ISO 27002:2022 – Kontrol 5.18 – Adgangsrettigheder

Sikring af sikker adgang: ISO 27002 kontrol 5.18 Forklaret

Hver medarbejder i din organisation skal have adgang til bestemte computere, databaser, informationssystemer og applikationer for at udføre deres opgaver.

Mens personalepersonale for eksempel kan have brug for adgang til følsomme sundhedsdata for medarbejdere, kan din økonomiafdeling stole på at få adgang til og bruge databaser, der indeholder medarbejderlønoplysninger.

Disse adgangsrettigheder bør dog gives, ændres og tilbagekaldes i overensstemmelse med din organisations adgangskontrolpolitik og dens adgangskontrol, så du kan forhindre uautoriseret adgang til, ændring af og ødelæggelse af informationsaktiver.

For eksempel, hvis du undlader at tilbagekalde adgangsrettighederne for en tidligere medarbejder, kan denne medarbejder stjæle følsomme oplysninger.

Kontrol 5.18 omhandler, hvordan organisationer skal tildele, ændre og tilbagekalde adgangsrettigheder under hensyntagen til forretningskrav.

Formål med kontrol 5.18

Kontrol 5.18 gør det muligt for en organisation at etablere og implementere passende procedurer og kontroller for at tildele, ændre og tilbagekalde adgangsrettigheder til informationssystemer i overensstemmelse med organisationens adgangskontrolpolitik og dens adgangskontrol.

Kontrolattributter 5.18

Kontrol 5.18 er en forebyggende kontrol, der kræver, at organisationer eliminerer risikoen for uautoriseret adgang til informationssystemer ved at indføre robuste regler, procedurer og kontroller.

Ejerskab af kontrol 5.18

En informationssikkerhedsmedarbejder bør være ansvarlig for at etablere, implementere og gennemgå passende regler, processer og kontroller for tilvejebringelse, ændring og tilbagekaldelse af adgangsrettigheder til informationssystemer.

Ved tildeling, ændring og tilbagekaldelse af adgangsrettigheder bør den informationssikkerhedsansvarlige overveje forretningsbehov og bør arbejde tæt sammen med ejere af informationsaktiver for at sikre, at regler og processer overholdes.

Vejledning om tildeling og tilbagekaldelse af adgangsrettigheder

Organisationer bør inkorporere følgende regler og kontroller i processen for tildeling og tilbagekaldelse af adgangsrettigheder til en autentificeret person:

• Ejer af informationsaktiver bør give sin tilladelse til adgang til og brug af relevante informationsaktiver. Endvidere bør organisationer også overveje at søge særskilt godkendelse fra ledelsen for tildeling af adgangsrettigheder.
• Organisationens forretningsbehov og dens politik for adgangskontrol bør tages i betragtning.
• Organisationer bør overveje at adskille opgaver. For eksempel kan godkendelsesopgaven og implementeringen af ​​adgangsrettigheder udføres af separate personer.
• Når en person ikke længere har brug for adgang til informationsaktiver, især når de ikke længere er en del af organisationen, bør vedkommendes adgangsrettigheder tilbagekaldes øjeblikkeligt.
• Personale eller andet personale, der midlertidigt arbejder for organisationen, kan tildeles midlertidige adgangsrettigheder. Disse rettigheder bør tilbagekaldes, når de ikke længere arbejder for organisationen.
• Adgangsniveauet til en enkeltperson bør være i overensstemmelse med organisationens adgangskontrolpolitik og bør revideres og verificeres regelmæssigt. Desuden bør det også være i overensstemmelse med andre informationssikkerhedskrav, såsom adskillelse af opgaver som angivet i kontrol 5.3.
• Organisationer bør sikre, at adgangsrettigheder ikke aktiveres, før den relevante godkendelsesprocedure er gennemført.
• Adgangsrettigheder givet til hver enkelt identifikator, såsom ID eller fysisk, bør logges på et centralt adgangskontrolstyringssystem, og dette system bør vedligeholdes.
• Hvis en persons rolle eller pligter ændres, bør vedkommendes niveau for adgangsrettigheder opdateres.
• Fjernelse eller ændring af fysiske eller logiske adgangsrettigheder kan udføres via følgende metoder: Fjernelse eller udskiftning af nøgler, ID-kort eller autentificeringsoplysninger.
• Ændringer i en brugers fysiske og logiske adgangsrettigheder skal logges på et system og skal vedligeholdes.

