ISO 27002:2022, Kontroll 5.17 – Autentiseringsinformasjon

Eierskap til kontroll 5.17

Tatt i betraktning at Kontroll 5.17 innebærer etablering og implementering av organisasjonsomfattende regler, prosedyrer og tiltak for tildeling og forvaltning av autentiseringsinformasjon, bør informasjonssikkerhetsansvarlige være ansvarlige for etterlevelse av kontroll 5.17.

Veiledning om tildeling av autentiseringsinformasjon

Organisasjoner bør overholde følgende seks krav for tildeling og administrasjon av autentiseringsinformasjon:

• Når personlige passord eller personlige identifikasjonsnumre genereres automatisk for registrering av nye brukere, bør de ikke kunne gjettes. Videre bør passord være unike for hver bruker og det må være obligatorisk å endre passord etter første gangs bruk.
• Organisasjoner bør etablere robuste prosedyrer for å autentisere identiteten til en bruker før han/hun får en ny eller erstatningsgodkjenningsinformasjon eller han/hun får midlertidig informasjon.
• Organisasjoner bør sørge for sikker overføring av autentiseringsinformasjon til enkeltpersoner via sikre kanaler, og de bør ikke sende denne informasjonen over usikre elektroniske meldinger (f.eks. klartekst).
• Brukere bør bekrefte mottak av autentiseringsinformasjonen.
• Etter at nye IT-systemer og programvare er installert, bør organisasjoner endre standard autentiseringsinformasjon umiddelbart.
• Organisasjoner bør etablere og vedlikeholde registre over alle viktige hendelser knyttet til administrasjon og tildeling av autentiseringsinformasjon. Videre bør disse postene holdes konfidensielle og journalføringsmetoder bør godkjennes, for eksempel ved bruk av et godkjent passordverktøy.

Veiledning om brukeransvar

Brukere som kan få tilgang til og bruke autentiseringsinformasjon bør instrueres om å overholde følgende:

1. Brukere må opprettholde konfidensialiteten til hemmelig autentiseringsinformasjon som passord og bør ikke dele slik hemmelig informasjon med noen andre. Når flere brukere er involvert i bruken av autentiseringsinformasjon eller informasjonen er knyttet til ikke-personlige enheter, skal autentiseringsinformasjonen ikke utleveres til uautoriserte personer.
2. Brukere må endre passordene sine umiddelbart hvis konfidensialiteten til passordene deres blir kompromittert.
3. Brukere bør velge sterke passord som er vanskelige å gjette ved å følge bransjens beste praksis. For eksempel:
• Passord bør ikke velges basert på personlig informasjon som er lett å få tak i, for eksempel navn eller fødselsdato.
• Passord bør ikke opprettes basert på noe som lett kan gjettes.
• Passord bør ikke inneholde ordbokord eller kombinasjoner av disse ordene.
• Alfanumeriske tegn og spesialtegn skal brukes i passordet.
• Det bør være en minimumslengde for passord.
4. Brukere bør ikke bruke samme passord for forskjellige tjenester.
5. Organisasjoner bør inkludere kravene til opprettelse og bruk av passord i sine arbeidskontrakter med sine ansatte.

Veiledning om passordbehandlingssystemer

Organisasjoner bør overholde følgende når de etablerer et passordbehandlingssystem:

• Brukere bør få lov til å opprette og endre passordene sine, og det bør være en bekreftelsesprosedyre på plass for å sikre at inndatafeil blir identifisert og løst.
• Organisasjoner bør implementere en sterk prosess for valg av passord, og ta hensyn til industriens beste praksis for valg av passord.
• Brukere bør tvinges til å endre standardpassordet etter at de først har fått tilgang til et system.
• Passordendringer bør implementeres når det er nødvendig. For eksempel vil passordendring være nødvendig etter en sikkerhetshendelse eller etter oppsigelse av en ansettelse hos en bruker hvis denne brukeren har tilgang til passord.
• Tidligere passord bør ikke gjenbrukes.
• Bruk av svært vanlige passord eller kompromitterte passord eller brukernavn som brukes for tilgang til hackede systemer, bør være forbudt.
• Når passord skrives inn, skal de være synlige på skjermen i ren tekst.
• Passord bør lagres og overføres via beskyttede kanaler og i et sikkert format.

