Hva er hensikten med kontroll 5.15
I henhold til tilleggsveiledningen nevner Kontroll 5.15 (men begrenser seg ikke til) fire forskjellige typer tilgangskontroll, som grovt kan klassifiseres som følger:
- Obligatorisk tilgangskontroll (MAC) – Tilgang administreres sentralt av en eneste sikkerhetsmyndighet.
- Diskresjonær tilgangskontroll (DAC) – Den motsatte metoden til MAC, hvor objekteiere kan gi privilegier videre til andre brukere.
- Rollebasert tilgangskontroll (RBAC) – Den vanligste typen kommersiell tilgangskontroll, basert på forhåndsdefinerte jobbfunksjoner og privilegier.
- Attributtbasert tilgangskontroll (ABAC) – Tilgangsrettigheter gis til brukere gjennom bruk av policyer som kombinerer attributter.
5.15 er en forebyggende kontroll som opprettholder risiko ved å forbedre en organisasjons underliggende evne å kontrollere tilgang til data og eiendeler.
5.15 er eksplisitt ved å fastslå at tilgang til ressurser bør gis og endres basert på et konkret sett med kommersielle og informasjonssikkerhetskrav.
Organisasjoner bør implementere 5.15 for å lette sikker tilgang til data, og minimere risikoen for uautorisert tilgang til nettverket deres – enten det er fysisk eller virtuelt.
Kontrollattributter 5.15
| Kontrolltype | Informasjonssikkerhetsegenskaper | Konsepter for cybersikkerhet | Operasjonelle evner | Sikkerhetsdomener |
|---|---|---|---|---|
| #Forebyggende | #Konfidensialitet | #Beskytte | #Identitets- og tilgangsadministrasjon | #Beskyttelse |
| #Integritet | ||||
| #Tilgjengelighet |
Eierskap
Mens 5.15 er avhengig av at ledere fra ulike deler av en organisasjon opprettholder en grundig forståelse av hvem som trenger tilgang til hvilke ressurser (dvs. HR-informasjon om en ansattes jobbrolle, som igjen dikterer deres RBAC-parametere), er tilgangsrettigheter til syvende og sist en vedlikeholdsfunksjon som kontrolleres av ansatte med administrative rettigheter over et gitt nettverk.
Som sådan bør eierskapet til 5.15 ligge hos et medlem av toppledelsen med overordnet teknisk autoritet på tvers av en organisasjons domener, underdomener, applikasjoner, ressurser og eiendeler, for eksempel en IT-sjef.
ISO 27001 gjort enkelt
Et forsprang på 81 % fra dag én
Vi har gjort det harde arbeidet for deg, og gir deg 81 % forsprang fra det øyeblikket du logger på. Alt du trenger å gjøre er å fylle ut de tomme feltene.
Generell veiledning
Overholdelse av kontroll 5.15 innebærer å følge det som er kjent som en 'emnespesifikk' tilnærming til tilgangskontroll (mer kjent som en 'problemspesifikk' tilnærming).
Emnespesifikke tilnærminger oppmuntrer organisasjoner til å opprette Access Kontroller retningslinjer som er skreddersydd for individuelle forretningsfunksjoner, i stedet for å følge en generell tilgangskontrollpolicy som gjelder for data- og ressurstilgang over hele linjen.
Kontroll 5.15 krever retningslinjer for tilgangskontroll på tvers av alle emnespesifikke områder for å ta hensyn til følgende 11 veiledningspunkter. Noen av veiledningspunktene nedenfor krysser forskjellige andre kontroller, som er oppført for referanse.
Organisasjoner bør konsultere disse medfølgende kontrollene fra sak til sak, for ytterligere informasjon.
- Bestem hvilke enheter som krever tilgang til visse deler av informasjon og/eller eiendeler.
Samsvar – Dette oppnås enkelt ved å holde en nøyaktig oversikt over jobbroller og krav til datatilgang, som er i tråd med din organisasjonsstruktur.
- Integriteten og sikkerheten til alle relevante applikasjoner (knyttet til Control 8.2)
Samsvar – En formell risikovurdering kan utføres for å undersøke sikkerhetsegenskapene til individuelle applikasjoner.
- Fysiske (side) tilgangskontroller (koblet til kontrollene 7.2, 7.3 og 7.4)
Samsvar – Organisasjonen din må kunne demonstrere at du har et robust sett med bygnings- og romtilgangskontroller, inkludert administrerte inngangssystemer, sikkerhetsperimeter og besøksprosedyrer, der det er aktuelt.
- Et bedriftsomfattende «need to know»-prinsipp når det gjelder informasjonsdistribusjon, sikkerhet og kategorisering (koblet til 5.10, 5.12 og 5.13)
Samsvar – Bedrifter bør følge strenge retningslinjer for beste praksis som ikke gir generell tilgang til data på tvers av et organisasjonskart.
- Sørg for restriksjoner på privilegerte tilgangsrettigheter (koblet til 8.2)
Samsvar – Datatilgangsrettigheter utover en standardbruker må være tett overvåket og revidert.
