Sikker godkendelsesinformationsstyring: ISO 27002 kontrol 5.17 Forklaret
Godkendelsesoplysninger såsom adgangskoder, krypteringsnøgler og kortchips er porten til informationssystemer, der hoster følsomme informationsaktiver.
Dårlig styring eller ukorrekt tildeling af godkendelsesoplysninger kan resultere i uautoriseret adgang til informationssystemer og i tab af fortrolighed, tilgængelighed og integritet af følsomme informationsaktiver.
For eksempel: GoodFirms 2021-forskning viser, at 30 % af alle databrud opstår som følge af svage adgangskoder eller dårlig adgangskodehåndteringspraksis.
Derfor bør organisationer have en robust godkendelsesinformationshåndteringsproces på plads for at allokere, administrere og beskytte godkendelsesinformation.
Formål med kontrol 5.17
Kontrol 5.17 gør det muligt for organisationer at allokere og administrere godkendelsesoplysninger korrekt, eliminere risici for fejl i godkendelsesprocessen og forhindre sikkerhedsrisici, der kan opstå på grund af kompromittering af godkendelsesoplysninger.
Kontrolattributter 5.17
Kontrol 5.17 er en forebyggende type kontrol, der kræver, at organisationer etablerer og implementerer en passende autentificeringsinformationsstyringsproces.
| Kontrol type | Informationssikkerhedsegenskaber | Cybersikkerhedskoncepter | Operationelle evner | Sikkerhedsdomæner |
|---|---|---|---|---|
| #Forebyggende | #Fortrolighed | #Beskytte | #Identitets- og adgangsstyring | #Beskyttelse |
| #Integritet | ||||
| #Tilgængelighed |
Ejerskab af kontrol 5.17
I betragtning af, at kontrol 5.17 indebærer etablering og implementering af organisationsdækkende regler, procedurer og foranstaltninger for tildeling og styring af autentificeringsoplysninger, bør informationssikkerhedsansvarlige være ansvarlige for overholdelse af kontrol 5.17.
Frigør dig selv fra et bjerg af regneark
Integrer, udvid og skaler din compliance uden besvær. IO giver dig robustheden og selvtilliden til at vokse sikkert.
Vejledning om tildeling af godkendelsesoplysninger
Organisationer skal overholde følgende seks krav til tildeling og styring af godkendelsesoplysninger:
- Når personlige adgangskoder eller personlige identifikationsnumre genereres automatisk til tilmelding af nye brugere, bør de ikke kunne gættes. Endvidere skal adgangskoder være unikke for hver bruger, og det skal være obligatorisk at ændre adgangskoder efter første brug.
- Organisationer bør etablere robuste procedurer for at autentificere en brugers identitet, før han/hun får tildelt en ny eller erstatningsgodkendelsesinformation, eller han/hun forsynes med midlertidige oplysninger.
- Organisationer bør sikre sikker transmission af autentificeringsoplysninger til enkeltpersoner via sikre kanaler, og de bør ikke sende disse oplysninger via usikre elektroniske meddelelser (f.eks. klartekst).
- Brugere skal bekræfte modtagelsen af godkendelsesoplysningerne.
- Efter at nye it-systemer og softwareprogrammer er installeret, bør organisationer straks ændre standardgodkendelsesoplysningerne.
- Organisationer bør etablere og vedligeholde registre over alle vigtige begivenheder relateret til styring og tildeling af autentificeringsoplysninger. Desuden bør disse optegnelser holdes fortrolige, og registreringsmetoder bør godkendes, f.eks. ved brug af et godkendt adgangskodeværktøj.
Vejledning om brugeransvar
Brugere, der kan få adgang til og bruge godkendelsesoplysninger, skal instrueres i at overholde følgende:
- Brugere skal bevare fortroligheden af hemmelige autentificeringsoplysninger såsom adgangskoder og bør ikke dele sådanne hemmelige oplysninger med andre. Når flere brugere er involveret i brugen af autentificeringsoplysninger, eller oplysningerne er knyttet til ikke-personlige enheder, bør autentificeringsoplysningerne ikke videregives til uautoriserede personer.
- Brugere skal straks ændre deres adgangskoder, hvis fortroligheden af deres adgangskoder er kompromitteret.
- Brugere bør vælge stærke adgangskoder, der er svære at gætte, ved at følge industriens bedste praksis. For eksempel:
- Adgangskoder bør ikke vælges ud fra personlige oplysninger, der er nemme at få fat i, såsom navne eller fødselsdato.
