ISO 27002:2022, Kontrol 5.15 – Adgangskontrol

Generel vejledning

Overholdelse af kontrol 5.15 indebærer overholdelse af det, der er kendt som en 'emnespecifik' tilgang til adgangskontrol (mere kendt som en 'problemspecifik' tilgang).

Emnespecifikke tilgange tilskynder organisationer til at skabe Access Kontrolpolitikker der er skræddersyet til individuelle forretningsfunktioner i stedet for at overholde en generel adgangskontrolpolitik, der gælder for data- og ressourceadgang over hele linjen.

Kontrol 5.15 kræver adgangskontrolpolitikker på tværs af alle emnespecifikke områder for at tage de følgende 11 vejledningspunkter i betragtning. Nogle af nedenstående vejledningspunkter skærer hinanden med forskellige andre kontroller, som er angivet til reference.

Organisationer bør konsultere disse medfølgende kontroller fra sag til sag for yderligere information.

• Bestem, hvilke enheder der kræver adgang til bestemte dele af oplysninger og/eller aktiver.
  
  

  Overholdelse – Dette opnås nemt ved at føre en nøjagtig registrering af jobroller og krav til dataadgang, som er i overensstemmelse med din organisationsstruktur.

• Integriteten og sikkerheden af ​​alle relevante applikationer (forbundet med Control 8.2)
  
  

  Overholdelse – En formel risikovurdering kunne udføres for at undersøge de enkelte applikationers sikkerhedskarakteristika.

• Fysiske (site) adgangskontroller (sammenkædet med kontrol 7.2, 7.3 og 7.4)
  
  

  Overholdelse – Din organisation skal kunne demonstrere, at du har et robust sæt af bygnings- og rumadgangskontroller, herunder administrerede adgangssystemer, sikkerhedsperimetre og besøgsprocedurer, hvor det er relevant.

• Et virksomhedsdækkende "need to know"-princip, når det kommer til informationsdistribution, sikkerhed og kategorisering (forbundet med 5.10, 5.12 og 5.13)
  
  

  Overholdelse – Virksomheder bør overholde strenge politikker for bedste praksis, der ikke giver generel adgang til data på tværs af et organisationsdiagram.

• Sikre begrænsninger af privilegerede adgangsrettigheder (forbundet med 8.2)
  
  

  Overholdelse – Dataadgangsrettigheder ud over en standardbrugers rettigheder skal være tætte overvåget og revideret.

• Overholdelse af enhver gældende lovgivning, sektorspecifikke regulatoriske retningslinjer eller kontraktlige forpligtelser i forbindelse med dataadgang (linket til 5.31, 5.32, 5.33, 5.34 og 8.3)
  
  

  Overholdelse – Organisationer skræddersyer deres egne adgangskontrolpolitikker i overensstemmelse med eventuelle eksterne forpligtelser, de har med hensyn til data-, aktiv- og ressourceadgang.

• Overvågning af potentielle pligtkonflikter
  
  

  Overholdelse – Politikker bør omfatte kontroller, der eliminerer en persons mulighed for at kompromittere en bredere adgangskontrolfunktion baseret på deres egne adgangsniveauer (dvs. en medarbejder, der har evnen til at anmode om, godkende og implementere ændringer i et netværk).

• De tre hovedfunktioner i en adgangskontrolpolitik – anmodninger, tilladelser og administration – bør behandles isoleret
  
  

  Overholdelse – Adgangskontrolpolitikker skal anerkende, at selv om adgangskontrol er en selvstændig funktion, består den af ​​en række individuelle trin, der bærer deres eget sæt krav på emne-for-emne-basis.

• Anmodninger om adgang skal udføres på en struktureret, formel måde (linket til 5.16 og 5.18)
  
  

  Overholdelse – Organisationer bør implementere en godkendelsesproces, der kræver en formel, dokumenteret godkendelse fra et passende medlem af personalet.

• Løbende styring af adgangsrettigheder (linket til 5.18)
  
  

  Overholdelse – Dataintegritet og sikkerhedsperimetre skal opretholdes gennem en kontinuerlig cyklus af periodiske revisioner, HR-tilsyn (fralader osv.) og jobspecifikke ændringer (f.eks. afdelingsflytninger og rolleændringer).

• Vedligeholdelse af passende logfiler og kontrol af adgang til dem
  
  

  Overholdelse – Organisationen bør indsamle og opbevare data om adgangsbegivenheder (f.eks. filaktivitet) sideløbende med sikring mod uautoriseret adgang til sikkerhedshændelseslogfiler og operere med et omfattende sæt af incident management procedurer.

