ISO 27001:2022 Vedlegg A Kontroll 8.5

Generell veiledning for ISO 27001:2022 vedlegg A 8.5

Organisasjoner bør ta hensyn til typen og sensitiviteten til dataene og nettverket som brukes når de vurderer autentiseringskontroller. Eksempler på slike kontroller inkluderer:

• Smarte tilgangskontroller (smartkort).
• Biometriske pålogginger.
• Sikre tokens.
• Multi-faktor autentisering (MFA).
• Digitale sertifikater.

Hovedmålet med et selskaps sikre autentiseringstiltak bør være å avskrekke og redusere muligheten for uautorisert tilgang til dets sikrede systemer.

For å oppnå dette, angir ISO 27001:2022 vedlegg A 8.5 tolv fremste retningslinjer. Bedrifter bør:

1. Sørg for at informasjon bare vises etter en vellykket autentiseringsprosess.
2. Vis en advarsel før pålogging som tydelig sier at kun autoriserte brukere har tilgang til dataene.
3. Reduser hjelpen som gis til uautoriserte personer som prøver å komme seg inn i systemet. For eksempel bør bedrifter ikke avsløre hvilken del av påloggingen som har vært feil, for eksempel en biometrisk faktor på en multi-faktor autentiseringspålogging – i stedet bare oppgi at påloggingen ikke har fungert.
4. Bekreft påloggingsforsøket kun når all nødvendig informasjon er gitt til påloggingstjenesten, for å opprettholde sikkerheten.
5. Implementer industristandard sikkerhetstiltak for å beskytte mot generell tilgang og brute force-angrep på påloggingsportaler. Disse kan omfatte:
• CAPTCHA er en sikkerhetsfunksjon som krever at du skriver inn en streng med tegn for å bekrefte at du er en menneskelig bruker.
• Tvinge tilbakestilling av et passord etter et bestemt antall mislykkede påloggingsforsøk.
• Etter et visst antall mislykkede forsøk blir ytterligere pålogginger hindret. For å forhindre dette, sett en grense.
6. For revisjon og sikkerhet skal hvert mislykket påloggingsforsøk noteres, inkludert for straffesaker og/eller regulatoriske prosedyrer.
7. Ved større påloggingsavvik, som for eksempel mistanke om inntrenging, må en sikkerhetshendelse settes i gang umiddelbart. Internt personell, spesielt de med systemadministratortilgang eller evnen til å hindre ondsinnede påloggingsforsøk, må varsles umiddelbart.
8. Når en vellykket pålogging er bekreftet, må visse data overføres til et annet depot med detaljer:
• Den siste vellykkede påloggingen skjedde [dato] kl. [klokkeslett].
• Registrering av alle forsøk på pålogging siden siste autentiserte pålogging.
9. Vis passord som stjerner eller andre lignende abstrakte symboler, med mindre det er grunn til å ikke gjøre det (f.eks. brukertilgjengelighet).
10. Ingen toleranse for passord som skal deles eller vises i ren, lesbar tekst.
11. Sørg for at inaktive påloggingsøkter avsluttes etter en fastsatt tidsramme. Dette er spesielt relevant for økter på steder med høy risiko (eksternt arbeid situasjoner) eller på brukereide enheter, for eksempel personlige bærbare datamaskiner eller mobiltelefoner.
12. Begrens varigheten som en autentisert økt kan forbli åpen, selv når den er aktiv, avhengig av dataene du får tilgang til (f.eks. viktig forretningsinformasjon eller pengerelaterte programmer).

Veiledning om biometriske pålogginger

International Organization for Standardization oppfordrer til at biometriske påloggingsprosesser kombineres med minst en annen påloggingsteknikk, på grunn av deres komparative effektivitet og integritet sammenlignet med tradisjonelle metoder som passord, MFA og tokens.

Endringer og forskjeller fra ISO 27001:2013

ISO 27001:2022 vedlegg A 8.5 erstatter ISO 27001:2013 Vedlegg A 9.4.2 (Sikker innloggingsprotokoller).

ISO 27001:2022 vedlegg A 8.5 er en revisjon av 2013-versjonen, med små endringer i språket og de samme sikkerhetsprinsippene som ligger til grunn. Dokumentet inneholder fortsatt de 12 kjente veiledningspunktene.

I tråd med den økte bruken av multifaktorautentisering og biometriske påloggingsteknologier de siste ti årene, gir ISO 27001:2022 vedlegg A 8.5 eksplisitte instruksjoner om hvordan organisasjoner bør inkorporere disse teknikkene når de formulerer sine egne påloggingskontroller.

Tabell over alle ISO 27001:2022 vedlegg A kontroller

I tabellen nedenfor finner du mer informasjon om hver enkelt ISO 27001:2022 vedlegg A Kontroll.

Hvordan ISMS.online Hjelp

Vår skybaserte plattform utstyrer deg med et sterkt rammeverk av informasjonssikkerhet kontroller for å hjelpe ISMS-prosessen og sikre at den oppfyller ISO 27001:2022-kriteriene. Riktig brukt, ISMS.online kan hjelpe deg med å oppnå sertifisering med minimal tid og ressurser.

Kontakt oss i dag for arrangere en demonstrasjon.