AC-2(a), AC-2(b), AC-2(c), AC-2(d), AC-2(e), AC-2(f), AC-2(g), AC-2(h), AC-2(i), AC-2(j), AC-2(k), AC-2 (l) |
Gestão de Contas |
O cliente é exclusivamente responsável pela Gestão de Contas da Empresa dentro da PfG. Ao assinar um contrato, o cliente deve criar uma conta usando um endereço de e-mail e nomear um administrador. O acesso ao PfG é rigorosamente controlado por meio de grupos de usuários definidos pelo cliente, que são compostos por permissões refinadas (por exemplo, gerente de contratação, recrutador, grupos de administradores). O cliente deve estabelecer condições para associação a grupos e funções e é responsável por criar, gerenciar, modificar, desabilitar e remover contas subsequentes para usuários, fornecedores e parceiros individuais de acordo com suas políticas e procedimentos organizacionais. O cliente é responsável por autorizar o acesso com base em autorizações válidas, uso pretendido do sistema e outros atributos definidos pela organização. Finalmente, o cliente tem total responsabilidade pelo monitoramento e auditoria da atividade da conta, incluindo:
-
Realizar revisões de contas de usuário em relação aos requisitos organizacionais pelo menos uma vez por ano.
-
Desenvolvimento e implementação de processos para garantir que eles sejam notificados sobre alterações na conta do aplicativo (encerramento/transferência/necessidade de saber das alterações) dentro de prazos estritos (por exemplo, 24 horas quando as contas não são mais necessárias, 8 horas quando os usuários são encerrados ou transferidos).
-
Alinhamento dos processos de gerenciamento de contas com os procedimentos organizacionais de desligamento e transferência de pessoal.
|
Criar e gerenciar contas de nível de sistema (administrador, serviço, manutenção); impor privilégios mínimos e desabilitar contas inativas; integrar-se com IdP quando aplicável. |
AC-2(1), AC-2(4), AC-2(5), AC-2(7)(a), AC-2(7)(b), AC-2(7)(c), AC-2(7)(d), AC-2(9), AC-2(12)(a), AC-2(13) |
Gestão de Contas |
O cliente é o único responsável pelo ciclo de vida e gerenciamento de segurança de todas as contas de usuário PfG dentro de sua locação, aderindo às políticas de sua organização.
-
Criação e administração de contas: o cliente é responsável por criar contas PfG para usuários individuais (incluindo fornecedores e parceiros) e deve estabelecer e administrar todas as contas de usuário, especialmente contas privilegiadas, de acordo com o esquema de acesso baseado em função da organização. Eles também são responsáveis por estabelecer o processo de reemissão de credenciais de contas compartilhadas e de grupo quando os indivíduos são removidos do grupo.
-
Manutenção e ciclo de vida da conta: o cliente deve modificar, desabilitar e remover contas, incluindo aquelas para usuários privilegiados, de acordo com suas políticas e procedimentos organizacionais. Eles são encorajados a utilizar mecanismos automatizados para apoiar essas funções de gerenciamento.
-
Monitoramento e Controle: O cliente é totalmente responsável por monitorar o uso de todas as suas contas PfG. Isso inclui monitorar o uso de contas de administrador e monitorar ações de habilitação, desabilitação e remoção de contas no aplicativo.
-
Resposta a incidentes de alto risco: o cliente deve seguir seu processo interno de tratamento e relatório de incidentes e é especificamente responsável por desabilitar contas para indivíduos determinados a representar riscos significativos para sua organização dentro de 1 hora.
-
Gerenciamento de sessão: o cliente é responsável por exigir que os usuários façam logout de acordo com sua política interna de controle de acesso.
|
Gerencie a infra-estrutura subjacente, o sistema operacional e as configurações de segurança necessárias para oferecer suporte a contas de clientes, incluindo alocação e proteção de recursos no nível do sistema. Isso garante que a plataforma fundamental esteja segura e disponível para o cliente executar toda a administração de conta de nível de usuário obrigatória e imposição de acesso. |
| AC-3 |
Imposição de acesso |
O cliente é responsável por estabelecer e manter a política de acesso lógico, definir funções e privilégios de usuário (como garantir privilégios mínimos e separação de funções) e atribuir e gerenciar ativamente essas funções ao pessoal. |
Implementar controles de acesso baseados em função (RBAC) em sistemas Procore; aplicar políticas por meio do IAM, permissões de console e MFA; Verifique o acesso antes de conceder privilégios. |
AC-5(a), AC-5 (b) |
Separação de Funções |
O cliente é responsável por definir e documentar a Separação de Funções (SoD) para indivíduos autorizados a acessar o aplicativo PfG dentro de sua organização. O controle de acesso é implementado pelo cliente por meio de funções personalizadas projetadas para garantir que o SoD seja aplicado. |
Atribua funções distintas para administração do sistema, operações de segurança e conformidade; imponha por meio de políticas de grupo do IAM. |
| AC-6 |
Privilégio mínimo |
É responsabilidade do cliente definir autorizações de acesso PfG para apoiar o princípio de privilégio mínimo dentro de sua organização. |
Restringir o acesso da equipe do Procore apenas aos recursos necessários para as tarefas operacionais; revisar regularmente privilégios elevados; Imponha o acesso just-in-time para ações confidenciais. |
AC-8(a), AC-8 (b) |
Notificação de uso do sistema |
Ao usar a federação de identidades e o SSO (logon único) para fazer logon no PfG, o cliente é responsável por garantir que seus sistemas LDAP (Lightweight Directory Access Protocols) e/ou AD (Active Directory) exibam uma mensagem ou banner de notificação de uso do sistema compatível. Além disso, o cliente deve garantir que a mensagem de notificação ou banner atenda aos requisitos do FedRAMP e permaneça na tela até que os usuários reconheçam as condições de uso e tomem medidas explícitas para fazer logon ou acessar ainda mais o sistema. |
Exiba banners login nos sistemas Procore notificando apenas sobre o uso autorizado, de acordo com as orientações do FedRAMP e da agência. |
AC-19(a), AC-19(b), AC-19(5) |
Controle de Acesso para Dispositivos Móveis |
Para o aplicativo móvel Procore for Government, o cliente é responsável por aplicar todas as políticas de dispositivo móvel (incluindo aquelas aplicáveis a seus subcontratados) para garantir o uso responsável. |
|
CA-6(a), CA-6(b), CA-6(c), CA-6(d), CA-6(e) |
Autorização |
O cliente federal, ou agência, que opera no ambiente do Procore for Government detém a responsabilidade final pela Autorização da Operação do Sistema. Isso envolve:
-
Designando a Autoridade: Cada cliente é responsável por designar seu próprio Oficial Autorizador (AO).
-
Aceitação de Risco e ATO: O AO revisa os resultados da avaliação de segurança (emitida no Relatório de Avaliação de Segurança, ou SAR), examina o Plano de Ação e Marcos (POA&M) e determina se as vulnerabilidades conhecidas restantes representam um nível aceitável de risco para as operações da agência antes de emitir uma Autoridade para Operar (ATO).
-
Revisão de alterações: O AO do cliente também é responsável por revisar quaisquer alterações significativas propostas pelo Procore e, posteriormente, revisar e aprovar quaisquer atualizações do pacote FedRAMP com base em testes adicionais realizados pelo 3PAO.
|
Obter e manter o FedRAMP ATO. Garantir que o SSP, SAP, SAR e POA&M permaneçam atualizados; notificar o PMO e o AO sobre alterações ou incidentes significativos. |