ISO 27001:2022 Bilag A 8.5 – Sikker godkendelse

• Se ISO 27002:2022 Kontrol 8.5 for mere information.
• Se ISO 27001:2013 Bilag A 9.4.2 for mere information.

Formål med ISO 27001:2022 bilag A 8.5

Sikker autentificering er den vigtigste måde, brugere, både menneskelige og ikke-menneskelige, får adgang til en organisations IKT-ressourcer.

I de sidste ti år har autentificeringsteknologien gennemgået en stor transformation fra klassisk brugernavn/adgangskodevalidering til en række supplerende metoder, der involverer biometriske data, logiske og fysiske adgangskontroller, ekstern enhedsgodkendelse, SMS-koder og engangskodeord (OTP) .

Bilag A 8.5 giver organisationer en ramme til at kontrollere adgangen til deres IKT-systemer og aktiver via en sikker login-gateway. Den beskriver præcis, hvordan dette skal gøres.

ISO 27001: 2022 Bilag A Kontrol 8.5 er en forebyggende foranstaltning som fastholder risiko niveauer ved at introducere teknologi og indføre sikre autentificeringsprocedurer, som sikrer, at menneskelige og ikke-menneskelige brugere og identiteter gennemfører en sikker autentificeringsproces, når de forsøger at få adgang til IKT-ressourcer.

Ejerskab af bilag A 8.5

ISO 27001:2022 Annex A 8.5 omhandler en organisations kapacitet til at kontrollere adgangen til sit netværk (og de data og informationer, der ligger deri) på nøglepunkter, f.eks. en login-portal.

Kontrollen omfatter informations- og datasikkerhed som helhed, hvor driftsvejledningen hovedsageligt fokuserer på tekniske aspekter.

Leder af it (eller tilsvarende) bør have ejerskab på grund af at have ansvaret for it-administrative opgaver på daglig basis.

Generel vejledning om ISO 27001:2022 Bilag A 8.5

Organisationer bør tage hensyn til typen og følsomheden af ​​de data og netværk, der tilgås, når de overvejer autentificeringskontrol. Eksempler på sådanne kontroller omfatter:

• Smart adgangskontrol (smartkort).
• Biometriske logins.
• Sikre tokens.
• Multi-faktor autentificering (MFA).
• Digitale certifikater.

Det primære formål med en virksomheds sikre autentificeringsforanstaltninger bør være at afskrække og reducere muligheden for uautoriseret adgang til dens beskyttede systemer.

For at opnå dette opstiller ISO 27001:2022 Annex A 8.5 tolv vigtigste retningslinjer. Virksomheder bør:

1. Sørg for, at oplysningerne kun vises efter en vellykket godkendelsesproces.
2. Vis en advarselsmeddelelse før du logger ind, der tydeligt angiver, at kun autoriserede brugere har adgang til dataene.
3. Reducer hjælpen til uautoriserede personer, der forsøger at komme ind i systemet. For eksempel bør virksomheder ikke afsløre, hvilken del af log-in, der har været forkert, såsom en biometrisk faktor på et multi-faktor autentificerings-login – i stedet kun oplyse, at log-in ikke har fungeret.
4. Bekræft kun loginforsøget, når alle nødvendige oplysninger er blevet leveret til logintjenesten for at opretholde sikkerheden.
5. Implementer branchestandard sikkerhedsforanstaltninger for at beskytte mod generel adgang og brute force-angreb på login-portaler. Disse kan omfatte:
• CAPTCHA er en sikkerhedsfunktion, der kræver, at du indtaster en streng af tegn for at bekræfte, at du er en menneskelig bruger.
• Tvinger en nulstilling af en adgangskode efter et bestemt antal mislykkede loginforsøg.
• Efter et vist antal mislykkede forsøg forpurres yderligere logins. For at forhindre dette, sæt en grænse.
6. For revision og sikkerhed skal hvert mislykket login-forsøg noteres, herunder for straffesager og/eller reguleringssager.
7. I tilfælde af større login-uoverensstemmelser, såsom mistanke om indtrængen, skal en sikkerhedshændelse straks iværksættes. Internt personale, især dem med systemadministratoradgang eller evnen til at forhindre ondsindede loginforsøg, skal underrettes med det samme.
8. Når et vellykket login er blevet bekræftet, skal visse data overføres til et andet depot, som detaljer:
• Det sidste vellykkede logon fandt sted den [dato] kl. [tid].
• Registrering af alle forsøg på login siden sidste godkendte logon.
9. Vis adgangskoder som stjerner eller andre lignende abstrakte symboler, medmindre der er en grund til ikke at gøre det (f.eks. brugertilgængelighed).
10. Ingen tolerance for adgangskoder, der skal deles eller vises i almindelig, læsbar tekst.
11. Sørg for, at inaktive login-sessioner afsluttes efter en fastsat tidsramme. Dette er især relevant for sessioner på steder med høj risiko (fjernbetjening situationer) eller på brugerejede enheder, såsom personlige bærbare computere eller mobiltelefoner.
12. Begræns varigheden, i hvilken en autentificeret session kan forblive åben, selv når den er aktiv, afhængigt af de data, der tilgås (f.eks. vitale forretningsoplysninger eller pengerelaterede programmer).

Vejledning om biometriske logins

Den Internationale Standardiseringsorganisation opfordrer indtrængende til, at biometriske login-processer kombineres med mindst en anden login-teknik, på grund af deres komparative effektivitet og integritet sammenlignet med traditionelle metoder såsom adgangskoder, MFA og tokens.

Ændringer og forskelle fra ISO 27001:2013

ISO 27001:2022 Bilag A 8.5 erstatter ISO 27001:2013 Bilag A 9.4.2 (Sikker log-in protokoller).

ISO 27001:2022 Bilag A 8.5 er en revision af 2013-versionen med små ændringer af sproget og de samme sikkerhedsprincipper, der ligger til grund for den. Dokumentet indeholder stadig de 12 velkendte vejledningspunkter.

I tråd med den øgede brug af multi-faktor autentificering og biometriske login-teknologier i løbet af de sidste ti år, giver ISO 27001:2022 Annex A 8.5 eksplicitte instruktioner om, hvordan organisationer bør inkorporere disse teknikker, når de formulerer deres egne login-kontroller.

Tabel over alle ISO 27001:2022 bilag A kontroller

I tabellen nedenfor finder du mere information om hver enkelt person ISO 27001:2022 Bilag A Kontrollere.

Hvordan ISMS.online Hjælp

Vores cloud-baserede platform udstyrer dig med stærke rammer for informationssikkerhed kontroller for at hjælpe ISMS-processen og sikre, at den opfylder ISO 27001:2022-kriterierne. Brugt korrekt, ISMS.online kan hjælpe dig med at opnå certificering med minimal tid og ressourcer.

Kontakt os i dag for arrangere en demonstration.