Formål med kontrol 8.3
Adgang til information fra interne og eksterne kilder er hjørnestenen i en organisationens informationssikkerhedspolitik.
Kontrol 8.3 er en forebyggende kontrol at fastholder risiko ved at etablere en række regler og procedurer, der forhindrer uautoriseret adgang/misbrug af en organisations information og IKT-aktiver.
Attributter Kontroltabel 8.3
| Kontrol type | Informationssikkerhedsegenskaber | Cybersikkerhedskoncepter | Operationelle evner | Sikkerhedsdomæner |
|---|---|---|---|---|
| #Forebyggende | #Fortrolighed | #Beskytte | #Identitets- og adgangsstyring | #Beskyttelse |
| #Integritet | ||||
| #Tilgængelighed |
Ejerskab af kontrol 8.3
Kontrol 8.3 omhandler en organisations evne til at kontrollere adgangen til information.
Som sådan, ejerskabet bør ligge hos Chief Information Security Officer (eller tilsvarende organisatorisk), som har ansvaret for organisationens overordnede informations- og datasikkerhedspraksis.
ISO 27001 gjort nemt
Et forspring på 81% fra dag ét
Vi har gjort det hårde arbejde for dig, hvilket giver dig en 81% forspring fra det øjeblik, du logger på. Alt du skal gøre er at udfylde de tomme felter.
Generel vejledning om kontrol 8.3
For at opretholde effektiv kontrol over information og ikt-aktiver, og til støtte for adgangsbegrænsende foranstaltninger bør organisationer sikre følgende i overensstemmelse med a emnespecifik tilgang til informationsadgang:
- Forhindre anonym adgang til information, herunder vidtrækkende offentlig adgang.
- Hvor offentlig adgang eller tredjepartsadgang gives, bør organisationer sikre, at adgangen ikke omfatter følsomme eller forretningskritiske data.
- Arbejd med passende vedligeholdelsesforanstaltninger, der kontrollerer systemadgang og eventuelle tilknyttede forretningsapplikationer eller processer.
- Dikter dataadgang på en bruger-for-bruger basis.
- Angiv dataadgangsrettigheder mellem grupper, der validerer specifikke datahandlinger, såsom læse, skrive, slette og udføre.
- Bevar muligheden for at partitionere forretningskritiske processer og applikationer ved hjælp af en række fysiske og digitale adgangskontroller.
Vejledning – Dynamisk adgangsstyring
Kontrol 8.3 går ind for en dynamisk tilgang til informationsadgang.
Dynamisk adgangsstyring har adskillige resterende fordele for organisatoriske processer, der har behovet for at dele eller bruge interne data med eksterne brugere, herunder hurtigere hændelsesløsningstider.
Dynamisk adgang ledelsesteknikker beskytter en bred vifte af information typer, fra standarddokumenter til e-mails og databaseoplysninger, og har mulighed for at blive anvendt på en detaljeret fil-for-fil-basis, hvilket muliggør stram kontrol af data på et organisatorisk niveau.
Organisationer bør overveje en sådan tilgang, når:
- Kræver granulær kontrol over, hvad menneskelige og ikke-menneskelige brugere er i stand til at få adgang til sådanne oplysninger på ethvert givet tidspunkt.
- Der opstår behov for at dele information med eksterne parter (såsom leverandører eller reguleringsorganer).
- Overvejer en "real-time" tilgang til datastyring og distribution, der involverer overvågning og styring af databrug, efterhånden som den opstår.
- Sikring af information mod uautoriserede ændringer, deling eller output (udskrivning osv.).
- Overvågning af adgang til og ændring af oplysninger, især når de pågældende oplysninger er af følsom karakter.
Dynamisk adgangsstyring er særlig nyttig for organisationer, der har behov for at overvåge og beskytte data fra oprettelse til sletning, herunder:
- Skitser en use case (eller serie af use cases), der anvender dataadgangsregler baseret på følgende variabler:
- Identity
- Enhed
- Lokation
- Anvendelse
- Skitserer en proces, der dækker over drift og overvågning af data, og etablering af en grundig rapporteringsproces, som igen er informeret af en forsvarlig teknisk infrastruktur.
Alle bestræbelser på at formulere en dynamisk tilgangsstyringstilgang bør resultere i data bliver beskyttet ved:
- Sikring af, at adgang til data er slutresultatet af en vellykket godkendelsesproces.
- En grad af begrænset adgang, baseret på datatypen og dens evnepåvirkning business kontinuitet.
- Kryptering.
- Udskrivningstilladelser.
- Grundig revisionslogs der registrerer, hvem der har adgang til data, og hvordan disse data bliver brugt.
