ISO 27002:2022 – Kontrol 8.5 – Sikker godkendelse

Formål med kontrol 8.5

Sikker autentificering er den primære metode, som menneskelige og ikke-menneskelige brugere benytter sig af, når de forsøger at udnytte en organisations ikt-aktiver.

I løbet af det sidste årti har autentificeringsteknologien gennemgået et grundlæggende skift fra traditionelle brugernavn/adgangskodebaserede valideringer til en forskellige komplementerende teknikker involverer biometrisk information, logisk og fysisk adgangskontrol, ekstern enhedsgodkendelse, SMS-koder og engangsadgangskoder (OTP).

27002:2022-8.5 sætter alt dette i sammenhæng og rådgiver organisationer om præcis, hvordan de skal være kontrollere adgangen til deres ikt-systemer og aktiver via en sikker login-gateway.

Kontrol 8.5 er en forebyggende kontrol at fastholder risiko ved at implementere teknologi og etablere emnespecifikke sikre autentificeringsprocedurer, der sikrer, at menneskelige og ikke-menneskelige brugere og identiteter gennemgår en robust og sikker autentificeringsprocedure, når de forsøger at få adgang til IKT-ressourcer.

Attributter Kontroltabel 8.5

Ejerskab af kontrol 8.5

Kontrol 8.5 omhandler en organisations evne til at kontrollere adgangen til sit netværk (og de oplysninger og data, der er indeholdt i) ved kritiske knudepunkter, såsom en login-gateway.

Mens kontrollen beskæftiger sig med informations- og datasikkerhed som et bredere begreb, er den operationelle vejledning primært af teknisk karakter.

Som sådan bør ejerskabet ligge hos IT-chefen (eller tilsvarende organisatorisk), som har ansvar for organisationens daglige it-administrative funktioner.

Generel vejledning om kontrol 8.5

Kontrol 8.5 beder organisationer om at overveje godkendelseskontroller, der er relevante for typen og følsomheden af ​​de data og netværk, der tilgås, herunder:

• Multifaktorautentificering (MFA)
• Digitale certifikater
• Smart adgangskontrol (smartkort)
• Biometriske logins
• Sikre tokens

Det overordnede mål for en organisations sikre autentificeringskontroller bør være at forhindre og/eller minimere risikoen for uautoriseret adgang til sine beskyttede systemer.

For at opnå dette skitserer Kontrol 8.5 12 hovedvejledningspunkter. Organisationer bør:

1. Begræns visningen af ​​information indtil efter et vellykket godkendelsesforsøg.
2. Vis en advarsel før-logon, som tydeligt angiver, at oplysninger kun bør tilgås af autoriserede brugere.
3. Minimer den assistance, det giver til uautoriserede brugere, der forsøger at få adgang til systemet, f.eks. bør organisationer ikke oplyse, hvilken specifik del af et loginforsøg, der er forkert, såsom et biometrisk aspekt af et MFA-login, og i stedet blot angive, at loginforsøget er mislykket .
4. Valider kun loginforsøget, når alle nødvendige oplysninger er givet til login-tjenesten, for at opretholde sikkerheden.
5. Implementer branchestandard sikkerhedsforanstaltninger, der beskytter mod almindelig adgang og/eller brute force-angreb på login-portaler. Disse foranstaltninger kan omfatte:
• CAPTCHA kontroller
• Tvinger en nulstilling af adgangskode efter et bestemt antal mislykkede loginforsøg
• Forhindrer yderligere loginforsøg efter et foruddefineret antal mislykkede forsøg
6. Registrerer alle mislykkede loginforsøg for revision og sikkerhedsformål, herunder deres anvendelse i straffesager og/eller reguleringssager.
7. At starte en sikkerhedshændelse hver gang der opdages en større login-uoverensstemmelse, såsom en opfattet indtrængen. I disse tilfælde skal alt relevant internt personale underrettes, især dem med systemadministratoradgang eller enhver evne til at bekæmpe ondsindede loginforsøg.
8. Efter validering af et login skal du videresende visse oplysninger til en separat datakilde, der viser:
• Datoen og klokkeslættet for det tidligere succesfulde logon
• En liste over alle loginforsøg siden sidste validerede logon
9. Vis adgangskoder som stjerne (eller lignende abstrakte symboler), hvor der ikke er et presserende behov for ikke at gøre det (f.eks. brugertilgængelighed).
10. Forbyd strengt deling af eller visning af adgangskoder som klar, læselig tekst.
11. Oprethold en politik med at afslutte sovende login-sessioner efter en bestemt periode. Dette er især relevant for sessioner, der er aktive på højrisikosteder (fjernarbejdsmiljøer) eller på brugerleverede aktiver såsom personlige bærbare computere eller mobiltelefoner.
12. Begrænsning af den tid, som en godkendt session kan forblive åben – selv når den er aktiv – i forhold til de oplysninger, der tilgås (f.eks. forretningskritiske oplysninger eller økonomisk følsomme applikationer).

Vejledning – Biometriske logins

ISO anbefaler, at på grund af en række faktorer relateret til effektiviteten og integriteten af ​​biometriske login-processer i forhold til traditionelle mål (adgangskoder, MFA, tokens osv.), biometriske autentificeringsmetoder bør ikke bruges isoleret, og ledsaget af mindst én anden login-teknik.

Ændringer og forskelle fra ISO 27002:2013

27002:2022-8.5 erstatter 27002:2014-9.4.2 (Sikker log-on-procedurer).

27002:2022-8.5 indeholder samme 12 vejledningspunkter som 2013-modstykket, med mindre justeringer af ordlyden og følger det samme sæt af underliggende sikkerhedsprincipper.

I tråd med stigningen i MFA og biometriske login-teknologier i løbet af det sidste årti, indeholder 27002:2022-8.5 eksplicit vejledning om brugen af ​​begge teknikker, som organisationer bør overveje, når de formulerer deres eget sæt af login-kontroller.

Nye ISO 27002 kontroller

Hvordan ISMS.online hjælper

Vores cloud-baserede platform giver dig en robust ramme af informationssikkerhedskontroller, så du kan tjekliste din ISMS-proces som du går for at sikre, at den opfylder kravene til ISO 27000k. Brugt korrekt, ISMS. online kan hjælpe dig med opnå certificering med et minimum af tid og ressourcer.

Kontakt i dag for book en demo.