ISO 27002:2022 – Kontrol 8.2 – Privilegerede adgangsrettigheder

Formål med kontrol 8.2

Ondsindet eller forkert brug af forhøjede systemadministratorrettigheder er en af ​​hovedårsagerne til IKT-forstyrrelser på tværs af kommercielle netværk over hele verden.

Privilegerede adgangsrettigheder giver organisationer mulighed for at kontrollere adgangen til deres infrastruktur, applikationer, aktiver og opretholde integriteten af ​​alle lagrede data og systemer.

Kontrol 8.2 er en forebyggende kontrol at fastholder risiko ved at etablere en autorisation proces, der håndterer alle anmodninger om adgang på tværs af en organisations IKT-netværk og tilhørende aktiver.

Attributter Kontroltabel 8.2

Ejerskab af kontrol 8.2

Kontrol 8.6 omhandler en organisationens evne til at kontrollere adgangen til data via brugerkonti, der nyder godt af udvidede adgangsrettigheder.

Som sådan bør ejerskabet ligge hos IT-chefen (eller tilsvarende organisatorisk), som har ansvar for organisationens evnen til at administrere og overvåge privilegerede domæne- eller applikationsbrugerkonti.

Generel vejledning om kontrol 8.2

Kontrol 8.2 skitserer 12 hovedvejledningspunkter, der organisationer har brug for at følge i overensstemmelse med en "emnespecifik" politik om adgangskontrol (se kontrol 5.15), der er rettet mod individuelle forretningsfunktioner.

Organisationer bør:

1. Identificer en liste over brugere, der kræver nogen grad af privilegeret adgang - enten for et individuelt system - såsom en database - applikation eller underliggende OS.
2. Oprethold en politik, der tildeler privilegerede adgangsrettigheder til brugere på det, der er kendt som en "begivenhed for begivenhed" - brugere bør tildeles adgangsniveauer baseret på det absolutte minimum, der kræves for, at de kan udføre deres rolle.
3. Skitserer en klar autorisationsproces, der behandler alle anmodninger om privilegeret adgang, herunder føring af alle adgangsrettigheder, der er blevet implementeret.
4. Sørg for, at adgangsrettigheder er underlagt relevante udløbsdatoer.
5. Tag skridt til at sikre, at brugerne er det udtrykkeligt bevidst af enhver tidsperiode, hvor de opererer med privilegeret adgang til et system.
6. Hvor det er relevant, bliver brugerne bedt om at autentificere igen, før de bruger privilegerede adgangsrettigheder, for at påvirke større informations-/datasikkerhed.
7. Udfør periodiske revisioner af privilegerede adgangsrettigheder, især efter en periode med organisatoriske ændringer. Brugernes adgangsrettigheder bør gennemgås baseret på deres "pligter, roller, ansvar og kompetence" (se Kontrol 5.18).
8. Overvej at arbejde med en såkaldt "knusglas"-procedure – dvs. at sikre, at privilegerede adgangsrettigheder tildeles inden for stramt kontrollerede tidsvinduer, der opfylder minimumskravene for, at en operation skal udføres (kritiske ændringer, systemadministration osv.).
9. Sørg for, at alle aktiviteter med privilegeret adgang logges i overensstemmelse hermed.
10. Undgå brugen af ​​generiske systemloginoplysninger (især standardiserede brugernavne og adgangskoder) (se Kontrol 5.17).
11. Hold dig til en politik om at tildele brugere en separat identitet, der giver mulighed for strammere kontrol over privilegerede adgangsrettigheder. Sådanne identiteter kan derefter grupperes sammen, hvor den tilknyttede gruppe tildeles forskellige niveauer af adgangsrettigheder.
12. Sørg for, at privilegerede adgangsrettigheder kun er forbeholdt kritiske opgaver, der vedrører den fortsatte drift af et fungerende IKT-netværk – såsom systemadministration og netværksvedligeholdelse.

Understøttende kontroller

• 5.15

Ændringer og forskelle fra ISO 27002:2013

Kontrol 27002:2022-8.2 erstatter 27002:2013-9.2.3 (Styring af privilegerede adgangsrettigheder).

27002:2022-8.2 indeholder 5 vigtige vejledningspunkter, der ikke er eksplicitte i 2013-modstykket:

• 27002:2022-8.2 kræver ikke eksplicit et andet bruger-id for privilegerede adgangsrettigheder.
• 27002:2022-8.2 understreger behovet for at autentificere igen, før du modtager privilegerede adgangsrettigheder.
• 27002:2022-8.2 går ind for en glasbrudstilgang, når man udfører kritiske vedligeholdelsesopgaver, baseret på stramt kontrollerede tidsvinduer.
• 27002:2022-8.2 beder organisationer om at føre grundige privilegerede adgangslogfiler, til revisionsformål.
• 27002:2022-8.2 beder organisationer om at begrænse brugen af ​​privilegerede adgangsrettigheder til administrative opgaver.

Nye ISO 27002 kontroller

Hvordan ISMS.online hjælper

ISO 27002, kontrol 6.6, dækker organisationers behov for at forhindre lækage af fortrolige oplysninger ved at etablere fortrolighedsaftaler med interesserede parter og personale.

Vores cloud-baserede platform giver et komplet sæt værktøjer til at hjælpe organisationer med at opsætte en informationssikkerhedsstyringssystem (ISMS) iflg ISO 27002.

Disse værktøjer inkluderer:

• Et bibliotek med skabeloner til almindelige virksomhedsdokumenter.
• Et sæt foruddefinerede politikker og procedurer.
• Et revisionsværktøj til at understøtte interne revisioner.
• En konfigurationsgrænseflade til tilpasning ISMS-politikker og procedurer.
• En godkendelsesworkflow for alle ændringer foretaget i politikker og procedurer.
• En tjekliste til at sikre, at dine politikker og informationssikkerhedsprocesser følger de godkendte internationale standarder.

ISMS.Online giver også brugere mulighed for at:

• Administrer alle aspekter af ISMS livscyklus med lethed.
• Få indsigt i realtid i deres sikkerhedsposition og manglende overholdelse.
• Integrer med andre systemer som HR, økonomi og projektledelse.
• Demonstrere overholdelse af deres ISMS med ISO 27001 standarder.

ISMS.Online-værktøjet giver også vejledning i, hvordan du bedst implementerer dit ISMS ved at give tips om, hvordan du opretter politikker og procedurer relateret til aspekter som risikostyring, træning i personalesikkerhedsbevidsthed og planlægning af hændelser.