ISO 27002:2022, Kontrol 5.17 – Godkendelsesoplysninger

Ejerskab af kontrol 5.17

I betragtning af, at kontrol 5.17 indebærer etablering og implementering af organisationsdækkende regler, procedurer og foranstaltninger for tildeling og styring af autentificeringsoplysninger, bør informationssikkerhedsansvarlige være ansvarlige for overholdelse af kontrol 5.17.

Vejledning om tildeling af godkendelsesoplysninger

Organisationer skal overholde følgende seks krav til tildeling og styring af godkendelsesoplysninger:

• Når personlige adgangskoder eller personlige identifikationsnumre genereres automatisk til tilmelding af nye brugere, bør de ikke kunne gættes. Endvidere skal adgangskoder være unikke for hver bruger, og det skal være obligatorisk at ændre adgangskoder efter første brug.
• Organisationer bør etablere robuste procedurer for at autentificere en brugers identitet, før han/hun får tildelt en ny eller erstatningsgodkendelsesinformation, eller han/hun forsynes med midlertidige oplysninger.
• Organisationer bør sikre sikker transmission af autentificeringsoplysninger til enkeltpersoner via sikre kanaler, og de bør ikke sende disse oplysninger via usikre elektroniske meddelelser (f.eks. klartekst).
• Brugere skal bekræfte modtagelsen af ​​godkendelsesoplysningerne.
• Efter at nye it-systemer og softwareprogrammer er installeret, bør organisationer straks ændre standardgodkendelsesoplysningerne.
• Organisationer bør etablere og vedligeholde registre over alle vigtige begivenheder relateret til styring og tildeling af autentificeringsoplysninger. Desuden bør disse optegnelser holdes fortrolige, og registreringsmetoder bør godkendes, f.eks. ved brug af et godkendt adgangskodeværktøj.

Vejledning om brugeransvar

Brugere, der kan få adgang til og bruge godkendelsesoplysninger, skal instrueres i at overholde følgende:

1. Brugere skal bevare fortroligheden af ​​hemmelige autentificeringsoplysninger såsom adgangskoder og bør ikke dele sådanne hemmelige oplysninger med andre. Når flere brugere er involveret i brugen af ​​autentificeringsoplysninger, eller oplysningerne er knyttet til ikke-personlige enheder, bør autentificeringsoplysningerne ikke videregives til uautoriserede personer.
2. Brugere skal straks ændre deres adgangskoder, hvis fortroligheden af ​​deres adgangskoder er kompromitteret.
3. Brugere bør vælge stærke adgangskoder, der er svære at gætte, ved at følge industriens bedste praksis. For eksempel:
• Adgangskoder bør ikke vælges ud fra personlige oplysninger, der er nemme at få fat i, såsom navne eller fødselsdato.
• Adgangskoder bør ikke oprettes baseret på noget, der let kan gættes.
• Adgangskoder bør ikke indeholde ordbogsord eller kombinationer af disse ord.
• Alfanumeriske tegn og specialtegn skal bruges i adgangskoden.
• Der bør være en minimumslængde for adgangskoder.
4. Brugere bør ikke bruge den samme adgangskode til forskellige tjenester.
5. Organisationer bør inkludere kravene til oprettelse og brug af adgangskoder i deres ansættelseskontrakter med deres ansatte.

Vejledning om adgangskodestyringssystemer

Organisationer skal overholde følgende, når de etablerer et adgangskodeadministrationssystem:

• Brugere bør have lov til at oprette og ændre deres adgangskoder, og der bør være en bekræftelsesprocedure på plads for at sikre, at inputfejl identificeres og løses.
• Organisationer bør implementere en stærk adgangskodevalgsproces under hensyntagen til industriens bedste praksis for adgangskodevalg.
• Brugere bør tvinges til at ændre deres standardadgangskoder, efter de første gang har adgang til et system.
• Adgangskodeændringer bør implementeres, når det er nødvendigt. For eksempel vil adgangskodeændring være nødvendig efter en sikkerhedshændelse eller efter opsigelse af en ansættelse hos en bruger, hvis denne bruger har adgang til adgangskoder.
• Tidligere adgangskoder bør ikke genbruges.
• Brug af meget almindelige adgangskoder eller kompromitterede adgangskoder eller brugernavne, der bruges til at få adgang til hackede systemer, bør forbydes.
• Når adgangskoder indtastes, skal de være synlige på skærmen i almindelig tekst.
• Adgangskoder skal opbevares og overføres via beskyttede kanaler og i et sikkert format.

