AC-2(a), AC-2(b), AC-2(c), AC-2(d), AC-2(e), AC-2(f), AC-2(g), AC-2(h), AC-2(i), AC-2(j), AC-2(k), AC-2(l) |
Kontoverwaltung |
Für das Company Account Management innerhalb der PfG ist ausschließlich der Kunde verantwortlich . Bei der Vertragsunterzeichnung muss der Kunde ein Konto mit einer E-Mail-Adresse erstellen und einen Administrator ernennen. Der Zugriff auf PfG wird durch benutzerdefinierte Benutzergruppen, die sich aus fein abgestuften Berechtigungen zusammensetzen (z. B. Personalchef, Personalvermittler, Administratorengruppen), streng kontrolliert. Der Kunde muss Bedingungen für die Gruppen- und Rollenmitgliedschaft festlegen und ist für das Erstellen, Verwalten, Ändern, Deaktivieren und Entfernen nachfolgender Konten für einzelne Benutzer, Anbieter und Partner in Übereinstimmung mit deren Organisationsrichtlinien und -verfahren verantwortlich. Der Kunde ist für die Autorisierung des Zugriffs auf der Grundlage gültiger Berechtigungen, der beabsichtigten Systemnutzung und anderer von der Organisation definierter Attribute verantwortlich. Schließlich trägt der Kunde die volle Verantwortung für die Überwachung und Prüfung der Kontoaktivitäten, einschließlich:
-
Durchführung von Überprüfungen der Benutzerkonten anhand der organisatorischen Anforderungen mindestens jährlich.
-
Entwicklung und Implementierung von Prozessen, um sicherzustellen, dass sie innerhalb strenger Fristen (z. B. 24 Stunden, wenn Konten nicht mehr benötigt werden, 8 Stunden, wenn Benutzer gekündigt oder übertragen werden) über Änderungen des Anwendungskontos (Kündigung/Übertragung/Änderungen des Need-to-know-Bedarfs) informiert werden.
-
Abstimmung der Account-Management-Prozesse mit den Kündigungs- und Versetzungsverfahren des Organisationspersonals.
|
Erstellen und Verwalten von Konten auf Systemebene (Verwaltung, Service, Wartung); Durchsetzung der geringsten Rechte und Deaktivierung inaktiver Konten; ggf. mit IdP integrieren. |
AC-2(1), AC-2(4), AC-2(5), AC-2(7)(a), AC-2(7)(b), AC-2(7)(c), AC-2(7)(d), AC-2(9), AC-2(12)(a), AC-2(13) |
Kontoverwaltung |
Der Kunde trägt die alleinige Verantwortung für das Lebenszyklus- und Sicherheitsmanagement aller PfG-Benutzerkonten innerhalb seines Mandanten und hält sich an die Richtlinien seiner Organisation.
-
Kontoerstellung und -verwaltung: Der Kunde ist für die Erstellung von PfG-Konten für einzelne Benutzer (einschließlich Lieferanten und Partner) verantwortlich und muss alle Benutzerkonten– insbesondere privilegierte Konten– in Übereinstimmung mit dem rollenbasierten Zugriffsschema der Organisation einrichten und verwalten. Sie sind auch dafür verantwortlich, den Prozess für die Neuausstellung von Anmeldedaten für freigegebene Konten und Gruppenkonten festzulegen, wenn Einzelpersonen aus der Gruppe entfernt werden.
-
Kontowartung und Lebenszyklus: Der Kunde muss Konten, einschließlich der Konten für privilegierte Benutzer, in Übereinstimmung mit den Richtlinien und Verfahren seiner Organisation ändern, deaktivieren und entfernen . Sie werden ermutigt,automatisierte Mechanismen zur Unterstützung dieser Managementfunktionen zu nutzen .
-
Überwachung und Kontrolle: Der Kunde ist für die Überwachung der Nutzung aller seiner PfG-Konten in vollem Umfang verantwortlich . Dazu gehört die Überwachung der Verwendung von Administratorkonten und die Überwachung von Aktionen zum Aktivieren, Deaktivieren und Entfernen von Konten innerhalb der Anwendung.
-
Reaktion auf Vorfälle mit hohem Risiko: Der Kunde muss seinen internen Prozess für die Bearbeitung und Meldung von Vorfällen befolgen und ist insbesondere dafür verantwortlich, Konten für Personen, die ein erhebliches Risiko für ihr Unternehmen darstellen, innerhalb von 1 Stunde zu deaktivieren.
