ISO 27002:2022, Kontroll 5.15 – Tilgangskontroll

Generell veiledning

Overholdelse av kontroll 5.15 innebærer å følge det som er kjent som en 'emnespesifikk' tilnærming til tilgangskontroll (mer kjent som en 'problemspesifikk' tilnærming).

Emnespesifikke tilnærminger oppmuntrer organisasjoner til å opprette Access Kontroller retningslinjer som er skreddersydd for individuelle forretningsfunksjoner, i stedet for å følge en generell tilgangskontrollpolicy som gjelder for data- og ressurstilgang over hele linjen.

Kontroll 5.15 krever retningslinjer for tilgangskontroll på tvers av alle emnespesifikke områder for å ta hensyn til følgende 11 veiledningspunkter. Noen av veiledningspunktene nedenfor krysser forskjellige andre kontroller, som er oppført for referanse.

Organisasjoner bør konsultere disse medfølgende kontrollene fra sak til sak, for ytterligere informasjon.

• Bestem hvilke enheter som krever tilgang til visse deler av informasjon og/eller eiendeler.
  
  

  Samsvar – Dette oppnås enkelt ved å holde en nøyaktig oversikt over jobbroller og krav til datatilgang, som er i tråd med din organisasjonsstruktur.

• Integriteten og sikkerheten til alle relevante applikasjoner (knyttet til Control 8.2)
  
  

  Samsvar – En formell risikovurdering kan utføres for å undersøke sikkerhetsegenskapene til individuelle applikasjoner.

• Fysiske (side) tilgangskontroller (koblet til kontrollene 7.2, 7.3 og 7.4)
  
  

  Samsvar – Organisasjonen din må kunne demonstrere at du har et robust sett med bygnings- og romtilgangskontroller, inkludert administrerte inngangssystemer, sikkerhetsperimeter og besøksprosedyrer, der det er aktuelt.

• Et bedriftsomfattende «need to know»-prinsipp når det gjelder informasjonsdistribusjon, sikkerhet og kategorisering (koblet til 5.10, 5.12 og 5.13)
  
  

  Samsvar – Bedrifter bør følge strenge retningslinjer for beste praksis som ikke gir generell tilgang til data på tvers av et organisasjonskart.

• Sørg for restriksjoner på privilegerte tilgangsrettigheter (koblet til 8.2)
  
  

  Samsvar – Datatilgangsrettigheter utover en standardbruker må være tett overvåket og revidert.

• Overholdelse av gjeldende lovverk, sektorspesifikke regulatoriske retningslinjer eller kontraktsmessige forpliktelser knyttet til datatilgang (koblet til 5.31, 5.32, 5.33, 5.34 og 8.3)
  
  

  Samsvar – Organisasjoner skreddersyr sine egne tilgangskontrollpolicyer i samsvar med eventuelle eksterne forpliktelser de har med hensyn til data, eiendeler og ressurstilgang.

• Overvåking av potensielle pliktkonflikter
  
  

  Samsvar – Retningslinjer bør inkludere kontroller som eliminerer en persons evne til å kompromittere en bredere tilgangskontrollfunksjon, basert på deres egne tilgangsnivåer (dvs. en ansatt som har muligheten til å be om, autorisere og implementere endringer i et nettverk).

• De tre hovedfunksjonene til en tilgangskontrollpolicy – ​​forespørsler, autorisasjoner og administrasjon – bør behandles isolert
  
  

  Samsvar – Retningslinjer for tilgangskontroll må anerkjenne at selv om tilgangskontroll er en selvstendig funksjon, består den av en rekke individuelle trinn som har deres egne krav fra emne til emne.

• Forespørsler om tilgang bør utføres på en strukturert, formell måte (lenket til 5.16 og 5.18)
  
  

  Samsvar – Organisasjoner bør implementere en autorisasjonsprosess som krever formell, dokumentert godkjenning fra en passende medarbeider.

• Løpende administrasjon av tilgangsrettigheter (lenket til 5.18)
  
  

  Samsvar – Dataintegritet og sikkerhetsomkrets må opprettholdes gjennom en kontinuerlig syklus med periodiske revisjoner, HR-tilsyn (forlater osv.) og jobbspesifikke endringer (f.eks. avdelingsflyttinger og rolleendringer).

• Vedlikeholde tilstrekkelige logger og kontrollere tilgangen til dem
  
  

  Samsvar – Organisasjonen bør samle inn og lagre data om tilgangshendelser (f.eks. filaktivitet) ved siden av å beskytte mot uautorisert tilgang til sikkerhetshendelseslogger, og operere med et omfattende sett med hendelsesadministrasjon prosedyrer.