- En advarselsprocedure, der markerer upassende databrug, herunder (men ikke begrænset til) uautoriseret adgang og distribution og forsøg på sletning.
Administrer al din compliance, alt på ét sted
ISMS.online understøtter over 100 standarder og regler, hvilket giver dig en enkelt platform til alle dine overholdelsesbehov.
Ændringer og forskelle fra ISO 27002:2013
27002:2022-8.3 replaces 27002:2013-9.4.1 (Informationsadgangsbegrænsning), og repræsenterer et stort skift i, hvordan ISO betragter informationsadgangsstyring i overensstemmelse med den førnævnte dynamiske tilgang (en teknik, der ikke er nævnt i 27002:2013-9.4.1)
27002:2022-8.3 indeholder en stor mængde vejledningsnotater vedrørende dynamisk adgangsstyring, som er fraværende i dens modstykke fra 2013, og organisationer rådes til at overveje disse emne for emne, når de søger certificering.
Nye ISO 27002 kontroller
| ISO/IEC 27002:2022 kontrolidentifikator | ISO/IEC 27002:2013 kontrolidentifikator | Kontrolnavn |
|---|---|---|
| 5.7 | NY | Trusselsintelligens |
| 5.23 | NY | Informationssikkerhed til brug af cloud-tjenester |
| 5.30 | NY | IKT-parathed til forretningskontinuitet |
| 7.4 | NY | Fysisk sikkerhedsovervågning |
| 8.9 | NY | Konfigurationsstyring |
| 8.10 | NY | Sletning af oplysninger |
| 8.11 | NY | Datamaskering |
| 8.12 | NY | Forebyggelse af datalækage |
| 8.16 | NY | Overvågning af aktiviteter |
| 8.23 | NY | Webfiltrering |
| 8.28 | NY | Sikker kodning |
| ISO/IEC 27002:2022 kontrolidentifikator | ISO/IEC 27002:2013 kontrolidentifikator | Kontrolnavn |
|---|---|---|
| 6.1 | 07.1.1 | Screening |
| 6.2 | 07.1.2 | Vilkår og betingelser for ansættelse |
| 6.3 | 07.2.2 | Informationssikkerhedsbevidsthed, uddannelse og træning |
| 6.4 | 07.2.3 | Disciplinær proces |
| 6.5 | 07.3.1 | Ansvar efter opsigelse eller ændring af ansættelsesforhold |
| 6.6 | 13.2.4 | Aftaler om fortrolighed eller tavshedspligt |
| 6.7 | 06.2.2 | Fjernbetjening |
| 6.8 | 16.1.2, 16.1.3 | Informationssikkerhedshændelsesrapportering |
| ISO/IEC 27002:2022 kontrolidentifikator | ISO/IEC 27002:2013 kontrolidentifikator | Kontrolnavn |
|---|---|---|
| 7.1 | 11.1.1 | Fysiske sikkerhedsomkredse |
| 7.2 | 11.1.2, 11.1.6 | Fysisk adgang |
| 7.3 | 11.1.3 | Sikring af kontorer, lokaler og faciliteter |
| 7.4 | NY | Fysisk sikkerhedsovervågning |
| 7.5 | 11.1.4 | Beskyttelse mod fysiske og miljømæssige trusler |
| 7.6 | 11.1.5 | Arbejde i sikre områder |
| 7.7 | 11.2.9 | Overskueligt skrivebord og klar skærm |
| 7.8 | 11.2.1 | Udstyrsplacering og beskyttelse |
| 7.9 | 11.2.6 | Sikkerhed af aktiver uden for lokalerne |
| 7.10 | 08.3.1, 08.3.2, 08.3.3, 11.2.5 | Lagermedier |
| 7.11 | 11.2.2 | Understøttende hjælpeprogrammer |
| 7.12 | 11.2.3 | Kabler sikkerhed |
| 7.13 | 11.2.4 | Vedligeholdelse af udstyr |
| 7.14 | 11.2.7 | Sikker bortskaffelse eller genbrug af udstyr |
Hvordan ISMS.online hjælper
ISMS.Online er den førende ISO 27002-styringssystemsoftware, der understøtter overensstemmelse med ISO 27002, og hjælper virksomheder med at tilpasse deres sikkerhedspolitikker og -procedurer til standarden.
Den cloud-baserede platform giver et komplet sæt værktøjer til at hjælpe organisationer med at opsætte en informationssikkerhedsstyringssystem (ISMS) i henhold til ISO 27002.
Vores platform er designet fra bunden med hjælp fra informationssikkerhedseksperter fra hele verden, og vi har udviklet det på en måde, der gør det nemt for folk uden teknisk viden om informationssikkerhedsstyringssystemer (ISMS) at bruge det.
Kontakt i dag for book en demo.