Ydermere bør organisationer udføre hashing- og krypteringsteknikker i overensstemmelse med de autoriserede kryptografimetoder for adgangskoder som angivet i Kontrol 8.24.

Supplerende vejledning om kontrol 5.17

Ud over adgangskoder er der andre typer godkendelsesoplysninger såsom kryptografiske nøgler, smart cards og biometriske data såsom fingeraftryk.

Organisationer rådes til at henvise til ISO/IEC 24760-serien for mere detaljeret vejledning om godkendelsesoplysninger.

I betragtning af, at hyppig ændring af adgangskoder kan være besværlig og irriterende for brugerne, kan organisationer overveje at implementere alternative metoder såsom enkelt-logon eller adgangskodebokse. Det skal dog bemærkes, at disse alternative metoder kan udsætte autentificeringsoplysninger for højere risiko for uautoriseret offentliggørelse.

Ændringer og forskelle fra ISO 27002:2013

27002:2022/5.17 erstatter 27002:2013/(9.2.4, 9.3.1 9.4.3)

2022-versionen indeholder et nyt krav til tildeling og styring af godkendelsesoplysninger

Selvom 2013- og 2022-versionen er meget ens med hensyn til kravene til tildeling og styring af autentificeringsoplysninger, introducerer Control 5.17 i 2022-versionen følgende krav, som ikke var inkluderet i 2013-versionen:

• Organisationer bør etablere og vedligeholde registre over alle vigtige begivenheder relateret til styring og tildeling af autentificeringsoplysninger. Desuden bør disse optegnelser holdes fortrolige, og registreringsmetoder bør godkendes, f.eks. ved brug af et godkendt adgangskodeværktøj.

Kontrol 5.17 i 2022-versionen indeholder et yderligere krav om brug af godkendelsesoplysninger

Kontrol 5.17 introducerer følgende krav til brugeransvar, som ikke blev henvist til i kontrol 9.3.1 i 2013-versionen.

• Organisationer bør inkludere kravene til oprettelse og brug af adgangskoder i deres ansættelseskontrakter med deres ansatte og personale.

2013-versionen indeholdt yderligere krav til brugeransvar, der ikke var inkluderet i 2022-versionen

I modsætning til 2022-versionen indeholdt kontrol 9.3.1 følgende krav for brug af godkendelsesoplysninger:

• Brugere bør ikke bruge de samme autentificeringsoplysninger såsom en adgangskode til både forretningsmæssige og ikke-erhvervsmæssige formål.

2013-versionen indeholdt et yderligere krav til adgangskodestyringssystemer, der ikke var inkluderet i 2022-versionen

Kontrol 9.4.3 i 2013-versionen inkluderede følgende krav til adgangskodestyringssystemer.

• Filer, der indeholder adgangskoder, skal hostes i et separat system fra applikationssystemdata.

Kontrol 5.17 i 2022-versionen indeholdt tværtimod ikke dette krav.

Hvordan ISMS.online hjælper

ISMS.Online hjælper organisationer og virksomheder med at opfylde kravene i ISO 27002 ved at give dem en platform, der gør det nemt at administrere deres fortroligheds- eller fortrolighedspolitikker og -procedurer, opdatere dem efter behov, teste dem og overvåge deres effektivitet.

Vi leverer en cloud-baseret platform til administration af fortroligheds- og informationssikkerhedsstyringssystemer, herunder klausuler om fortrolighed, risikostyring, politikker, planer og procedurer, på ét centralt sted. Platformen er nem at bruge og har en intuitiv brugerflade, der gør det nemt at lære at bruge.

Kontakt os i dag for planlæg en demo.