Procedury zarządzania tożsamością w IBD
Procedury zarządzania tożsamością w IBD
Konto użytkownika służy uwierzytelnieniu w większości usług wewnętrznych IBD oraz zewnętrznych udostępnianych na zasadach członkostwa w federacji Pionier.Id. Umożliwia również dostęp do sieci WiFi eduroam®.
Zarządzanie kontami
- Zakładanie kont – głównie konta tworzone są na podstawie zapotrzebowań z działu kadr, dodatkowo na podstawie zapotrzebowań kierowników pracowni.
- Pracownicy – konta są tworzone w momencie zatrudnienia, pełny dostęp do wszystkich zasobów.
- Doktoranci – po rozpoczęciu współpracy z Instytutem, otrzymują pełne zasoby, chyba że zapotrzebowanie precyzuje inaczej.
- Goście – po otrzymaniu zapotrzebowania z Kadr lub kierownika pracowni, otrzymują ograniczone zasoby.
- Funkcyjne – na podstawie zgłoszenia na helpdesk od kierownika pracowni, dedykowane dla konkretnego zastosowania – np. backup danych, przydzielane są zasoby minimalne.
- Przedłużanie / reaktywacja ważności kont
- Konta nie wymagają przedłużania, są generowane bezterminowo
- Reaktywacja nieaktywnego konta następuje w momencie otrzymania zapotrzebowania, od działu kadr lub kierownika pracowni.
- Blokowanie kont
- Administrator ma prawo czasowo zablokować konto, gdy jest ono niewłaściwie chronione lub zachodzi uzasadnione podejrzenie, że jest wykorzystywane w niewłaściwy sposób.
- Administrator odblokuje konto po upewnieniu się, że konto jest odpowiednio chronione i nie jest używane przez osoby trzecie tudzież szkodliwe oprogramowanie.
- Blokowanie następuje również w sytuacji otrzymania informacji z działu Kadr lub od kierownika pracowni o zakończeniu pracy w instytucie. Jest krokiem integralnym w procesie usuwania kont.
- Usuwanie kont
- Dział kadr lub kierownik pracowni dostarcza informację o potrzebie zamknięcia konta, to konto wpierw jest blokowane.
- Zablokowane konto po okresie do trzech miesięcy od czasu założenia blokady, jest usuwane.
eduGain – fedracja Pionier.Id
Konto upoważniające do logowania w usługach zewnętrznych jest indywidualnym kontem użytkownika systemów komputerowych IBD i podlega zasadom zawartym w regulaminach użytkowania usług IT w IBD.
Proces i bezpieczeństwo Logowania Centralnego IBD
Proces i bezpieczeństwo Logowania Centralnego IBD
Dokument opisujący najlepsze praktyki związane z bezpieczeństwem logowania do systemów informatycznych, pod kątem Centralnego Logowania.
Idea Logowania Centralnego
Jeden identyfikator konta z jednym hasłem – umożliwiające dostęp do wszystkich systemów informatycznych działających dla Instytutu Biologii Doświadczalnej oraz zewnętrznych usług świadczonych w ramach federacji Pionier.Id
Proces
Rejestracja do usługi korzystającej z uwierzytelniania federacyjnego zazwyczaj przebiega według następującego scenariusza:
- Użytkownik na stronie usługi zewnętrznej rozpoczyna rejestrację poprzez wybór instytucji macierzystej (IBD)
- Strona usługi zewnętrznej przekierowuje użytkownika do wewnętrznego Portalu Centralnego Logowania IBD
- Użytkownik loguje się w Portalu Centralnego Logowania IBD – danymi logowania poczty elektronicznej lub konta domenowego.
- Portal Centralnego Logowania IBD – pyta użytkownika o zgodę na przekazanie parametrów użytkownika (w tym danych osobowych) do usługi zewnętrznej.
- Wyrażenie zgody na warunki powoduje przesłanie wspomnianych atrybutów i zalogowanie w usłudze zewnętrznej.
- Odrzucenie zgody powoduje, że logowanie nie następuje.
Jeżeli użytkownik już wcześniej korzystał z Portalu Logowania Centralnego IBD – to punkty 2 i 3 wykonują się automatycznie.
Bezpieczeństwo
Użytkownik ma obowiązek sprawdzać, za każdym razem kiedy korzysta z usług zewnętrznych – czy przekierowanie nastąpiło na właściwy Portal Logowania Centralnego IBD. Należy zwrócić uwagę na adres strony oraz szczegóły certyfikatu bezpieczeństwa.
Ta uwaga dotyczy nie tylko usługi Portalu Logowania Centralnego IBD. Warto weryfikować te informacje przy każdym logowaniu na wszystkich portalach! W przypadku Portalu Centralnego Logowania IBD adres powinien brzmieć: https://cpl.nencki.edu.pl
Część początkowa adresu (https://) jest ukrywana, obok powinna być ikonka kłódki, której kliknięcie wyświetli informacje szczegółowe.
UWAGA! Powyższa informacja jest kluczowa dla zachowania bezpieczeństwa konta! Należy pamiętać, że jeśli poda się własne dane logowania na podmienionej/sfałszowanej stronie Centralnego Punktu Logowania IBD – to oddaje się dostęp do konta osobistego nieznanym podmiotom – tym samym naraża na zagrożenie własne zbiory danych i wszystkie swoje konta we wszystkich systemach gdzie działa Centralne Logowanie IBD.