-
Sitzungsverwaltung: Der Kunde ist dafür verantwortlich, dass sich Benutzer gemäß ihrer internen Zugriffskontrollrichtlinie abmelden müssen.
|
Verwalten Sie die zugrunde liegende Infrastruktur, das Betriebssystem und die Sicherheitskonfigurationen, die zur Unterstützung von Kundenkonten erforderlich sind, einschließlich der Ressourcenzuweisung und des Schutzes auf Systemebene. Dadurch wird sichergestellt, dass die grundlegende Plattform sicher und für den Kunden verfügbar ist, um alle vorgeschriebenen Kontoverwaltungen auf Benutzerebene und Zugriffserzwingung durchzuführen. |
| AC-3 |
Erzwingung des Zugriffs |
Der Kunde ist verantwortlich für die Einrichtung und Pflege der Richtlinie für den logischen Zugriff, die Definition von Benutzerrollen und -privilegien (z. B. die Gewährleistung der geringsten Rechte und die Aufgabentrennung) und die aktive Zuweisung und Verwaltung dieser Rollen an das Personal. |
Implementierung von rollenbasierten Zugriffskontrollen (RBAC) auf Procore-Systemen; Erzwingen von Richtlinien über IAM, Konsolenberechtigungen und MFA; Überprüfen Sie den Zugriff, bevor Sie Berechtigungen erteilen. |
AC-5(a), AC-5(b) |
Aufgabentrennung |
Der Kunde ist verantwortlich für die Definition und Dokumentation der Funktionstrennung (SoD) für Personen, die innerhalb seiner Organisation zum Zugriff auf die PfG-Anwendung berechtigt sind. Die Zugriffskontrolle wird vom Kunden über benutzerdefinierte Rollen implementiert, die sicherstellen sollen, dass SoD durchgesetzt wird. |
Weisen Sie unterschiedliche Rollen für Systemadministration, Sicherheitsvorgänge und Konformität zu und setzen Sie diese über IAM-Gruppenrichtlinien durch. |
| AC-6 |
Geringste Privilegien |
Es liegt in der Verantwortung des Kunden, PfG-Zugriffsberechtigungen zu definieren, um das Prinzip der geringsten Rechte innerhalb seiner Organisation zu unterstützen. |
Beschränken Sie den Zugriff der Procore-Mitarbeiter auf die Ressourcen, die für operative Aufgaben erforderlich sind. Überprüfen Sie regelmäßig erhöhte Berechtigungen; Erzwingen Sie Just-In-Time-Zugriff für vertrauliche Aktionen. |
AC-8(a), AC-8(b) |
Benachrichtigung über die Systemnutzung |
Bei der Verwendung von Identity Federation und Single Sign-On (SSO) zur Anmeldung bei PfG ist der Kunde dafür verantwortlich, dass seine LDAP- (Lightweight Directory Access Protocols) und/oder Active Directory (AD)- Systeme eine konforme Benachrichtigung oder ein Banner zur Systemnutzung anzeigen. Darüber hinaus muss der Kunde sicherstellen, dass die Benachrichtigung oder das Banner den FedRAMP-Anforderungen entspricht und auf dem Bildschirm angezeigt wird, bis die Benutzer die Nutzungsbedingungen bestätigen und explizite Maßnahmen ergreifen, um sich anzumelden oder weiter auf das System zuzugreifen. |
Zeigen Sie Anmeldebanner auf Procore-Systemen an, die nur über die autorisierte Nutzung gemäß FedRAMP und Behördenrichtlinien informieren. |
AC-19(a), AC-19(b), AC-19(5) |
Zutrittskontrolle für mobile Endgeräte |
Für die Procore for Government Mobile App trägt der Kunde die Verantwortung für die Durchsetzung aller Richtlinien für mobile Geräte (einschließlich derjenigen, die für seine Subunternehmer gelten), um eine verantwortungsvolle Nutzung zu gewährleisten. |
|
CA-6(a), CA-6(b), CA-6(c), CA-6(d), CA-6(e) |
Autorisierung |
Der Bundeskunde oder die Behörde, die in der Procore for Government-Umgebung tätig ist, trägt die endgültige Verantwortung für die Autorisierung des Systembetriebs. Dies beinhaltet:
-
Benennung der Behörde: Jeder Kunde ist für die Benennung seines eigenen Authorizing Official (AO) verantwortlich.
-
Risikoakzeptanz und ATO: Die AO prüft die Ergebnisse der Sicherheitsbewertung (die im Security Assessment Report oder SAR veröffentlicht wird), prüft den Aktionsplan und die Meilensteine (POA&M) und stellt fest, ob die verbleibenden bekannten Schwachstellen ein akzeptables Risiko für den Behördenbetrieb darstellen, bevor sie eine Betriebsgenehmigung (Authority to Operate, ATO) ausstellt.
-
Änderungsprüfung: Der AO des Kunden ist auch dafür verantwortlich, alle von Procore vorgeschlagenen wesentlichen Änderungen zu überprüfen und anschließend alle Aktualisierungen des FedRAMP-Pakets auf der Grundlage zusätzlicher Tests durch den 3PAO zu überprüfen und zu genehmigen.
|
Abrufen und Verwalten von FedRAMP ATO. Stellen Sie sicher, dass SSP, SAP, SAR und POA&M auf dem neuesten Stand bleiben. Informieren Sie das Projektmanagement-Office und AO über wesentliche Änderungen oder Vorfälle. |