- Adgangskoder bør ikke oprettes baseret på noget, der let kan gættes.
- Adgangskoder bør ikke indeholde ordbogsord eller kombinationer af disse ord.
- Alfanumeriske tegn og specialtegn skal bruges i adgangskoden.
- Der bør være en minimumslængde for adgangskoder.
- Brugere bør ikke bruge den samme adgangskode til forskellige tjenester.
- Organisationer bør inkludere kravene til oprettelse og brug af adgangskoder i deres ansættelseskontrakter med deres ansatte.
Administrer al din compliance, alt på ét sted
ISMS.online understøtter over 100 standarder og regler, hvilket giver dig en enkelt platform til alle dine overholdelsesbehov.
Vejledning om adgangskodestyringssystemer
Organisationer skal overholde følgende, når de etablerer et adgangskodeadministrationssystem:
- Brugere bør have lov til at oprette og ændre deres adgangskoder, og der bør være en bekræftelsesprocedure på plads for at sikre, at inputfejl identificeres og løses.
- Organisationer bør implementere en stærk adgangskodevalgsproces under hensyntagen til industriens bedste praksis for adgangskodevalg.
- Brugere bør tvinges til at ændre deres standardadgangskoder, efter de første gang har adgang til et system.
- Adgangskodeændringer bør implementeres, når det er nødvendigt. For eksempel vil adgangskodeændring være nødvendig efter en sikkerhedshændelse eller efter opsigelse af en ansættelse hos en bruger, hvis denne bruger har adgang til adgangskoder.
- Tidligere adgangskoder bør ikke genbruges.
- Brug af meget almindelige adgangskoder eller kompromitterede adgangskoder eller brugernavne, der bruges til at få adgang til hackede systemer, bør forbydes.
- Når adgangskoder indtastes, skal de være synlige på skærmen i almindelig tekst.
- Adgangskoder skal opbevares og overføres via beskyttede kanaler og i et sikkert format.
Ydermere bør organisationer udføre hashing- og krypteringsteknikker i overensstemmelse med de autoriserede kryptografimetoder for adgangskoder som angivet i Kontrol 8.24.
Supplerende vejledning om kontrol 5.17
Ud over adgangskoder er der andre typer godkendelsesoplysninger såsom kryptografiske nøgler, smart cards og biometriske data såsom fingeraftryk.
Organisationer rådes til at henvise til ISO/IEC 24760-serien for mere detaljeret vejledning om godkendelsesoplysninger.
I betragtning af, at hyppig ændring af adgangskoder kan være besværlig og irriterende for brugerne, kan organisationer overveje at implementere alternative metoder såsom enkelt-logon eller adgangskodebokse. Det skal dog bemærkes, at disse alternative metoder kan udsætte autentificeringsoplysninger for højere risiko for uautoriseret offentliggørelse.
ISO 27001 gjort nemt
Et forspring på 81% fra dag ét
Vi har gjort det hårde arbejde for dig, hvilket giver dig en 81% forspring fra det øjeblik, du logger på. Alt du skal gøre er at udfylde de tomme felter.
Ændringer og forskelle fra ISO 27002:2013
27002:2022/5.17 erstatter 27002:2013/(9.2.4, 9.3.1 9.4.3)
2022-versionen indeholder et nyt krav til tildeling og styring af godkendelsesoplysninger
Selvom 2013- og 2022-versionen er meget ens med hensyn til kravene til tildeling og styring af autentificeringsoplysninger, introducerer Control 5.17 i 2022-versionen følgende krav, som ikke var inkluderet i 2013-versionen:
- Organisationer bør etablere og vedligeholde registre over alle vigtige begivenheder relateret til styring og tildeling af autentificeringsoplysninger. Desuden bør disse optegnelser holdes fortrolige, og registreringsmetoder bør godkendes, f.eks. ved brug af et godkendt adgangskodeværktøj.
Kontrol 5.17 i 2022-versionen indeholder et yderligere krav om brug af godkendelsesoplysninger
Kontrol 5.17 introducerer følgende krav til brugeransvar, som ikke blev henvist til i kontrol 9.3.1 i 2013-versionen.
- Organisationer bør inkludere kravene til oprettelse og brug af adgangskoder i deres ansættelseskontrakter med deres ansatte og personale.