Dobre praktyki
Logowanie wstępne
Można uniknąć potencjalnych problemów z przechwyceniem hasła przez niepożądany podmiot poprzez rozpoczynanie pracy w tych systemach od logowania w Portalu Centralnego Logowania IBD. Pojedyncze logowanie w Portalu Centralnego Logowania IBD powoduje, że autoryzacja w systemach korzystających z tej możliwości następuje automatycznie. Dzięki czemu nie trzeba pamiętać o sprawdzaniu parametrów połączenia ze stroną WWW.
System może zażądać w każdej chwili ponownego logowania, jednak takie sytuacje są rzadkie i nietypowe, co powinno wzbudzać czujność i przypominać o potrzebie weryfikacji adresu strony Centralnego Punktu Logowania IBD.
Pilnowanie tajemnicy
Należy zwrócić uwagę na momenty wprowadzania danych logowania. Z tytułu faktu, iż identyfikatorem użytkownika jest publicznie dostępny adres e-mail, samo hasło jest jedynym zabezpieczeniem, a moment wpisywania hasła krytycznym momentem, w którym to hasło może być podejrzane lub podsłuchane.
Dotyczy to zarówno wzorku osób trzecich – podpatrzenie wciskanych na klawiaturze klawiszy, jak również niezweryfikowanego sprzętu (podsłuchanie poprzez oprogramowanie typu keylogger). Należy zawsze korzystać z autoryzowanych/zarejestrowanych przez dział Informatyki IBD maszyn!
Przeciwdziałanie
W ramach zapobiegania utraty kontroli nad kontem sugerujemy włączenie autentykacji dwuetapowej. W ramach tej autentykacji należy ustawić więcej aniżeli tylko potwierdzenie e-mail/SMS. Sugerowane są przynajmniej dwie dodatkowe metody: potwierdzenia logowania na komórce lub połączenie z aplikacją Authenticator oraz kody zapasowe.
Reagowanie w sytuacjach krytycznych
Jeśli jednak zdarzy się, że ktoś uzyska dostęp do Twojego konta – należy natychmiast zmienić hasło! Jeśli nie jest to możliwe do wykonania własnoręcznie – należy zgłosić problem na HelpDesk IT: helpdesk@nencki.edu.pl lub dzwoniąc pod numer 353.
Regulamin korzystania z zewnętrznych usług sieciowych dostępnych poprzez Portal Centralnego Logowania IBD
Regulamin korzystania z zewnętrznych usług sieciowych dostępnych poprzez Portal Centralnego Logowania IBD
§ 1
- Dział Informatyki Instytutu Biologii Doświadczalnej im M.Nenckiego PAN, we współpracy z Polską Federacją Zarządzania Tożsamością PIONIER.Id, umożliwia dostęp do zewnętrznych usług sieciowych udostępnianych w ramach programu eduGAIN.
- Logowanie do tych usług następuje za pośrednictwem Portal Centralnego Logowania IBD, przy pomocy konta (pocztowego/domenowego) w domenie nencki.edu.pl.
§ 2
Użytkownik jest zobowiązany do zachowania bezpieczeństwa logowania postępując zgodnie z dokumentem Bezpieczeństwo logowania dostępnym na stronach intranetu działu IT.
§ 3
- Przed rejestracją do usługi użytkownik powinien zapoznać się z Polityką Prywatności dotyczącą danej usługi.
- W trakcie rejestracji do usługi zewnętrznej zazwyczaj konieczne jest przekazanie wybranych danych dotyczących konta użytkownika, takich jak adres mailowy, status w ramach IBD (pracownik, doktorant, itp), nazwisko, imię.
- Przed przesłaniem danych użytkownik jest pytany o zgodę na przetwarzanie danych osobowych, która może być wydana jednorazowo lub na stałe.
- Dane osobowe Użytkowników przetwarzane są zgodnie z Rozporządzeniem Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych), dalej jako „RODO”
- IBD działa w roli zaufanego pośrednika danych osobowych w ramach federacji, nie mając wpływu na proces przetwarzania tychże danych po stronie usługodawców. Wszelkie pytania o przetwarzanie danych należy kierować do właściwych usługodawców.
- Kwestie zgodności usługodawców spoza Unii Europejskiej z RODO można zweryfikować na stronie: https://ec.europa.eu/info/index_pl
§ 4
- O ile regulamin danej usługi nie stanowi inaczej, użytkownik może korzystać z usługi wyłącznie na swoje potrzeby związane z jego statusem w IBD, tj. pracy lub badań doktoranckich na IBD.
- Użytkownik musi przestrzegać ew. dodatkowych ograniczeń opisanych na stronach usług, np. zakazu masowego pobierania danych, ich nieautoryzowanej publikacji itp.
- Użytkownikowi nie wolno udostępniać własnego konta innym osobom.
- Użytkownikowi nie wolno uruchamiać oprogramowania korzystającego z usługi w jego imieniu.
§5
Niniejszy Regulamin wchodzi w życie z dniem 1.06.2021 r.