ISO 27001:2022 Vedlegg A Kontroll 8.2

Generell veiledning for ISO 27001:2022 vedlegg A 8.2

ISO 27001:2022 vedlegg A 8.2 skisserer 12 hovedveiledningspunkter som virksomheter bør følge basert på en "emnespesifikk" policy for tilgangskontroll (se vedlegg A 5.15) som er rettet mot spesifikke forretningsfunksjoner.

Det er avgjørende for organisasjoner å:

1. Lag en liste over brukere som trenger noen grad av privilegert tilgang – enten til et individuelt system, en applikasjon eller det underliggende operativsystemet.
2. Sørg for at privilegerte tilgangsrettigheter tildeles brukere på "hendelse for hendelse"-basis – brukere bør gis tilgangsrettigheter basert på det minste minimum de trenger for å utføre pliktene sine.
   

3. Oppretthold en oversikt over alle tilgangsrettigheter som er gitt, og skisser en enkel autorisasjonsprosess for alle forespørsler om privilegert tilgang.
   

4. Tilgangsrettigheter må være underlagt relevante utløpsdatoer.
   

5. Brukere bør eksplisitt informeres når de opererer med privilegert tilgang til et system.
   

6. Når det er relevant, blir brukere bedt om å autentisere seg på nytt før de bruker privilegerte tilgangsrettigheter for å øke sikkerheten til informasjon og data.
   

7. Periodisk revisjon privilegerte tilgangsrettigheter, spesielt etter en periode med organisatoriske endringer. Tilgangsrettigheter bør vurderes basert på brukernes «plikter, roller, ansvar og kompetanse» (se vedlegg A 5.18).
   

8. Vurder en "knekke glass"-prosedyre, dvs. å gi privilegerte tilgangsrettigheter innenfor stramt kontrollerte tidsrammer som oppfyller minimumskravene for at en operasjon skal fullføres (kritiske endringer, systemadministrasjon osv.).
   

9. Sørg for at alle aktiviteter som involverer privilegert tilgang er logget.
   

10. Standardiserte brukernavn og passord (se vedlegg A 5.17) skal ikke brukes for systempålogging.
    

11. Oppretthold en policy for å tildele brukere separate identiteter for å kontrollere privilegerte tilgangsrettigheter bedre. Som et resultat kan disse identitetene grupperes sammen, med varierende tilgangsnivåer som gis til den tilknyttede gruppen.
    

12. Sørg for at privilegerte tilgangsrettigheter er reservert for oppgaver som er kritiske for riktig funksjon av et IKT-nettverk, for eksempel nettverksadministrasjon og vedlikehold.

Medfølgende vedlegg A kontroller

• ISO 27001:2022 vedlegg A 5.15

Hva er endringene fra ISO 27001:2013?

ISO 27001:2022 vedlegg A 8.2 erstatter ISO 27001:2013 Vedlegg A 9.2.3 ('Forvaltning av privilegerte tilgangsrettigheter').

Vedlegg A 8.2 til ISO 27001:2022 inneholder fem hovedveiledningspunkter som ikke var inkludert i 2013-motstykket:

1. Vedlegg A 8.2 krever ikke eksplisitt en annen bruker-ID for privilegert tilgang.
2. Vedlegg A 8.2 understreker behovet for å autentisere på nytt før du mottar privilegerte tilgangsrettigheter.
3. En knuseglasstilnærming er foreslått når du utfører kritiske vedlikeholdsoppgaver basert på tett kontrollerte tidsvinduer i vedlegg A 8.2.
4. Vedlegg A 8.2 krever at organisasjoner fører detaljerte privilegerte tilgangslogger for revisjonsformål.
5. Vedlegg A 8.2 krever at organisasjoner begrenser privilegerte tilgangsrettigheter til administrative oppgaver.

Tabell over alle ISO 27001:2022 vedlegg A kontroller

I tabellen nedenfor finner du mer informasjon om hver enkelt ISO 27001:2022 vedlegg A Kontroll.

Hvordan ISMS.online Hjelp

Ved hjelp av vår skybaserte plattform og verktøy kan organisasjoner sette opp en styringssystem for informasjonssikkerhet (ISMS) i samsvar med ISO 27001:2022.

Blant disse verktøyene er:

1. Maler for vanlige bedriftsdokumenter.
2. Retningslinjer og prosedyrer som er forhåndsdefinert.
3. Støtte internrevisjoner med et revisjonsverktøy.
4. En godkjenningsarbeidsflyt for alle endringer som er gjort i retningslinjer og prosedyrer.
5. Sjekkliste for å sikre at din retningslinjer for informasjonssikkerhet og prosesser følger internasjonale standarder.

Finn ut om hele spekteret av funksjoner i verktøysettet vårt av bestille en demo.