CIS关键安全控制 第8.1版 8.1

通过目录服务或支持的单点登录(SSO)提供商集中管理所有企业资产的访问控制。

通过确定和记录企业中每个角色成功执行其分配职责所需的访问权限，定义并维护基于角色的访问控制。对企业资产执行访问控制审查，以验证所有权限是否经过授权，审查应至少每年定期进行，或更频繁。

建立并遵循一个流程，最好是自动化的，用于在新员工入职、授予权限或用户角色变更时分配企业资产的访问权限。

建立并遵循一个流程，最好是自动化的，用于撤销对企业资产的访问权限，包括在用户离职、权限被撤销或角色变更时立即禁用账户。禁用账户而不是删除账户可能是必要的，以保留审计记录。

建立并维护企业的身份验证和授权系统清单，包括本地托管或远程服务提供商托管的系统。至少每年审查和更新一次清单，或更频繁地进行更新。

在支持的情况下，对所有企业资产上的所有管理访问账户，无论是本地管理还是通过第三方提供商管理，都要求使用多因素认证（MFA）。

要求所有对外公开的企业或第三方应用程序在支持的情况下强制多因素认证（MFA）。通过目录服务或单点登录（SSO）提供商强制执行 MFA 是实现此保障措施的可接受方法。

远程网络访问需要多因素认证。