ISO 27001:2022 Vedlegg A Kontroll 5.16

Generell veiledning for ISO 27001:2022 vedlegg A 5.16

Overholdelse av vedlegg A 5.16 oppnås ved å uttrykke identitetsbaserte prosedyrer tydelig i policydokumenter og overvåke personalets etterlevelse på daglig basis.

Seks prosedyrer er oppført i vedlegg A 5.16, for å sikre at en organisasjon oppfyller de nødvendige standardene for infosec og cybersikkerhetsstyring:

1. Hver gang en identitet tildeles en person, er denne personen den eneste som kan autentisere med den identiteten og/eller bruke den når den får tilgang til nettverksressurser.

Oppnåelse av samsvar betyr at IT-retningslinjer må fastsette klart at brukere ikke skal dele påloggingsinformasjon, eller tillate andre brukere å streife rundt i nettverket ved å bruke en annen identitet enn den de har fått.

2. I noen tilfeller kan det være nødvendig å tildele én enkelt identitet til flere personer, også kjent som en «delt identitet». Bruk kun denne tilnærmingen når et eksplisitt sett med operasjonelle krav er nødvendig.

For å oppnå samsvar bør registrering av delte identiteter håndteres separat fra enkeltbrukerregistrering, med en dedikert godkjenningsprosess.

3. 'Ikke-menneskelige' enheter (enhver identitet som ikke er knyttet til en ekte person) bør behandles annerledes enn brukerbaserte identiteter ved registrering.

En ikke-menneskelig identitet bør også ha sin egen godkjennings- og registreringsprosess, som erkjenner den grunnleggende forskjellen mellom å tildele en identitet til en person og å gi en til en eiendel, applikasjon eller enhet.

4. I tilfelle avgang, overflødige eiendeler eller andre ikke-påkrevde identiteter, bør en nettverksadministrator deaktivere dem eller fjerne dem fullstendig.

IT-avdelingen bør gjennomføre regelmessige revisjoner for å fastslå hvilke identiteter som brukes, og hvilke enheter som kan suspenderes eller slettes. Det er viktig for HR-ansatte å inkludere identitetshåndtering i offboardingsprosedyrer, og å informere IT-ansatte umiddelbart når en forlater forlater.

5. Det er viktig å unngå dupliserte identiteter for enhver pris. En «én enhet, én identitet»-regel bør følges av alle organisasjoner.

For å overholde dette bør IT-personalet sørge for at enheter ikke mottar tilgangsrettigheter basert på mer enn én identitet når de tildeler roller på tvers av et nettverk.

6. Identitetshåndtering og autentiseringsinformasjon bør dokumenteres tilstrekkelig for alle 'betydelige hendelser.

Det er mulig å tolke begrepet "betydelig hendelse" annerledes, men på et grunnleggende nivå må organisasjoner sørge for at deres styringsprosedyrer inkluderer en omfattende liste over tildelte identiteter til enhver tid, robuste endringsforespørselsprotokoller med passende godkjenningsprosedyrer, og en godkjent endringsforespørselsprotokoll.

Ytterligere tilleggsveiledning for vedlegg A 5.16

Når du oppretter en identitet og gir den tilgang til nettverksressurser, viser vedlegg A 5.16 også fire trinn som bedrifter må følge (endre eller fjerne tilgangsrettigheter vises i ISO 27001:2022 vedlegg A 5.18):

1. Før du oppretter en identitet, etablere en business case.

Hver gang en identitet skapes, blir identitetshåndtering eksponentielt mer utfordrende. Det er tilrådelig for organisasjoner å opprette nye identiteter bare når det er helt klart nødvendig.

2. Sørg for at enheten (menneskelig eller ikke-menneske) som er tildelt en identitet, har blitt bekreftet uavhengig.

Identitets- og tilgangsstyringsprosedyrer bør sikre at, når forretningssaken er godkjent, har en person eller eiendel som mottar nye identiteter den nødvendige autoriteten før en identitet opprettes.

3. Å skape en identitet

IT-personalet ditt bør bygge en identitet i tråd med business casen krav, og det bør begrenses til det som er skissert i eventuell endringsforespørselsdokumentasjon.

4. De endelige konfigurasjonstrinnene for en identitet

Som det siste trinnet i prosessen tildeles en identitet til hver av dens tilgangsbaserte tillatelser og roller (RBAC) samt eventuelle nødvendige autentiseringstjenester.

Hva er endringene fra ISO 27001:2013?

ISO 27001: 2022 Vedlegg A 5.16 erstatter ISO 27001:2013 A.9.2.1 (tidligere kjent som "Brukerregistrering og avregistrering").

Mens de to kontrollene deler noen slående likheter – først og fremst i vedlikeholdsprotokoller og deaktivering av redundante IDer – inneholder vedlegg A 5.16 et omfattende sett med retningslinjer som omhandler identitets- og tilgangsadministrasjon som helhet.

Vedlegg A 5.16 Menneskelige vs. ikke-menneskelige identiteter forklart

Det er noen forskjeller mellom 2022-vedlegget og dets forgjenger ved at til tross for forskjeller i registreringsprosesser, blir mennesker og ikke-mennesker ikke lenger behandlet separat når det gjelder generell nettverksadministrasjon.

Det har blitt mer vanlig i IT-styring og retningslinjer for beste praksis å snakke om menneskelige og ikke-menneskelige identiteter om hverandre siden fremkomsten av moderne Identity and Access Management og Windows-baserte RBAC-protokoller.

I vedlegg A 9.2.1 til ISO 27001:2013 er det ingen veiledning om hvordan man administrerer ikke-menneskelige identiteter, og teksten handler kun om å administrere det den kaller "bruker-IDer" (dvs. påloggingsinformasjon sammen med et passord som brukes for å få tilgang til et nettverk).

ISO 27001:2022 Vedlegg A 5.16 Dokumentasjon

Vedlegg A 5.16 gir eksplisitt veiledning om både de generelle sikkerhetsimplikasjonene av identitetsstyring, og hvordan organisasjoner bør registrere og behandle informasjon før tildeling av identiteter, så vel som gjennom hele livssyklusen til identiteten.

Til sammenligning nevner ISO 27001:2013 A.9.2.1 bare kort IT-styringsrollen som omgir administrasjonen av identiteter, og begrenser seg til den fysiske praksisen med identitetsadministrasjon.

Tabell over alle ISO 27001:2022 vedlegg A kontroller

I tabellen nedenfor finner du mer informasjon om hver enkelt ISO 27001:2022 vedlegg A Kontroll.

Hvordan ISMS.online hjelper deg med å oppnå samsvar A 5.16

Så lenge du oppdaterer sikkerhetsstyringssystemets prosesser for å gjenspeile de forbedrede kontrollene, vil du være i samsvar med ISO 27001:2022. Dette kan ISMS.online håndtere dersom du ikke har de nødvendige ressursene i hus.

Vi forenkler implementeringen av ISO 27001:2022 gjennom vår intuitive arbeidsflyt og verktøy, inkludert rammer, retningslinjer, kontroller, dokumentasjon og veiledning. Med vår skybaserte programvare kan du administrere alle dine ISMS-løsninger på en plass.

Vår plattform lar deg definere omfanget av din ISMS, identifisere risikoer og implementere kontroller enkelt.

For å lære mer om hvordan ISMS.online kan hjelpe deg med å nå dine ISO 27001-mål, vennligst ta kontakt i dag for å bestille en demo.