Supplerende vejledning om gennemgang af adgangsrettigheder

Fysiske og logiske adgangsrettigheder bør gennemgå periodiske gennemgange under hensyntagen til:

• Ændringer i hver brugers adgangsrettigheder, efter at de er forfremmet eller degraderet inden for samme organisation, eller efter deres ansættelse er ophørt.
• Autorisationsprocedure for tildeling af privilegerede adgangsrettigheder.

Vejledning om ændring eller opsigelse af ansættelse

Inden en medarbejder forfremmes eller degraderes inden for samme organisation, eller når hans/hendes ansættelse opsiges, bør hans/hendes adgangsrettigheder til informationsbehandlingssystemer evalueres og modificeres under hensyntagen til følgende risikofaktorer:

• Om opsigelsesprocessen er iværksat af medarbejderen eller af organisationen og årsagen til opsigelsen.
• Medarbejderens nuværende ansvar i organisationen.
• Kritik og værdi af informationsaktiver, der er tilgængelige for medarbejderen.

Supplerende vejledning

Organisationer bør overveje at etablere brugeradgangsroller baseret på deres forretningskrav. Disse roller bør omfatte typer og antal af adgangsrettigheder, der skal tildeles til hver brugergruppe.

Oprettelse af sådanne roller vil gøre det lettere at administrere og gennemgå adgangsanmodninger og rettigheder.

Organisationer bør inkludere kontraktmæssige bestemmelser for uautoriseret adgang og sanktioner for sådan adgang i deres ansættelses-/tjenestekontrakter med deres personale. Dette skal være i overensstemmelse med kontrollerne 5.20, 6.2, 6.4 og 6.6.

Organisationer bør være forsigtige over for utilfredse medarbejdere, der afskediges af ledelsen, fordi de med vilje kan beskadige informationssystemer.

Hvis organisationer beslutter at bruge kloningsteknikkerne til at give adgangsrettigheder, bør de udføre det på grundlag af forskellige roller, som organisationen har fastlagt.

Det skal bemærkes, at kloning medfører den iboende risiko for at give for store adgangsrettigheder.

Ændringer og forskelle fra ISO 27002:2013

27002:2022/5.18 erstatter 27002:2013/(9.2.2, 9.2.5, 9.2.6).

2022-versionen indeholder mere omfattende krav til tildeling og tilbagekaldelse af adgangsrettigheder

Selvom Control 9.2.2 i 2013-versionen anførte seks krav for tildeling og tilbagekaldelse af adgangsrettigheder, introducerer Control 5.18 i 2022-versionen tre nye krav ud over disse seks krav:

• Personale eller andet personale, der midlertidigt arbejder for organisationen, kan tildeles midlertidige adgangsrettigheder. Disse rettigheder bør tilbagekaldes, når de ikke længere udfører arbejde for organisationen.
• Fjernelse eller ændring af fysiske eller logiske adgangsrettigheder kan udføres via følgende metoder: Fjernelse eller udskiftning af nøgler, ID-kort eller autentificeringsoplysninger.
• Ændringer af en brugers fysiske og logiske adgangsrettigheder skal logges og vedligeholdes.

2013-versionen indeholder mere detaljerede krav til privilegerede adgangsrettigheder

Kontrol 9.5 i version 2013 sagde eksplicit, at organisationer skulle gennemgå autorisation for privilegerede adgangsrettigheder med hyppigere intervaller end andre adgangsrettigheder. Kontrol 5.18 i version 2022 indeholdt tværtimod ikke dette krav.

Nye ISO 27002 kontroller

Hvordan ISMS.online hjælper

ISMS.online er en cloud-baseret platform, der tilbyder assistance til at implementere ISO 2702-standarden effektivt og omkostningseffektivt.

Det giver organisationer let adgang til ajourførte oplysninger om deres overholdelsesstatus til enhver tid gennem dens brugervenlige dashboard-grænseflade, som giver ledere mulighed for at overvåge deres fremskridt i retning af at opnå overholdelse hurtigt og nemt.

Kontakt i dag for book en demo.