Sikker autentiseringsinformasjonsadministrasjon: ISO 27002-kontroll 5.17 forklart
Autentiseringsinformasjon som passord, krypteringsnøkler og kortbrikker er inngangsporten til informasjonssystemer som er vert for sensitive informasjonsressurser.
Dårlig administrasjon eller feilaktig tildeling av autentiseringsinformasjon kan føre til uautorisert tilgang til informasjonssystemer og tap av konfidensialitet, tilgjengelighet og integritet til sensitive informasjonsressurser.
For eksempel, GoodFirms 2021-forskning viser at 30 % av alle datainnbrudd oppstår som følge av svake passord eller dårlige rutiner for passordbehandling.
Derfor bør organisasjoner ha en robust prosess for behandling av autentiseringsinformasjon for å tildele, administrere og beskytte autentiseringsinformasjon.
Formål med kontroll 5.17
Kontroll 5.17 gjør det mulig for organisasjoner å allokere og administrere autentiseringsinformasjon på riktig måte, eliminere risikoen for feil i autentiseringsprosessen og forhindre sikkerhetsrisikoer som kan oppstå på grunn av kompromittering av autentiseringsinformasjon.
Kontrollattributter 5.17
Kontroll 5.17 er en forebyggende type kontroll som krever at organisasjoner etablerer og implementerer en hensiktsmessig håndteringsprosess for autentiseringsinformasjon.
| Kontrolltype | Informasjonssikkerhetsegenskaper | Konsepter for cybersikkerhet | Operasjonelle evner | Sikkerhetsdomener |
|---|---|---|---|---|
| #Forebyggende | #Konfidensialitet | #Beskytte | #Identitets- og tilgangsadministrasjon | #Beskyttelse |
| #Integritet | ||||
| #Tilgjengelighet |
Eierskap til kontroll 5.17
Tatt i betraktning at Kontroll 5.17 innebærer etablering og implementering av organisasjonsomfattende regler, prosedyrer og tiltak for tildeling og forvaltning av autentiseringsinformasjon, bør informasjonssikkerhetsansvarlige være ansvarlige for etterlevelse av kontroll 5.17.
Frigjør deg fra et fjell av regneark
Bygg inn, utvid og skaler samsvarsstyringen din uten rot. IO gir deg robustheten og selvtilliten til å vokse sikkert.
Veiledning om tildeling av autentiseringsinformasjon
Organisasjoner bør overholde følgende seks krav for tildeling og administrasjon av autentiseringsinformasjon:
- Når personlige passord eller personlige identifikasjonsnumre genereres automatisk for registrering av nye brukere, bør de ikke kunne gjettes. Videre bør passord være unike for hver bruker og det må være obligatorisk å endre passord etter første gangs bruk.
- Organisasjoner bør etablere robuste prosedyrer for å autentisere identiteten til en bruker før han/hun får en ny eller erstatningsgodkjenningsinformasjon eller han/hun får midlertidig informasjon.
- Organisasjoner bør sørge for sikker overføring av autentiseringsinformasjon til enkeltpersoner via sikre kanaler, og de bør ikke sende denne informasjonen over usikre elektroniske meldinger (f.eks. klartekst).
- Brukere bør bekrefte mottak av autentiseringsinformasjonen.
- Etter at nye IT-systemer og programvare er installert, bør organisasjoner endre standard autentiseringsinformasjon umiddelbart.
- Organisasjoner bør etablere og vedlikeholde registre over alle viktige hendelser knyttet til administrasjon og tildeling av autentiseringsinformasjon. Videre bør disse postene holdes konfidensielle og journalføringsmetoder bør godkjennes, for eksempel ved bruk av et godkjent passordverktøy.
Veiledning om brukeransvar
Brukere som kan få tilgang til og bruke autentiseringsinformasjon bør instrueres om å overholde følgende:
- Brukere må opprettholde konfidensialiteten til hemmelig autentiseringsinformasjon som passord og bør ikke dele slik hemmelig informasjon med noen andre. Når flere brukere er involvert i bruken av autentiseringsinformasjon eller informasjonen er knyttet til ikke-personlige enheter, skal autentiseringsinformasjonen ikke utleveres til uautoriserte personer.
- Brukere må endre passordene sine umiddelbart hvis konfidensialiteten til passordene deres blir kompromittert.
- Brukere bør velge sterke passord som er vanskelige å gjette ved å følge bransjens beste praksis. For eksempel:
- Passord bør ikke velges basert på personlig informasjon som er lett å få tak i, for eksempel navn eller fødselsdato.