Veiledning om implementering av adgangskontrollregler

Som vi har diskutert, gis tilgangskontrollregler til ulike enheter (menneskelige og ikke-menneskelige) som eksisterer på et gitt nettverk, som igjen får "roller" som dikterer deres generelle krav.

Når organisasjonen din definerer og vedtar sitt eget sett med retningslinjer for tilgangskontroll, ber 5.15 deg om å ta følgende 4 punkter i betraktning:

1. Sørg for konsistens mellom tilgangsretten og typen data den gjelder for.
2. Sørg for samsvar mellom tilgangsretten og fysiske sikkerhetskrav av organisasjonen din (perimeter osv.).
3. Der organisasjonen din opererer under et distribuert datamiljø som inkluderer flere forskjellige nettverk eller sett med ressurser (for eksempel et skybasert miljø), vurderer tilgangsrettigheter implikasjonene av data som finnes på tvers av et bredt spekter av nettverkstjenester.
4. Vær oppmerksom på implikasjonene rundt dynamiske tilgangskontroller (en detaljert metode for tilgang implementert av systemadministratorer til et detaljert sett med variabler).

Dokumentasjon og definert ansvar

Kontroll 5.15 er eksplisitt i å kreve at organisasjoner skal være opptatt av dokumentasjon og en strukturert liste over ansvarsområder. ISO 27002 inneholder en rekke lignende krav på tvers av hele listen over kontroller – her er de individuelle kontrollene som er mest relevante for 5.15:

Teknisk dokumentasjon

• 5.16
• 5.17
• 5.18
• 8.2
• 8.3
• 8.4
• 8.5
• 8.18

Ansvar

• 5.2
• 5.17

Detaljnivå

Kontroll 5.15 gir organisasjoner et betydelig spillerom når det gjelder å velge granularitetsnivået i deres tilgangskontrollregler.

ISO råder bedrifter til å utøve sin egen vurdering av hvor detaljert et gitt regelsett må være på ansatt-for-ansatt-basis, og hvor mange tilgangsvariabler som brukes på en hvilken som helst del av data.

5.15 erkjenner eksplisitt at jo mer detaljerte et selskaps retningslinjer for tilgangskontroll er, desto større blir kostnadene og desto vanskeligere blir hele konseptet med tilgangskontroll på tvers av flere lokasjoner, nettverkstyper og applikasjonsvariabler.

Tilgangskontroll som konsept, med mindre det er nøye administrert, kan snart gå ut av kontroll. Det er nesten alltid en god idé å forenkle regler for tilgangskontroll for å gjøre dem enklere og mer kostnadseffektive å administrere.

Endringer fra ISO 27002:2013

27002:2013/5.15 er en sammenslåing av to lignende kontroller i 27002:2013 – 9.1.1 (Retningslinjer for tilgangskontroll) og 9.1.2 (Tilgang til nettverk og nettverkstjenester).

Generelt tar både 9.1.1 og 9.1.2 opp de samme underliggende temaene som 5.15 og følger stort sett det samme settet med retningslinjer for styring, med noen subtile operasjonelle forskjeller.

Både 2022- og 2013-kontrollene handler om å administrere tilgang til informasjon, eiendeler og ressurser og operere etter et "need to know"-prinsipp som behandler bedriftsdata som en vare som må administreres og beskyttes nøye.

Alle 27002:2013/9.1.1s 11 styrende retningslinjer går langs de samme generelle linjene som er sett i 27002:2013/5.15, med sistnevnte med en marginalt større vekt på fysisk sikkerhet og perimetersikkerhet.

Støtteveiledning for implementering av tilgangskontroll er stort sett den samme, men 2022-kontrollen gjør en mye bedre jobb med å tilby kortfattet, praktisk veiledning på tvers av de fire implementeringsretningslinjene.

Endringer i typer tilgangskontroller fra 9.1.1

5.15 anerkjenner de forskjellige typene tilgangskontrollmetoder som har dukket opp i løpet av de siste 9 årene (MAC, DAC, ABAC), mens 27002:2013/9.1.1 begrenser veiledningen til RBAC – den vanligste metoden for kommersiell tilgangskontroll på den tiden .

Detaljnivå

I forbindelse med teknologiske endringer som gir organisasjoner større kontroll over dataene sine, inneholder ingen av 2013-kontrollene noen meningsfull veiledning om hvordan en organisasjon bør nærme seg detaljerte tilgangskontroller, mens 27002:2013/5.15 gir organisasjoner et betydelig spillerom.