Изменение прав доступа
Правило: Все запросы на расширение привилегий или прав доступа пользователя должны письменно заверяться начальником владельца учетной записи. После изменения профайла, начальник должен уведомляться. Более того, запросы такого рода должны проверяться на соответствие полномочиям, как описано в разделе «Процедуры авторизации и удостоверения».
Аргументация и примечания: После того, как взломщику удалось скомпрометировать учетную запись обычного пользователя, он пытается расширить захваченные привилегии, что, в свою очередь, может вести к получению абсолютного контроля над всей системой. Взломщик, который отлично представляет себе установленные на фирме методы авторизации, может подделать запрос на расширение привилегий, если такой запрос производится по телефону, факсу или электронной почте. К примеру, злоумышленник может позвонить в службу технической поддержки или справочную и попросить инженера расширить полномочия скомпрометированной (взломанной) учетной записи.