- Passord bør ikke opprettes basert på noe som lett kan gjettes.
- Passord bør ikke inneholde ordbokord eller kombinasjoner av disse ordene.
- Alfanumeriske tegn og spesialtegn skal brukes i passordet.
- Det bør være en minimumslengde for passord.
- Brukere bør ikke bruke samme passord for forskjellige tjenester.
- Organisasjoner bør inkludere kravene til opprettelse og bruk av passord i sine arbeidskontrakter med sine ansatte.
Administrer all samsvarskontroll, alt på ett sted
ISMS.online støtter over 100 standarder og forskrifter, og gir deg én enkelt plattform for alle dine samsvarsbehov.
Veiledning om passordbehandlingssystemer
Organisasjoner bør overholde følgende når de etablerer et passordbehandlingssystem:
- Brukere bør få lov til å opprette og endre passordene sine, og det bør være en bekreftelsesprosedyre på plass for å sikre at inndatafeil blir identifisert og løst.
- Organisasjoner bør implementere en sterk prosess for valg av passord, og ta hensyn til industriens beste praksis for valg av passord.
- Brukere bør tvinges til å endre standardpassordet etter at de først har fått tilgang til et system.
- Passordendringer bør implementeres når det er nødvendig. For eksempel vil passordendring være nødvendig etter en sikkerhetshendelse eller etter oppsigelse av en ansettelse hos en bruker hvis denne brukeren har tilgang til passord.
- Tidligere passord bør ikke gjenbrukes.
- Bruk av svært vanlige passord eller kompromitterte passord eller brukernavn som brukes for tilgang til hackede systemer, bør være forbudt.
- Når passord skrives inn, skal de være synlige på skjermen i ren tekst.
- Passord bør lagres og overføres via beskyttede kanaler og i et sikkert format.
Videre bør organisasjoner utføre hashing- og krypteringsteknikker i samsvar med de autoriserte kryptografimetodene for passord som angitt i Kontroll 8.24.
Supplerende veiledning om kontroll 5.17
I tillegg til passord finnes det andre typer autentiseringsinformasjon som kryptografiske nøkler, smartkort og biometriske data som fingeravtrykk.
Organisasjoner anbefales å referere til ISO/IEC 24760-serien for mer detaljert veiledning om autentiseringsinformasjon.
Tatt i betraktning at hyppig endring av passord kan være tungvint og irriterende for brukere, kan organisasjoner vurdere å implementere alternative metoder som enkeltpålogging eller passordhvelv. Det skal imidlertid bemerkes at disse alternative metodene kan utsette autentiseringsinformasjon for høyere risiko for uautorisert avsløring.
ISO 27001 gjort enkelt
Et forsprang på 81 % fra dag én
Vi har gjort det harde arbeidet for deg, og gir deg 81 % forsprang fra det øyeblikket du logger på. Alt du trenger å gjøre er å fylle ut de tomme feltene.
Endringer og forskjeller fra ISO 27002:2013
27002:2022/5.17 erstatter 27002:2013/(9.2.4, 9.3.1 9.4.3)
2022-versjonen inneholder et nytt krav for tildeling og administrasjon av autentiseringsinformasjon
Selv om 2013- og 2022-versjonen er svært like når det gjelder kravene for tildeling og administrasjon av autentiseringsinformasjon, introduserer Control 5.17 i 2022-versjonen følgende krav, som ikke var inkludert i 2013-versjonen:
- Organisasjoner bør etablere og vedlikeholde registre over alle viktige hendelser knyttet til administrasjon og tildeling av autentiseringsinformasjon. Videre bør disse postene holdes konfidensielle og journalføringsmetoder bør godkjennes, for eksempel ved bruk av et godkjent passordverktøy.
Kontroll 5.17 i 2022-versjonen inneholder et tilleggskrav for bruk av autentiseringsinformasjon
Kontroll 5.17 introduserer følgende krav for brukeransvar som ikke ble referert til i kontroll 9.3.1 i 2013-versjonen.
- Organisasjoner bør inkludere kravene til opprettelse og bruk av passord i sine arbeidskontrakter med sine ansatte og ansatte.
2013-versjonen inneholdt ytterligere krav for brukeransvar som ikke var inkludert i 2022-versjonen
I motsetning til 2022-versjonen inneholdt kontroll 9.3.1 følgende krav for bruk av autentiseringsinformasjon:
- Brukere bør ikke bruke den samme autentiseringsinformasjonen, for eksempel et passord, for både forretningsmessige og ikke-forretningsformål.
