ISO 27001:2022 Vedlegg A Kontroll 5.17

Vedlegg A 5.17 Veiledning om tildeling av autentiseringsinformasjon

Organisasjoner bør overholde disse seks kravene for tildeling og administrasjon av autentiseringsinformasjon:

• Ved registrering av nye brukere må automatisk genererte personlige passord og personlige identifikasjonsnumre være umulig å gjette. I tillegg må hver bruker ha et unikt passord og det er obligatorisk å endre passord etter første gangs bruk.
• Organisasjoner bør ha solide prosesser for å sjekke en brukers identitet før de får ny eller erstattende autentiseringsinformasjon, eller forsynes med midlertidig informasjon.
• Organisasjoner bør garantere sikker overføring av autentiseringsdetaljer til enkeltpersoner via sikre veier, og må ikke sende slik informasjon over usikre elektroniske meldinger (f.eks. ren tekst).
• Brukere må sørge for at de har mottatt autentiseringsdetaljene.
• Organisasjoner bør handle raskt etter å ha installert nye IT-systemer og programvare, og endre standard autentiseringsdetaljene umiddelbart.
• Organisasjoner bør sette opp og vedvarende føre oversikt over alle viktige hendelser i forhold til administrasjon og tildeling av autentiseringsinformasjon. Disse journalene må holdes private og metoder for journalføring bør godkjennes, for eksempel ved bruk av et autorisert passordverktøy.

Vedlegg A 5.17 Veiledning om brukeransvar

Brukere med tilgang til autentiseringsinformasjon bør instrueres om å overholde følgende:

• Brukere må holde hemmelig autentiseringsinformasjon som passord konfidensiell og må ikke dele den med noen andre. Når flere brukere er involvert i bruken av autentiseringsinformasjon eller informasjonen er knyttet til ikke-personlige enheter, må de ikke avsløre den til uautoriserte personer.
• Brukere må bytte passord med en gang hvis hemmeligholdet til passordene deres har blitt brutt.
• Brukere bør velge sterke passord som er vanskelige å gjette i samsvar med industristandarder. For eksempel:
• Passord bør ikke være basert på personlig informasjon som lett kan skaffes, for eksempel navn eller fødselsdato.
• Passord bør ikke være basert på informasjon som lett kan gjettes.
• Passord må ikke bestå av ord eller sekvenser av ord som er vanlige.
• Bruk alfanumeriske tegn og spesialtegn i passordet ditt.
• Passord bør ha et minimumskrav til lengde.
• Brukere må ikke bruke samme passord for ulike tjenester.
• Organisasjoner bør la sine ansatte akseptere ansvaret for å opprette og bruke passord i sine arbeidskontrakter.

Vedlegg A 5.17 Veiledning om passordbehandlingssystemer

Organisasjoner bør observere følgende når de setter opp et passordbehandlingssystem:

• Brukere bør ha muligheten til å opprette og endre passordene sine, med en bekreftelsesprosedyre på plass for å oppdage og rette opp eventuelle feil ved inntasting av data.
• Organisasjoner bør følge bransjens beste praksis når de utvikler en robust prosess for valg av passord.
• Brukere må endre standard passord ved første gangs tilgang til et system.
• Det er viktig å endre passord når det passer. For eksempel, etter en sikkerhetshendelse eller når en ansatt slutter i jobben og hadde tilgang til passord, er det nødvendig å endre passord.
• Tidligere passord bør ikke resirkuleres.
• Bruk av passord som er allment kjent, eller som har blitt åpnet i et sikkerhetsbrudd, bør ikke tillates for tilgang til hackede systemer.
• Når passord legges inn, skal de vises på skjermen i klartekst.
• Passord må overføres og lagres gjennom sikre kanaler i et sikkert format.

Organisasjoner bør også implementere hashing- og krypteringsprosedyrer i tråd med de godkjente kryptografiske metodene for passord angitt i vedlegg A Kontroll 8.24 av ISO 27001:2022.

Supplerende veiledning om vedlegg A-kontroll 5.17

I tillegg til passord, andre former for autentisering, som kryptografiske nøkler, smartkort og biometriske data som fingeravtrykk.

Organisasjoner bør se til ISO/IEC 24760-serien for ytterligere råd om autentiseringsdata.

Med tanke på bryet og irritasjonen ved regelmessig endring av passord, kan organisasjoner vurdere alternativer som enkeltpålogging eller passordhvelv. Det skal imidlertid bemerkes at disse alternativene øker risikoen for at konfidensiell autentiseringsinformasjon blir utsatt for uautoriserte parter.

Endringer og forskjeller fra ISO 27001:2013

ISO 27001: 2022 Vedlegg A 5.17 er erstatningen for ISO 27001:2013 vedlegg A 9.2.4, 9.3.1 og 9.4.3.

ISO 27001:2022 inneholder et nytt krav for tildeling og administrasjon av autentiseringsinformasjon

I 2013 var kravene for tildeling og administrasjon av autentiseringsinformasjon svært like. Imidlertid, ISO 27001:2022 vedlegg A kontroll 5.17 innført et krav som ikke var til stede i 2013.

Organisasjoner må opprette og vedlikeholde poster for alle viktige hendelser knyttet til administrasjon og distribusjon av autentiseringsinformasjon. Disse postene bør holdes konfidensielle, med autoriserte journalføringsteknikker, for eksempel bruk av et akseptert passordverktøy.

2022-versjonen inneholder et tilleggskrav for bruk av autentiseringsinformasjon

ISO 27001:2022 vedlegg A Kontroll 5.17 introduserer et krav om brukeransvar som ikke var spesifisert i kontroll 9.3.1 i 2013-versjonen.

Organisasjoner bør inkludere passordkrav i sine kontrakter med ansatte og ansatte. Slike krav bør dekke opprettelse og bruk av passord.

ISO 27001:2013 inneholdt et tilleggskrav for brukeransvar som ikke var inkludert i 2022-versjonen

Sammenlignet med 2022-versjonen inneholdt kontroll 9.3.1 følgende mandat for bruk av autentiseringsdata:

Brukere bør ikke bruke de samme autentiseringsdetaljene, for eksempel et passord, både for arbeid og ikke-arbeidsformål.

ISO 27001:2013 inneholdt et tilleggskrav for passordbehandlingssystemer som ikke var inkludert i 2022-versjonen

Kontroll 9.4.3 av 2013-versjonen krever at passordadministrasjonssystemer må:

Sørg for at filer med passord skal lagres på et annet system enn det som er vert for applikasjonsdata.

ISO 27001:2022 vedlegg A Kontroll 5.17 krever ikke dette.

Tabell over alle ISO 27001:2022 vedlegg A kontroller

I tabellen nedenfor finner du mer informasjon om hver enkelt ISO 27001:2022 vedlegg A-kontroll.

Hvordan ISMS.online Hjelp

ISMS.Online gjør det mulig for organisasjoner og virksomheter å overholde ISO 27001:2022-kravene ved å gi dem en plattform som forenkler administrasjon, oppdatering, testing og overvåking av effektiviteten til deres retningslinjer og prosedyrer for konfidensialitet eller taushetsplikt.

Vi tilbyr en skybasert plattform for administrasjon av konfidensialitet og Informasjonssikkerhetsstyringssystemer, med taushetspliktklausuler, risikostyring, retningslinjer, planer og prosedyrer, alt på ett praktisk sted. Den er enkel å bruke, med et intuitivt grensesnitt som gjør det enkelt å lære.

Ta kontakt med oss ​​i dag for å arrangere en demonstrasjon.