- Overholdelse av gjeldende lovverk, sektorspesifikke regulatoriske retningslinjer eller kontraktsmessige forpliktelser knyttet til datatilgang (koblet til 5.31, 5.32, 5.33, 5.34 og 8.3)
Samsvar – Organisasjoner skreddersyr sine egne tilgangskontrollpolicyer i samsvar med eventuelle eksterne forpliktelser de har med hensyn til data, eiendeler og ressurstilgang.
- Overvåking av potensielle pliktkonflikter
Samsvar – Retningslinjer bør inkludere kontroller som eliminerer en persons evne til å kompromittere en bredere tilgangskontrollfunksjon, basert på deres egne tilgangsnivåer (dvs. en ansatt som har muligheten til å be om, autorisere og implementere endringer i et nettverk).
- De tre hovedfunksjonene til en tilgangskontrollpolicy – forespørsler, autorisasjoner og administrasjon – bør behandles isolert
Samsvar – Retningslinjer for tilgangskontroll må anerkjenne at selv om tilgangskontroll er en selvstendig funksjon, består den av en rekke individuelle trinn som har deres egne krav fra emne til emne.
- Forespørsler om tilgang bør utføres på en strukturert, formell måte (lenket til 5.16 og 5.18)
Samsvar – Organisasjoner bør implementere en autorisasjonsprosess som krever formell, dokumentert godkjenning fra en passende medarbeider.
- Løpende administrasjon av tilgangsrettigheter (lenket til 5.18)
Samsvar – Dataintegritet og sikkerhetsomkrets må opprettholdes gjennom en kontinuerlig syklus med periodiske revisjoner, HR-tilsyn (forlater osv.) og jobbspesifikke endringer (f.eks. avdelingsflyttinger og rolleendringer).
- Vedlikeholde tilstrekkelige logger og kontrollere tilgangen til dem
Samsvar – Organisasjonen bør samle inn og lagre data om tilgangshendelser (f.eks. filaktivitet) ved siden av å beskytte mot uautorisert tilgang til sikkerhetshendelseslogger, og operere med et omfattende sett med hendelsesadministrasjon prosedyrer.
Frigjør deg fra et fjell av regneark
Bygg inn, utvid og skaler samsvarsstyringen din uten rot. IO gir deg robustheten og selvtilliten til å vokse sikkert.
Veiledning om implementering av adgangskontrollregler
Som vi har diskutert, gis tilgangskontrollregler til ulike enheter (menneskelige og ikke-menneskelige) som eksisterer på et gitt nettverk, som igjen får "roller" som dikterer deres generelle krav.
Når organisasjonen din definerer og vedtar sitt eget sett med retningslinjer for tilgangskontroll, ber 5.15 deg om å ta følgende 4 punkter i betraktning:
- Sørg for konsistens mellom tilgangsretten og typen data den gjelder for.
- Sørg for samsvar mellom tilgangsretten og fysiske sikkerhetskrav av organisasjonen din (perimeter osv.).
- Der organisasjonen din opererer under et distribuert datamiljø som inkluderer flere forskjellige nettverk eller sett med ressurser (for eksempel et skybasert miljø), vurderer tilgangsrettigheter implikasjonene av data som finnes på tvers av et bredt spekter av nettverkstjenester.
- Vær oppmerksom på implikasjonene rundt dynamiske tilgangskontroller (en detaljert metode for tilgang implementert av systemadministratorer til et detaljert sett med variabler).
Dokumentasjon og definert ansvar
Kontroll 5.15 er eksplisitt i å kreve at organisasjoner skal være opptatt av dokumentasjon og en strukturert liste over ansvarsområder. ISO 27002 inneholder en rekke lignende krav på tvers av hele listen over kontroller – her er de individuelle kontrollene som er mest relevante for 5.15:
Teknisk dokumentasjon
- 5.16
- 5.17
- 5.18
- 8.2
- 8.3
- 8.4
- 8.5
- 8.18
Ansvar
- 5.2
- 5.17
Detaljnivå
Kontroll 5.15 gir organisasjoner et betydelig spillerom når det gjelder å velge granularitetsnivået i deres tilgangskontrollregler.
ISO råder bedrifter til å utøve sin egen vurdering av hvor detaljert et gitt regelsett må være på ansatt-for-ansatt-basis, og hvor mange tilgangsvariabler som brukes på en hvilken som helst del av data.
5.15 erkjenner eksplisitt at jo mer detaljerte et selskaps retningslinjer for tilgangskontroll er, desto større blir kostnadene og desto vanskeligere blir hele konseptet med tilgangskontroll på tvers av flere lokasjoner, nettverkstyper og applikasjonsvariabler.
Tilgangskontroll som konsept, med mindre det er nøye administrert, kan snart gå ut av kontroll. Det er nesten alltid en god idé å forenkle regler for tilgangskontroll for å gjøre dem enklere og mer kostnadseffektive å administrere.
Administrer all samsvarskontroll, alt på ett sted
ISMS.online støtter over 100 standarder og forskrifter, og gir deg én enkelt plattform for alle dine samsvarsbehov.
