ISO 27002:2022 – Kontrol 8.3 – Begrænsning af informationsadgang

Formål med kontrol 8.3

Adgang til information fra interne og eksterne kilder er hjørnestenen i en organisationens informationssikkerhedspolitik.

Kontrol 8.3 er en forebyggende kontrol at fastholder risiko ved at etablere en række regler og procedurer, der forhindrer uautoriseret adgang/misbrug af en organisations information og IKT-aktiver.

Attributter Kontroltabel 8.3

Ejerskab af kontrol 8.3

Kontrol 8.3 omhandler en organisations evne til at kontrollere adgangen til information.

Som sådan, ejerskabet bør ligge hos Chief Information Security Officer (eller tilsvarende organisatorisk), som har ansvaret for organisationens overordnede informations- og datasikkerhedspraksis.

Generel vejledning om kontrol 8.3

For at opretholde effektiv kontrol over information og ikt-aktiver, og til støtte for adgangsbegrænsende foranstaltninger bør organisationer sikre følgende i overensstemmelse med a emnespecifik tilgang til informationsadgang:

1. Forhindre anonym adgang til information, herunder vidtrækkende offentlig adgang.
• Hvor offentlig adgang eller tredjepartsadgang gives, bør organisationer sikre, at adgangen ikke omfatter følsomme eller forretningskritiske data.
2. Arbejd med passende vedligeholdelsesforanstaltninger, der kontrollerer systemadgang og eventuelle tilknyttede forretningsapplikationer eller processer.
3. Dikter dataadgang på en bruger-for-bruger basis.
4. Angiv dataadgangsrettigheder mellem grupper, der validerer specifikke datahandlinger, såsom læse, skrive, slette og udføre.
5. Bevar muligheden for at partitionere forretningskritiske processer og applikationer ved hjælp af en række fysiske og digitale adgangskontroller.

Vejledning – Dynamisk adgangsstyring

Kontrol 8.3 går ind for en dynamisk tilgang til informationsadgang.

Dynamisk adgangsstyring har adskillige resterende fordele for organisatoriske processer, der har behovet for at dele eller bruge interne data med eksterne brugere, herunder hurtigere hændelsesløsningstider.

Dynamisk adgang ledelsesteknikker beskytter en bred vifte af information typer, fra standarddokumenter til e-mails og databaseoplysninger, og har mulighed for at blive anvendt på en detaljeret fil-for-fil-basis, hvilket muliggør stram kontrol af data på et organisatorisk niveau.

Organisationer bør overveje en sådan tilgang, når:

1. Kræver granulær kontrol over, hvad menneskelige og ikke-menneskelige brugere er i stand til at få adgang til sådanne oplysninger på ethvert givet tidspunkt.
2. Der opstår behov for at dele information med eksterne parter (såsom leverandører eller reguleringsorganer).
3. Overvejer en "real-time" tilgang til datastyring og distribution, der involverer overvågning og styring af databrug, efterhånden som den opstår.
4. Sikring af information mod uautoriserede ændringer, deling eller output (udskrivning osv.).
5. Overvågning af adgang til og ændring af oplysninger, især når de pågældende oplysninger er af følsom karakter.

Dynamisk adgangsstyring er særlig nyttig for organisationer, der har behov for at overvåge og beskytte data fra oprettelse til sletning, herunder:

1. Skitser en use case (eller serie af use cases), der anvender dataadgangsregler baseret på følgende variabler:
• Identity
• Enhed
• Lokation
• Anvendelse
2. Skitserer en proces, der dækker over drift og overvågning af data, og etablering af en grundig rapporteringsproces, som igen er informeret af en forsvarlig teknisk infrastruktur.

Alle bestræbelser på at formulere en dynamisk tilgangsstyringstilgang bør resultere i data bliver beskyttet ved:

1. Sikring af, at adgang til data er slutresultatet af en vellykket godkendelsesproces.
2. En grad af begrænset adgang, baseret på datatypen og dens evnepåvirkning business kontinuitet.
3. Kryptering.
4. Udskrivningstilladelser.
5. Grundig revisionslogs der registrerer, hvem der har adgang til data, og hvordan disse data bliver brugt.
6. En advarselsprocedure, der markerer upassende databrug, herunder (men ikke begrænset til) uautoriseret adgang og distribution og forsøg på sletning.

Ændringer og forskelle fra ISO 27002:2013

27002:2022-8.3 replaces 27002:2013-9.4.1 (Informationsadgangsbegrænsning), og repræsenterer et stort skift i, hvordan ISO betragter informationsadgangsstyring i overensstemmelse med den førnævnte dynamiske tilgang (en teknik, der ikke er nævnt i 27002:2013-9.4.1)

27002:2022-8.3 indeholder en stor mængde vejledningsnotater vedrørende dynamisk adgangsstyring, som er fraværende i dens modstykke fra 2013, og organisationer rådes til at overveje disse emne for emne, når de søger certificering.

Nye ISO 27002 kontroller

Hvordan ISMS.online hjælper

ISMS.Online er den førende ISO 27002-styringssystemsoftware, der understøtter overensstemmelse med ISO 27002, og hjælper virksomheder med at tilpasse deres sikkerhedspolitikker og -procedurer til standarden.

Den cloud-baserede platform giver et komplet sæt værktøjer til at hjælpe organisationer med at opsætte en informationssikkerhedsstyringssystem (ISMS) i henhold til ISO 27002.

Vores platform er designet fra bunden med hjælp fra informationssikkerhedseksperter fra hele verden, og vi har udviklet det på en måde, der gør det nemt for folk uden teknisk viden om informationssikkerhedsstyringssystemer (ISMS) at bruge det.

Kontakt i dag for book en demo.