorisation . Detta är avgörande för att upprätthålla sekretess och förhindra överträdelser.
De specifika individerna eller enheterna kommer att variera beroende på informationens art och organisationens säkerhetspolicy. Några exempel kan dock inkludera:
* personal med ett behov av att veta för sina arbetsuppgifter: Detta kan inkludera IT -säkerhetspersonal, systemadministratörer, händelser, auktoriserade utredare eller personal som är involverade i riskhantering. Deras tillgång bör vara strikt begränsad till vad som är nödvändigt för deras roller.
* externa partners med en avtalsenlig skyldighet: Detta kan involvera tredjepartsleverantörer som tillhandahåller säkerhetstjänster, revisorer som bedriver säkerhetsbedömningar eller myndigheter i reglerade branscher. Dessa relationer bör styras av strikta avtal om icke-avslöjande (NDAS) och säkerhetsprotokoll.
* brottsbekämpning eller tillsynsorgan: I händelse av en säkerhetshändelse eller lagkrav kan känslig säkerhetsinformation behöva delas med brottsbekämpning eller tillsynsmyndigheter för att uppfylla lagliga skyldigheter.
* utsedda interna team: Specifika interna team som ett Security Operations Center (SOC) eller ett Security Incident Response Team (SIRT) skulle kräva tillgång för att ta itu med säkerhetsfrågor.
Det är viktigt att undvika:
* onödig delning: Att dela känslig information med individer som inte behöver veta skapar onödig risk.
* delning via osäkrade kanaler: Känslig information bör endast delas genom säkra kommunikationskanaler.
* alltför breda åtkomstkontroller: Tillgång bör beviljas på en strikt "behov-att-veta" -basis och regelbundet granskas.
Organisationer bör ha väl definierade säkerhetspolicyer och rutiner som tydligt beskriver vem som kan få tillgång till känslig säkerhetsinformation, hur den kan delas och vilka skyddsåtgärder som finns för att skydda den. Dessa policyer bör uppfylla relevanta juridiska och lagstiftningskrav.
