Sikre sikker tilgang: ISO 27002-kontroll 5.18 forklart
Alle ansatte i organisasjonen din må ha tilgang til bestemte datamaskiner, databaser, informasjonssystemer og applikasjoner for å utføre oppgavene sine.
For eksempel, mens personalet kan trenge tilgang til sensitive helsedata til ansatte, kan finansavdelingen din stole på å få tilgang til og bruke databaser som inneholder ansattes lønnsdetaljer.
Disse tilgangsrettighetene bør imidlertid gis, endres og tilbakekalles i tråd med organisasjonens retningslinjer for tilgangskontroll og dens tilgangskontroller, slik at du kan forhindre uautorisert tilgang til, endring av og ødeleggelse av informasjonsressurser.
For eksempel, hvis du ikke klarer å tilbakekalle tilgangsrettighetene til en tidligere ansatt, kan den ansatte stjele sensitiv informasjon.
Kontroll 5.18 omhandler hvordan organisasjoner skal tildele, endre og tilbakekalle tilgangsrettigheter under hensyntagen til forretningskrav.
Formål med kontroll 5.18
Kontroll 5.18 gjør det mulig for en organisasjon å etablere og implementere hensiktsmessige prosedyrer og kontroller for å tildele, modifisere og tilbakekalle tilgangsrettigheter til informasjonssystemer i samsvar med organisasjonens tilgangskontrollpolicy og dens tilgangskontroller.
Kontrollattributter 5.18
Kontroll 5.18 er en forebyggende kontroll som krever at organisasjoner eliminerer risikoen for uautorisert tilgang til informasjonssystemer ved å få på plass robuste regler, prosedyrer og kontroller.
| Kontrolltype | Informasjonssikkerhetsegenskaper | Konsepter for cybersikkerhet | Operasjonelle evner | Sikkerhetsdomener |
|---|---|---|---|---|
| #Forebyggende | #Konfidensialitet | #Beskytte | #Identitets- og tilgangsadministrasjon | #Beskyttelse |
| #Integritet | ||||
| #Tilgjengelighet |
ISO 27001 gjort enkelt
Et forsprang på 81 % fra dag én
Vi har gjort det harde arbeidet for deg, og gir deg 81 % forsprang fra det øyeblikket du logger på. Alt du trenger å gjøre er å fylle ut de tomme feltene.
Eierskap til kontroll 5.18
En informasjonssikkerhetsansvarlig bør være ansvarlig for å etablere, implementere og gjennomgå hensiktsmessige regler, prosesser og kontroller for levering, endring og tilbakekall av tilgangsrettigheter til informasjonssystemer.
Ved tildeling, endring og tilbakekalling av tilgangsrettigheter, bør informasjonssikkerhetsansvarlig vurdere forretningsbehov og bør samarbeide tett med eiere av informasjonsressurser for å sikre at regler og prosesser overholdes.
Veiledning om tildeling og tilbakekall av tilgangsrettigheter
Organisasjoner bør innlemme følgende regler og kontroller i prosessen for tildeling og tilbakekalling av tilgangsrettigheter til en autentisert person:
- Eier av informasjonsmidler bør gi sin autorisasjon for tilgang til og bruk av relevante informasjonsmidler. Videre bør organisasjoner også vurdere å søke separat godkjenning fra ledelsen for å gi tilgangsrettigheter.
- Forretningsbehovene til organisasjonen og dens policy for tilgangskontroll bør tas i betraktning.
- Organisasjoner bør vurdere å skille oppgaver. For eksempel kan godkjenningsoppgaven og implementeringen av tilgangsrettigheter utføres av separate personer.
- Når en person ikke lenger trenger tilgang til informasjonsmidler, spesielt når de ikke lenger er en del av organisasjonen, bør tilgangsrettighetene tilbakekalles umiddelbart.
- Personell eller annet personale som jobber for organisasjonen midlertidig kan gis midlertidige tilgangsrettigheter. Disse rettighetene bør tilbakekalles når de ikke lenger jobber for organisasjonen.
- Tilgangsnivået gitt til en enkeltperson bør være i tråd med organisasjonens retningslinjer for tilgangskontroll og bør gjennomgås og verifiseres regelmessig. Videre bør det også være i samsvar med andre informasjonssikkerhetskrav, slik som oppgaveseparering som fastsatt i kontroll 5.3.
- Organisasjoner bør sikre at tilgangsrettigheter ikke aktiveres før den aktuelle autorisasjonsprosedyren er fullført.
- Tilgangsrettigheter gitt til hver enkelt identifikator, for eksempel ID eller fysisk, bør logges på et sentralt styringssystem for tilgangskontroll, og dette systemet bør vedlikeholdes.
- Hvis en persons rolle eller plikter endres, bør nivået av tilgangsrettigheter oppdateres.
- Fjerning eller endring av fysiske eller logiske tilgangsrettigheter kan utføres via følgende metoder: Fjerning eller erstatning av nøkler, ID-kort eller autentiseringsinformasjon.
- Endringer i en brukers fysiske og logiske tilgangsrettigheter skal logges på et system og vedlikeholdes.
Frigjør deg fra et fjell av regneark
Bygg inn, utvid og skaler samsvarsstyringen din uten rot. IO gir deg robustheten og selvtilliten til å vokse sikkert.
Supplerende veiledning om gjennomgang av tilgangsrettigheter
Fysiske og logiske tilgangsrettigheter bør gå gjennom periodiske vurderinger med hensyn til:
- Endringer i hver brukers tilgangsrettigheter etter at de er forfremmet eller degradert i samme organisasjon, eller etter at deres arbeidsforhold er avsluttet.