2013-versionen indeholdt yderligere krav til brugeransvar, der ikke var inkluderet i 2022-versionen
I modsætning til 2022-versionen indeholdt kontrol 9.3.1 følgende krav for brug af godkendelsesoplysninger:
- Brugere bør ikke bruge de samme autentificeringsoplysninger såsom en adgangskode til både forretningsmæssige og ikke-erhvervsmæssige formål.
2013-versionen indeholdt et yderligere krav til adgangskodestyringssystemer, der ikke var inkluderet i 2022-versionen
Kontrol 9.4.3 i 2013-versionen inkluderede følgende krav til adgangskodestyringssystemer.
- Filer, der indeholder adgangskoder, skal hostes i et separat system fra applikationssystemdata.
Kontrol 5.17 i 2022-versionen indeholdt tværtimod ikke dette krav.
Nye ISO 27002 kontroller
| ISO/IEC 27002:2022 kontrolidentifikator | ISO/IEC 27002:2013 kontrolidentifikator | Kontrolnavn |
|---|---|---|
| 5.7 | NY | Trusselsintelligens |
| 5.23 | NY | Informationssikkerhed til brug af cloud-tjenester |
| 5.30 | NY | IKT-parathed til forretningskontinuitet |
| 7.4 | NY | Fysisk sikkerhedsovervågning |
| 8.9 | NY | Konfigurationsstyring |
| 8.10 | NY | Sletning af oplysninger |
| 8.11 | NY | Datamaskering |
| 8.12 | NY | Forebyggelse af datalækage |
| 8.16 | NY | Overvågning af aktiviteter |
| 8.23 | NY | Webfiltrering |
| 8.28 | NY | Sikker kodning |
| ISO/IEC 27002:2022 kontrolidentifikator | ISO/IEC 27002:2013 kontrolidentifikator | Kontrolnavn |
|---|---|---|
| 6.1 | 07.1.1 | Screening |
| 6.2 | 07.1.2 | Vilkår og betingelser for ansættelse |
| 6.3 | 07.2.2 | Informationssikkerhedsbevidsthed, uddannelse og træning |
| 6.4 | 07.2.3 | Disciplinær proces |
| 6.5 | 07.3.1 | Ansvar efter opsigelse eller ændring af ansættelsesforhold |
| 6.6 | 13.2.4 | Aftaler om fortrolighed eller tavshedspligt |
| 6.7 | 06.2.2 | Fjernbetjening |
| 6.8 | 16.1.2, 16.1.3 | Informationssikkerhedshændelsesrapportering |
| ISO/IEC 27002:2022 kontrolidentifikator | ISO/IEC 27002:2013 kontrolidentifikator | Kontrolnavn |
|---|---|---|
| 7.1 | 11.1.1 | Fysiske sikkerhedsomkredse |
| 7.2 | 11.1.2, 11.1.6 | Fysisk adgang |
| 7.3 | 11.1.3 | Sikring af kontorer, lokaler og faciliteter |
| 7.4 | NY | Fysisk sikkerhedsovervågning |
| 7.5 | 11.1.4 | Beskyttelse mod fysiske og miljømæssige trusler |
| 7.6 | 11.1.5 | Arbejde i sikre områder |
| 7.7 | 11.2.9 | Overskueligt skrivebord og klar skærm |
| 7.8 | 11.2.1 | Udstyrsplacering og beskyttelse |
| 7.9 | 11.2.6 | Sikkerhed af aktiver uden for lokalerne |
| 7.10 | 08.3.1, 08.3.2, 08.3.3, 11.2.5 | Lagermedier |
| 7.11 | 11.2.2 | Understøttende hjælpeprogrammer |
| 7.12 | 11.2.3 | Kabler sikkerhed |
| 7.13 | 11.2.4 | Vedligeholdelse af udstyr |
| 7.14 | 11.2.7 | Sikker bortskaffelse eller genbrug af udstyr |
Hvordan ISMS.online hjælper
ISMS.Online hjælper organisationer og virksomheder med at opfylde kravene i ISO 27002 ved at give dem en platform, der gør det nemt at administrere deres fortroligheds- eller fortrolighedspolitikker og -procedurer, opdatere dem efter behov, teste dem og overvåge deres effektivitet.
Vi leverer en cloud-baseret platform til administration af fortroligheds- og informationssikkerhedsstyringssystemer, herunder klausuler om fortrolighed, risikostyring, politikker, planer og procedurer, på ét centralt sted. Platformen er nem at bruge og har en intuitiv brugerflade, der gør det nemt at lære at bruge.
Kontakt os i dag for planlæg en demo.