Endringer fra ISO 27002:2013
27002:2013/5.15 er en sammenslåing av to lignende kontroller i 27002:2013 – 9.1.1 (Retningslinjer for tilgangskontroll) og 9.1.2 (Tilgang til nettverk og nettverkstjenester).
Generelt tar både 9.1.1 og 9.1.2 opp de samme underliggende temaene som 5.15 og følger stort sett det samme settet med retningslinjer for styring, med noen subtile operasjonelle forskjeller.
Både 2022- og 2013-kontrollene handler om å administrere tilgang til informasjon, eiendeler og ressurser og operere etter et "need to know"-prinsipp som behandler bedriftsdata som en vare som må administreres og beskyttes nøye.
Alle 27002:2013/9.1.1s 11 styrende retningslinjer går langs de samme generelle linjene som er sett i 27002:2013/5.15, med sistnevnte med en marginalt større vekt på fysisk sikkerhet og perimetersikkerhet.
Støtteveiledning for implementering av tilgangskontroll er stort sett den samme, men 2022-kontrollen gjør en mye bedre jobb med å tilby kortfattet, praktisk veiledning på tvers av de fire implementeringsretningslinjene.
Endringer i typer tilgangskontroller fra 9.1.1
5.15 anerkjenner de forskjellige typene tilgangskontrollmetoder som har dukket opp i løpet av de siste 9 årene (MAC, DAC, ABAC), mens 27002:2013/9.1.1 begrenser veiledningen til RBAC – den vanligste metoden for kommersiell tilgangskontroll på den tiden .
Detaljnivå
I forbindelse med teknologiske endringer som gir organisasjoner større kontroll over dataene sine, inneholder ingen av 2013-kontrollene noen meningsfull veiledning om hvordan en organisasjon bør nærme seg detaljerte tilgangskontroller, mens 27002:2013/5.15 gir organisasjoner et betydelig spillerom.
Nye ISO 27002 kontroller
| ISO/IEC 27002:2022 kontrollidentifikator | ISO/IEC 27002:2013 kontrollidentifikator | Kontrollnavn |
|---|---|---|
| 5.7 | NEW | Trusselintelligens |
| 5.23 | NEW | Informasjonssikkerhet for bruk av skytjenester |
| 5.30 | NEW | IKT-beredskap for forretningskontinuitet |
| 7.4 | NEW | Fysisk sikkerhetsovervåking |
| 8.9 | NEW | Konfigurasjonsstyring |
| 8.10 | NEW | Sletting av informasjon |
| 8.11 | NEW | Datamaskering |
| 8.12 | NEW | Forebygging av datalekkasje |
| 8.16 | NEW | Overvåking av aktiviteter |
| 8.23 | NEW | Web-filtrering |
| 8.28 | NEW | Sikker koding |
| ISO/IEC 27002:2022 kontrollidentifikator | ISO/IEC 27002:2013 kontrollidentifikator | Kontrollnavn |
|---|---|---|
| 6.1 | 07.1.1 | Screening |
| 6.2 | 07.1.2 | Vilkår og betingelser for ansettelsen |
| 6.3 | 07.2.2 | Informasjonssikkerhetsbevissthet, utdanning og opplæring |
| 6.4 | 07.2.3 | Disiplinær prosess |
| 6.5 | 07.3.1 | Ansvar etter oppsigelse eller endring av arbeidsforhold |
| 6.6 | 13.2.4 | Avtaler om konfidensialitet eller taushetsplikt |
| 6.7 | 06.2.2 | Fjernarbeid |
| 6.8 | 16.1.2, 16.1.3 | Informasjonssikkerhet hendelsesrapportering |
| ISO/IEC 27002:2022 kontrollidentifikator | ISO/IEC 27002:2013 kontrollidentifikator | Kontrollnavn |
|---|---|---|
| 7.1 | 11.1.1 | Fysiske sikkerhetsomkretser |
| 7.2 | 11.1.2, 11.1.6 | Fysisk inngang |
| 7.3 | 11.1.3 | Sikring av kontorer, rom og fasiliteter |
| 7.4 | NEW | Fysisk sikkerhetsovervåking |
| 7.5 | 11.1.4 | Beskyttelse mot fysiske og miljømessige trusler |
| 7.6 | 11.1.5 | Arbeid i sikre områder |
| 7.7 | 11.2.9 | Oversiktlig skrivebord og oversiktlig skjerm |
| 7.8 | 11.2.1 | Utstyrsplassering og beskyttelse |
| 7.9 | 11.2.6 | Sikkerhet av eiendeler utenfor lokaler |
| 7.10 | 08.3.1, 08.3.2, 08.3.3, 11.2.5 | Lagringsmedier |
| 7.11 | 11.2.2 | Støtteverktøy |
| 7.12 | 11.2.3 | Kablingssikkerhet |
| 7.13 | 11.2.4 | Vedlikehold av utstyr |
| 7.14 | 11.2.7 | Sikker avhending eller gjenbruk av utstyr |
