ISO 27002:2022, Kontroll 5.16 – Identitetsstyring

Generell veiledning

Overholdelse av kontroll 5.16 oppnås gjennom en kombinasjon av å sikre at identitetsbaserte prosedyrer er tydelig artikulert i policydokumenter, og overvåking av daglig etterlevelse blant ansatte.

5.16 viser seks hovedprosedyrer som en organisasjon må følge for å oppfylle de nødvendige standardene for infosec og cybersikkerhetsstyring:

• Der identiteter tildeles en person, er det bare den spesifikke personen som har lov til å autentisere seg med og/eller bruke denne identiteten når han får tilgang til nettverksressurser.
  
  

  Samsvar – IT-policyer må tydelig angi at brukere ikke skal dele påloggingsinformasjon, eller tillate andre brukere å streife rundt i nettverket ved å bruke en annen identitet enn den de har blitt tildelt.

• Noen ganger kan det være nødvendig å tildele en identitet til flere personer – også kjent som en "delt identitet". Denne tilnærmingen bør brukes sparsomt, og kun for å tilfredsstille et eksplisitt sett med operasjonelle krav.
  
  

  Samsvar – Organisasjoner bør behandle registrering av delte identiteter som en egen prosedyre for enkeltbrukeridentiteter, med en dedikert godkjenningsarbeidsflyt.

• Såkalte "ikke-menneskelige" enheter (som navnet antyder, enhver identitet som ikke er knyttet til en faktisk bruker) bør vurderes annerledes enn brukerbaserte identiteter ved registreringspunktet.
  
  

  Samsvar – Som med delte identiteter, bør ikke-menneskelige identiteter i sin tur ha sin egen godkjennings- og registreringsprosess som erkjenner den underliggende forskjellen mellom å tildele en identitet til en person, og å gi en til en eiendel, applikasjon eller enhet.

• Identiteter som ikke lenger er påkrevd (leavers, redundante eiendeler osv.) bør deaktiveres av en nettverksadministrator, eller fjernes helt etter behov.
  
  

  Samsvar – IT-ansatte bør gjennomføre regelmessige revisjoner som viser identiteter i bruksrekkefølge, og identifiserer hvilke enheter (menneskelige eller ikke-menneskelige) som kan suspenderes eller slettes. HR-ansatte bør inkludere identitetshåndtering i sine offboarding-prosedyrer, og informere IT-ansatte om avganger i tide.

• Dupliserte identiteter bør unngås for enhver pris. Bedrifter bør følge en regel "én enhet, én identitet" over hele linjen.
  
  

  Samsvar – IT-personell bør være årvåken når de tildeler roller på tvers av et nettverk, og sikre at enheter ikke gis tilgangsrettigheter basert på flere identiteter.

• Det bør føres tilstrekkelig journal over alle "vesentlige hendelser" angående identitetshåndtering og autentiseringsinformasjon.
  
  

  Samsvar – Begrepet «betydelig hendelse» kan tolkes på ulike måter, men på et grunnleggende nivå organisasjoner trenger for å sikre at deres styringsprosedyrer inkluderer dokumentasjon for identitetsregistrering, robuste endringsforespørselsprotokoller med en passende godkjenningsprosedyre og muligheten til å produsere en omfattende liste over tildelte identiteter til enhver tid.

Supplerende veiledning

I tillegg til de seks viktigste operasjonelle hensynene, lister 5.16 også fire trinn som organisasjoner må følge når de oppretter en identitet og gir den tilgang til nettverksressurser (endring eller fjerning av tilgangsrettigheter er behandlet i kontroll 5.18):

• Etabler en business case før en identitet opprettes
  
  

  Samsvar – Det er viktig å erkjenne at identitetshåndtering blir eksponentielt vanskeligere for hver ny identitet som skapes. Organisasjoner bør bare skape nye identiteter når det er et klart behov for det.

• Sørg for at enheten som blir tildelt identiteten (menneskelig eller ikke-menneskelig) er uavhengig bekreftet.
  
  

  Samsvar – Når en forretningscase er godkjent, bør prosedyrer for identitets- og tilgangsstyring inneholde trinn for å sikre at personen eller eiendelen som mottar en ny identitet har nødvendig myndighet til å gjøre det, før en identitet opprettes.

• Å etablere en identitet
  
  

  Når enheten er verifisert, bør IT-personalet opprette en identitet som er i tråd med kravene til forretningscase, og er begrenset til det som er angitt i dokumentasjonen for endringsforespørsel.

• Endelig konfigurasjon og aktivering
  
  Finalen trinn i prosessen innebærer tilordne en identitet til dens ulike tilgangsbaserte tillatelser og roller (RBAC), og eventuelle tilknyttede autentiseringstjenester som kreves.

Endringer fra ISO 27002:2013

general

27002:2022 / 5.16 erstatter 27002:2013/9.2.1 (brukerregistrering og avregistrering) – som selv utgjorde en del av 27002:2013s kontrollsett for brukertilgangsadministrasjon. Selv om det er noen likheter mellom de to kontrollene – for det meste i vedlikeholdsprotokoller og deaktivering av redundante ID-er – inneholder 5.16 et langt mer omfattende sett med retningslinjer som søker å adressere Identity and Access Management som et ende-til-ende-konsept.

Menneskelige vs. ikke-menneskelige identiteter

Hovedforskjellen mellom 2022-kontrollen og dens 2013-forgjenger er erkjennelsen av at selv om det er forskjeller i registreringsprosessen, behandles ikke lenger menneskelige og ikke-menneskelige identiteter som forskjellige fra hverandre, for generelle nettverksadministrasjonsformål.

Med begynnelsen av moderne identitets- og tilgangsadministrasjon og Windows-baserte RBAC-protokoller, snakker IT-styring og retningslinjer for beste praksis om menneskelige og ikke-menneskelige identiteter mer eller mindre om hverandre. 27002:2013/9.2.1 inneholder ingen veiledning om hvordan man administrerer ikke-menneskelige identiteter, og handler utelukkende om administrasjonen av det den refererer til som "bruker-IDer" (dvs. påloggingsinformasjon som brukes for å få tilgang til et nettverk, sammen med en passord).

Teknisk dokumentasjon

Som vi har sett, inneholder 27002:2013/5.16 eksplisitt veiledning om ikke bare de generelle sikkerhetsimplikasjonene av identitetsstyring, men også hvordan organisasjoner bør registrere og behandle informasjon før en identitet blir tildelt, og gjennom hele livssyklusen. Til sammenligning nevner 27002:2013/9.2.1 bare kort den medfølgende rollen som IT-styring spiller, og begrenser seg til den fysiske praksisen med identitetsadministrasjon, slik den utføres av IT-ansatte.