Formål med kontrol 8.5
Sikker autentificering er den primære metode, som menneskelige og ikke-menneskelige brugere benytter sig af, når de forsøger at udnytte en organisations ikt-aktiver.
I løbet af det sidste årti har autentificeringsteknologien gennemgået et grundlæggende skift fra traditionelle brugernavn/adgangskodebaserede valideringer til en forskellige komplementerende teknikker involverer biometrisk information, logisk og fysisk adgangskontrol, ekstern enhedsgodkendelse, SMS-koder og engangsadgangskoder (OTP).
27002:2022-8.5 sætter alt dette i sammenhæng og rådgiver organisationer om præcis, hvordan de skal være kontrollere adgangen til deres ikt-systemer og aktiver via en sikker login-gateway.
Kontrol 8.5 er en forebyggende kontrol at fastholder risiko ved at implementere teknologi og etablere emnespecifikke sikre autentificeringsprocedurer, der sikrer, at menneskelige og ikke-menneskelige brugere og identiteter gennemgår en robust og sikker autentificeringsprocedure, når de forsøger at få adgang til IKT-ressourcer.
Attributter Kontroltabel 8.5
| Kontrol type | Informationssikkerhedsegenskaber | Cybersikkerhedskoncepter | Operationelle evner | Sikkerhedsdomæner |
|---|---|---|---|---|
| #Forebyggende | #Fortrolighed | #Beskytte | #Identitets- og adgangsstyring | #Beskyttelse |
| #Integritet | ||||
| #Tilgængelighed |
Ejerskab af kontrol 8.5
Kontrol 8.5 omhandler en organisations evne til at kontrollere adgangen til sit netværk (og de oplysninger og data, der er indeholdt i) ved kritiske knudepunkter, såsom en login-gateway.
Mens kontrollen beskæftiger sig med informations- og datasikkerhed som et bredere begreb, er den operationelle vejledning primært af teknisk karakter.
Som sådan bør ejerskabet ligge hos IT-chefen (eller tilsvarende organisatorisk), som har ansvar for organisationens daglige it-administrative funktioner.
ISO 27001 gjort nemt
Et forspring på 81% fra dag ét
Vi har gjort det hårde arbejde for dig, hvilket giver dig en 81% forspring fra det øjeblik, du logger på. Alt du skal gøre er at udfylde de tomme felter.
Generel vejledning om kontrol 8.5
Kontrol 8.5 beder organisationer om at overveje godkendelseskontroller, der er relevante for typen og følsomheden af de data og netværk, der tilgås, herunder:
- Multifaktorautentificering (MFA)
- Digitale certifikater
- Smart adgangskontrol (smartkort)
- Biometriske logins
- Sikre tokens
Det overordnede mål for en organisations sikre autentificeringskontroller bør være at forhindre og/eller minimere risikoen for uautoriseret adgang til sine beskyttede systemer.
For at opnå dette skitserer Kontrol 8.5 12 hovedvejledningspunkter. Organisationer bør:
- Begræns visningen af information indtil efter et vellykket godkendelsesforsøg.
- Vis en advarsel før-logon, som tydeligt angiver, at oplysninger kun bør tilgås af autoriserede brugere.
- Minimer den assistance, det giver til uautoriserede brugere, der forsøger at få adgang til systemet, f.eks. bør organisationer ikke oplyse, hvilken specifik del af et loginforsøg, der er forkert, såsom et biometrisk aspekt af et MFA-login, og i stedet blot angive, at loginforsøget er mislykket .
- Valider kun loginforsøget, når alle nødvendige oplysninger er givet til login-tjenesten, for at opretholde sikkerheden.
- Implementer branchestandard sikkerhedsforanstaltninger, der beskytter mod almindelig adgang og/eller brute force-angreb på login-portaler. Disse foranstaltninger kan omfatte:
- CAPTCHA kontroller
- Tvinger en nulstilling af adgangskode efter et bestemt antal mislykkede loginforsøg
- Forhindrer yderligere loginforsøg efter et foruddefineret antal mislykkede forsøg
- Registrerer alle mislykkede loginforsøg for revision og sikkerhedsformål, herunder deres anvendelse i straffesager og/eller reguleringssager.
- At starte en sikkerhedshændelse hver gang der opdages en større login-uoverensstemmelse, såsom en opfattet indtrængen. I disse tilfælde skal alt relevant internt personale underrettes, især dem med systemadministratoradgang eller enhver evne til at bekæmpe ondsindede loginforsøg.
- Efter validering af et login skal du videresende visse oplysninger til en separat datakilde, der viser:
- Datoen og klokkeslættet for det tidligere succesfulde logon
- En liste over alle loginforsøg siden sidste validerede logon
- Vis adgangskoder som stjerne (eller lignende abstrakte symboler), hvor der ikke er et presserende behov for ikke at gøre det (f.eks. brugertilgængelighed).
- Forbyd strengt deling af eller visning af adgangskoder som klar, læselig tekst.
