D02 · Dati e riservatezza

Accesso e conservazione

I dati restano disponibili troppo ampiamente o troppo a lungo.

Requisito

Applicare accessi per ruolo, separazione tenant, conservazione e cancellazione documentate a prompt, tracce, cache e backup.

Evidenze previste

  • Matrice degli accessi e progetto di isolamento.
  • Piano di conservazione con prove di cancellazione.

Verifica proposta

  1. Tentare accessi tra ruoli e tenant.
  2. Seguire un record scaduto fino alla gestione dei backup.

Limite

La cancellazione dei backup può essere differita; meccanismo e ritardo reali vanno dichiarati.

Fonti