Videre bør organisasjoner utføre hashing- og krypteringsteknikker i samsvar med de autoriserte kryptografimetodene for passord som angitt i Kontroll 8.24.

Supplerende veiledning om kontroll 5.17

I tillegg til passord finnes det andre typer autentiseringsinformasjon som kryptografiske nøkler, smartkort og biometriske data som fingeravtrykk.

Organisasjoner anbefales å referere til ISO/IEC 24760-serien for mer detaljert veiledning om autentiseringsinformasjon.

Tatt i betraktning at hyppig endring av passord kan være tungvint og irriterende for brukere, kan organisasjoner vurdere å implementere alternative metoder som enkeltpålogging eller passordhvelv. Det skal imidlertid bemerkes at disse alternative metodene kan utsette autentiseringsinformasjon for høyere risiko for uautorisert avsløring.

Endringer og forskjeller fra ISO 27002:2013

27002:2022/5.17 erstatter 27002:2013/(9.2.4, 9.3.1 9.4.3)

2022-versjonen inneholder et nytt krav for tildeling og administrasjon av autentiseringsinformasjon

Selv om 2013- og 2022-versjonen er svært like når det gjelder kravene for tildeling og administrasjon av autentiseringsinformasjon, introduserer Control 5.17 i 2022-versjonen følgende krav, som ikke var inkludert i 2013-versjonen:

• Organisasjoner bør etablere og vedlikeholde registre over alle viktige hendelser knyttet til administrasjon og tildeling av autentiseringsinformasjon. Videre bør disse postene holdes konfidensielle og journalføringsmetoder bør godkjennes, for eksempel ved bruk av et godkjent passordverktøy.

Kontroll 5.17 i 2022-versjonen inneholder et tilleggskrav for bruk av autentiseringsinformasjon

Kontroll 5.17 introduserer følgende krav for brukeransvar som ikke ble referert til i kontroll 9.3.1 i 2013-versjonen.

• Organisasjoner bør inkludere kravene til opprettelse og bruk av passord i sine arbeidskontrakter med sine ansatte og ansatte.

2013-versjonen inneholdt ytterligere krav for brukeransvar som ikke var inkludert i 2022-versjonen

I motsetning til 2022-versjonen inneholdt kontroll 9.3.1 følgende krav for bruk av autentiseringsinformasjon:

• Brukere bør ikke bruke den samme autentiseringsinformasjonen, for eksempel et passord, for både forretningsmessige og ikke-forretningsformål.

2013-versjonen inneholdt et tilleggskrav for passordbehandlingssystemer som ikke var inkludert i 2022-versjonen

Kontroll 9.4.3 i 2013-versjonen inkluderte følgende krav for passordbehandlingssystemer.

• Filer som inneholder passord bør lagres i et separat system fra applikasjonssystemdata.

Kontroll 5.17 i 2022-versjonen inneholdt tvert imot ikke dette kravet.

Hvordan ISMS.online hjelper

ISMS.Online hjelper organisasjoner og virksomheter med å oppfylle kravene i ISO 27002 ved å gi dem en plattform som gjør det enkelt å administrere retningslinjer og prosedyrer for konfidensialitet eller taushetsplikt, oppdatere dem etter behov, teste dem og overvåke effektiviteten.

Vi tilbyr en skybasert plattform for administrasjon av styringssystemer for konfidensialitet og informasjonssikkerhet, inkludert klausuler om taushetsplikt, risikostyring, retningslinjer, planer og prosedyrer, på ett sentralt sted. Plattformen er enkel å bruke og har et intuitivt grensesnitt som gjør det enkelt å lære å bruke.

Kontakt oss i dag for planlegg en demonstrasjon.