- Oprethold en politik med at afslutte sovende login-sessioner efter en bestemt periode. Dette er især relevant for sessioner, der er aktive på højrisikosteder (fjernarbejdsmiljøer) eller på brugerleverede aktiver såsom personlige bærbare computere eller mobiltelefoner.
- Begrænsning af den tid, som en godkendt session kan forblive åben – selv når den er aktiv – i forhold til de oplysninger, der tilgås (f.eks. forretningskritiske oplysninger eller økonomisk følsomme applikationer).
Vejledning – Biometriske logins
ISO anbefaler, at på grund af en række faktorer relateret til effektiviteten og integriteten af biometriske login-processer i forhold til traditionelle mål (adgangskoder, MFA, tokens osv.), biometriske autentificeringsmetoder bør ikke bruges isoleret, og ledsaget af mindst én anden login-teknik.
Administrer al din compliance, alt på ét sted
ISMS.online understøtter over 100 standarder og regler, hvilket giver dig en enkelt platform til alle dine overholdelsesbehov.
Ændringer og forskelle fra ISO 27002:2013
27002:2022-8.5 erstatter 27002:2014-9.4.2 (Sikker log-on-procedurer).
27002:2022-8.5 indeholder samme 12 vejledningspunkter som 2013-modstykket, med mindre justeringer af ordlyden og følger det samme sæt af underliggende sikkerhedsprincipper.
I tråd med stigningen i MFA og biometriske login-teknologier i løbet af det sidste årti, indeholder 27002:2022-8.5 eksplicit vejledning om brugen af begge teknikker, som organisationer bør overveje, når de formulerer deres eget sæt af login-kontroller.
Nye ISO 27002 kontroller
| ISO/IEC 27002:2022 kontrolidentifikator | ISO/IEC 27002:2013 kontrolidentifikator | Kontrolnavn |
|---|---|---|
| 5.7 | NY | Trusselsintelligens |
| 5.23 | NY | Informationssikkerhed til brug af cloud-tjenester |
| 5.30 | NY | IKT-parathed til forretningskontinuitet |
| 7.4 | NY | Fysisk sikkerhedsovervågning |
| 8.9 | NY | Konfigurationsstyring |
| 8.10 | NY | Sletning af oplysninger |
| 8.11 | NY | Datamaskering |
| 8.12 | NY | Forebyggelse af datalækage |
| 8.16 | NY | Overvågning af aktiviteter |
| 8.23 | NY | Webfiltrering |
| 8.28 | NY | Sikker kodning |
| ISO/IEC 27002:2022 kontrolidentifikator | ISO/IEC 27002:2013 kontrolidentifikator | Kontrolnavn |
|---|---|---|
| 6.1 | 07.1.1 | Screening |
| 6.2 | 07.1.2 | Vilkår og betingelser for ansættelse |
| 6.3 | 07.2.2 | Informationssikkerhedsbevidsthed, uddannelse og træning |
| 6.4 | 07.2.3 | Disciplinær proces |
| 6.5 | 07.3.1 | Ansvar efter opsigelse eller ændring af ansættelsesforhold |
| 6.6 | 13.2.4 | Aftaler om fortrolighed eller tavshedspligt |
| 6.7 | 06.2.2 | Fjernbetjening |
| 6.8 | 16.1.2, 16.1.3 | Informationssikkerhedshændelsesrapportering |
| ISO/IEC 27002:2022 kontrolidentifikator | ISO/IEC 27002:2013 kontrolidentifikator | Kontrolnavn |
|---|---|---|
| 7.1 | 11.1.1 | Fysiske sikkerhedsomkredse |
| 7.2 | 11.1.2, 11.1.6 | Fysisk adgang |
| 7.3 | 11.1.3 | Sikring af kontorer, lokaler og faciliteter |
| 7.4 | NY | Fysisk sikkerhedsovervågning |
| 7.5 | 11.1.4 | Beskyttelse mod fysiske og miljømæssige trusler |
| 7.6 | 11.1.5 | Arbejde i sikre områder |
| 7.7 | 11.2.9 | Overskueligt skrivebord og klar skærm |
| 7.8 | 11.2.1 | Udstyrsplacering og beskyttelse |
| 7.9 | 11.2.6 | Sikkerhed af aktiver uden for lokalerne |
| 7.10 | 08.3.1, 08.3.2, 08.3.3, 11.2.5 | Lagermedier |
| 7.11 | 11.2.2 | Understøttende hjælpeprogrammer |
| 7.12 | 11.2.3 | Kabler sikkerhed |
| 7.13 | 11.2.4 | Vedligeholdelse af udstyr |
| 7.14 | 11.2.7 | Sikker bortskaffelse eller genbrug af udstyr |
Hvordan ISMS.online hjælper
Vores cloud-baserede platform giver dig en robust ramme af informationssikkerhedskontroller, så du kan tjekliste din ISMS-proces som du går for at sikre, at den opfylder kravene til ISO 27000k. Brugt korrekt, ISMS. online kan hjælpe dig med opnå certificering med et minimum af tid og ressourcer.
Kontakt i dag for book en demo.