Vejledning om implementering af adgangskontrolregler

Som vi har diskuteret, gives adgangskontrolregler til forskellige enheder (menneskelige og ikke-menneskelige), der eksisterer på et givet netværk, som igen får "roller", der dikterer deres overordnede krav.

Når din organisation definerer og vedtager sit eget sæt af adgangskontrolpolitikker, beder 5.15 dig om at tage følgende 4 punkter i betragtning:

1. Sikre overensstemmelse mellem adgangsretten og den type data, den gælder for.
2. Sikre overensstemmelse mellem adgangsretten og fysiske sikkerhedskrav af din organisation (perimeter osv.).
3. Hvor din organisation opererer under et distribueret computermiljø, der omfatter flere forskellige netværk eller sæt af ressourcer (såsom et cloud-baseret miljø), tager adgangsrettigheder hensyn til implikationerne af data indeholdt på tværs af en bred vifte af netværkstjenester.
4. Vær opmærksom på implikationerne omkring dynamisk adgangskontrol (en detaljeret metode til adgang implementeret af systemadministratorer til et detaljeret sæt variabler).

Dokumentation og definerede ansvarsområder

Kontrol 5.15 er eksplicit i at kræve, at organisationer beskæftiger sig med dokumentation og en struktureret liste over ansvarsområder. ISO 27002 indeholder adskillige lignende krav på tværs af hele listen over kontroller - her er de individuelle kontroller, der er mest relevante for 5.15:

Dokumentation

• 5.16
• 5.17
• 5.18
• 8.2
• 8.3
• 8.4
• 8.5
• 8.18

ansvar

• 5.2
• 5.17

granularitet

Kontrol 5.15 giver organisationer et betydeligt spillerum, når det kommer til at vælge det granularitetsniveau, der er indeholdt i deres adgangskontrolregler.

ISO råder virksomheder til at udøve deres egen vurdering af, hvor detaljeret et givet regelsæt skal være på medarbejder-for-medarbejder-basis, og hvor mange adgangsvariabler, der anvendes på ethvert stykke data.

5.15 anerkender udtrykkeligt, at jo mere detaljerede en virksomheds adgangskontrolpolitikker er, desto større omkostninger og jo sværere bliver hele konceptet med adgangskontrol på tværs af flere lokationer, netværkstyper og applikationsvariabler.

Adgangskontrol som koncept, medmindre det styres nøje, kan hurtigt komme ud af kontrol. Det er næsten altid en god idé at forenkle reglerne for adgangskontrol for at gøre dem nemmere og mere omkostningseffektive at administrere.

Ændringer fra ISO 27002:2013

27002:2013/5.15 er en sammenlægning af to lignende kontroller i 27002:2013 – 9.1.1 (Adgangskontrolpolitik) og 9.1.2 (Adgang til netværk og netværkstjenester).

Generelt behandler både 9.1.1 og 9.1.2 de samme underliggende temaer som 5.15 og følger i store træk det samme sæt retningslinjer for styring med nogle subtile operationelle forskelle.

Både 2022- og 2013-kontrollen beskæftiger sig med administration af adgang til information, aktiver og ressourcer og drift efter et "need to know"-princip, der behandler virksomhedsdata som en vare, der skal styres og beskyttes nøje.

Alle 27002:2013/9.1.1's 11 styrende retningslinjer løber efter de samme generelle linjer, som ses i 27002:2013/5.15, hvor sidstnævnte har en marginalt større vægt på fysisk sikkerhed og perimetersikkerhed.

Understøttende vejledning om implementering af adgangskontrol er stort set den samme, men 2022-kontrollen gør et meget bedre stykke arbejde med at tilbyde kortfattet, praktisk vejledning på tværs af sine 4 implementeringsretningslinjer.

Ændringer i typer af adgangskontrol fra 9.1.1

5.15 anerkender de forskellige former for adgangskontrolmetoder, der er opstået i løbet af de sidste 9 år (MAC, DAC, ABAC), hvorimod 27002:2013/9.1.1 begrænser sin vejledning til RBAC – den mest almindelige metode til kommerciel adgangskontrol på det tidspunkt .

granularitet

I forbindelse med teknologiske ændringer, der giver organisationer større kontrol over deres data, indeholder ingen af ​​kontrollerne fra 2013 nogen meningsfuld vejledning om, hvordan en organisation skal gribe granuleret adgangskontrol til, hvorimod 27002:2013/5.15 giver organisationer et betydeligt spillerum.