2013-versjonen inneholdt et tilleggskrav for passordbehandlingssystemer som ikke var inkludert i 2022-versjonen
Kontroll 9.4.3 i 2013-versjonen inkluderte følgende krav for passordbehandlingssystemer.
- Filer som inneholder passord bør lagres i et separat system fra applikasjonssystemdata.
Kontroll 5.17 i 2022-versjonen inneholdt tvert imot ikke dette kravet.
Nye ISO 27002 kontroller
| ISO/IEC 27002:2022 kontrollidentifikator | ISO/IEC 27002:2013 kontrollidentifikator | Kontrollnavn |
|---|---|---|
| 5.7 | NEW | Trusselintelligens |
| 5.23 | NEW | Informasjonssikkerhet for bruk av skytjenester |
| 5.30 | NEW | IKT-beredskap for forretningskontinuitet |
| 7.4 | NEW | Fysisk sikkerhetsovervåking |
| 8.9 | NEW | Konfigurasjonsstyring |
| 8.10 | NEW | Sletting av informasjon |
| 8.11 | NEW | Datamaskering |
| 8.12 | NEW | Forebygging av datalekkasje |
| 8.16 | NEW | Overvåking av aktiviteter |
| 8.23 | NEW | Web-filtrering |
| 8.28 | NEW | Sikker koding |
| ISO/IEC 27002:2022 kontrollidentifikator | ISO/IEC 27002:2013 kontrollidentifikator | Kontrollnavn |
|---|---|---|
| 6.1 | 07.1.1 | Screening |
| 6.2 | 07.1.2 | Vilkår og betingelser for ansettelsen |
| 6.3 | 07.2.2 | Informasjonssikkerhetsbevissthet, utdanning og opplæring |
| 6.4 | 07.2.3 | Disiplinær prosess |
| 6.5 | 07.3.1 | Ansvar etter oppsigelse eller endring av arbeidsforhold |
| 6.6 | 13.2.4 | Avtaler om konfidensialitet eller taushetsplikt |
| 6.7 | 06.2.2 | Fjernarbeid |
| 6.8 | 16.1.2, 16.1.3 | Informasjonssikkerhet hendelsesrapportering |
| ISO/IEC 27002:2022 kontrollidentifikator | ISO/IEC 27002:2013 kontrollidentifikator | Kontrollnavn |
|---|---|---|
| 7.1 | 11.1.1 | Fysiske sikkerhetsomkretser |
| 7.2 | 11.1.2, 11.1.6 | Fysisk inngang |
| 7.3 | 11.1.3 | Sikring av kontorer, rom og fasiliteter |
| 7.4 | NEW | Fysisk sikkerhetsovervåking |
| 7.5 | 11.1.4 | Beskyttelse mot fysiske og miljømessige trusler |
| 7.6 | 11.1.5 | Arbeid i sikre områder |
| 7.7 | 11.2.9 | Oversiktlig skrivebord og oversiktlig skjerm |
| 7.8 | 11.2.1 | Utstyrsplassering og beskyttelse |
| 7.9 | 11.2.6 | Sikkerhet av eiendeler utenfor lokaler |
| 7.10 | 08.3.1, 08.3.2, 08.3.3, 11.2.5 | Lagringsmedier |
| 7.11 | 11.2.2 | Støtteverktøy |
| 7.12 | 11.2.3 | Kablingssikkerhet |
| 7.13 | 11.2.4 | Vedlikehold av utstyr |
| 7.14 | 11.2.7 | Sikker avhending eller gjenbruk av utstyr |
Hvordan ISMS.online hjelper
ISMS.Online hjelper organisasjoner og virksomheter med å oppfylle kravene i ISO 27002 ved å gi dem en plattform som gjør det enkelt å administrere retningslinjer og prosedyrer for konfidensialitet eller taushetsplikt, oppdatere dem etter behov, teste dem og overvåke effektiviteten.
Vi tilbyr en skybasert plattform for administrasjon av styringssystemer for konfidensialitet og informasjonssikkerhet, inkludert klausuler om taushetsplikt, risikostyring, retningslinjer, planer og prosedyrer, på ett sentralt sted. Plattformen er enkel å bruke og har et intuitivt grensesnitt som gjør det enkelt å lære å bruke.
Kontakt oss i dag for planlegg en demonstrasjon.