- Autorisasjonsprosedyre for å gi privilegerte tilgangsrettigheter.
Veiledning om endring eller oppsigelse av arbeidsforhold
Før en ansatt blir forfremmet eller degradert i samme organisasjon eller når hans/hennes ansettelse avsluttes, bør hans/hennes tilgangsrettigheter til informasjonsbehandlingssystemer evalueres og endres ved å ta hensyn til følgende risikofaktorer:
- Om oppsigelsesprosessen er initiert av den ansatte eller av organisasjonen og årsaken til oppsigelsen.
- Nåværende ansvar for den ansatte i organisasjonen.
- Kritiskhet og verdi av informasjonsmidler tilgjengelig for den ansatte.
Supplerende veiledning
Organisasjoner bør vurdere å etablere brukertilgangsroller basert på deres forretningskrav. Disse rollene bør inkludere typene og antallet tilgangsrettigheter som skal gis til hver brukergruppe.
Å opprette slike roller vil gjøre det enklere å administrere og gjennomgå tilgangsforespørsler og rettigheter.
Organisasjoner bør inkludere kontraktsbestemmelser for uautorisert tilgang og sanksjoner for slik tilgang i sine arbeids-/tjenestekontrakter med sine ansatte. Dette bør være i samsvar med kontrollene 5.20, 6.2, 6.4 og 6.6.
Organisasjoner bør være forsiktige mot misfornøyde ansatte som blir permittert av ledelsen fordi de kan skade informasjonssystemer med vilje.
Hvis organisasjoner bestemmer seg for å bruke kloningsteknikkene for å gi tilgangsrettigheter, bør de utføre det på grunnlag av distinkte roller etablert av organisasjonen.
Det bør bemerkes at kloning kommer med den iboende risikoen for å gi overdreven tilgangsrettigheter.
Administrer all samsvarskontroll, alt på ett sted
ISMS.online støtter over 100 standarder og forskrifter, og gir deg én enkelt plattform for alle dine samsvarsbehov.
Endringer og forskjeller fra ISO 27002:2013
27002:2022/5.18 erstatter 27002:2013/(9.2.2, 9.2.5, 9.2.6).
2022-versjonen inneholder mer omfattende krav for tildeling og tilbakekall av tilgangsrettigheter
Selv om Control 9.2.2 i 2013-versjonen listet opp seks krav for å tildele og tilbakekalle tilgangsrettigheter, introduserer Control 5.18 i 2022-versjonen tre nye krav i tillegg til disse seks kravene:
- Personell eller annet personale som jobber for organisasjonen midlertidig kan gis midlertidige tilgangsrettigheter. Disse rettighetene bør tilbakekalles når de ikke lenger utfører arbeid for organisasjonen.
- Fjerning eller endring av fysiske eller logiske tilgangsrettigheter kan utføres via følgende metoder: Fjerning eller erstatning av nøkler, ID-kort eller autentiseringsinformasjon.
- Endringer i en brukers fysiske og logiske tilgangsrettigheter skal logges og vedlikeholdes.
2013-versjonen inneholder mer detaljerte krav til privilegerte tilgangsrettigheter
Kontroll 9.5 i versjon 2013 sa eksplisitt at organisasjoner skulle gjennomgå autorisasjonen for privilegerte tilgangsrettigheter med hyppigere intervaller enn andre tilgangsrettigheter. Kontroll 5.18 i versjon 2022 inneholdt tvert imot ikke dette kravet.
Nye ISO 27002 kontroller
| ISO/IEC 27002:2022 kontrollidentifikator | ISO/IEC 27002:2013 kontrollidentifikator | Kontrollnavn |
|---|---|---|
| 5.7 | NEW | Trusselintelligens |
| 5.23 | NEW | Informasjonssikkerhet for bruk av skytjenester |
| 5.30 | NEW | IKT-beredskap for forretningskontinuitet |
| 7.4 | NEW | Fysisk sikkerhetsovervåking |
| 8.9 | NEW | Konfigurasjonsstyring |
| 8.10 | NEW | Sletting av informasjon |
| 8.11 | NEW | Datamaskering |
| 8.12 | NEW | Forebygging av datalekkasje |
| 8.16 | NEW | Overvåking av aktiviteter |
| 8.23 | NEW | Web-filtrering |
| 8.28 | NEW | Sikker koding |
| ISO/IEC 27002:2022 kontrollidentifikator | ISO/IEC 27002:2013 kontrollidentifikator | Kontrollnavn |
|---|---|---|
| 6.1 | 07.1.1 | Screening |
| 6.2 | 07.1.2 | Vilkår og betingelser for ansettelsen |
| 6.3 | 07.2.2 | Informasjonssikkerhetsbevissthet, utdanning og opplæring |
| 6.4 | 07.2.3 | Disiplinær prosess |
| 6.5 | 07.3.1 | Ansvar etter oppsigelse eller endring av arbeidsforhold |
| 6.6 | 13.2.4 | Avtaler om konfidensialitet eller taushetsplikt |
| 6.7 | 06.2.2 | Fjernarbeid |
| 6.8 | 16.1.2, 16.1.3 | Informasjonssikkerhet hendelsesrapportering |
| ISO/IEC 27002:2022 kontrollidentifikator | ISO/IEC 27002:2013 kontrollidentifikator | Kontrollnavn |
|---|---|---|
| 7.1 | 11.1.1 | Fysiske sikkerhetsomkretser |
| 7.2 | 11.1.2, 11.1.6 | Fysisk inngang |
| 7.3 | 11.1.3 | Sikring av kontorer, rom og fasiliteter |
| 7.4 | NEW | Fysisk sikkerhetsovervåking |
| 7.5 | 11.1.4 | Beskyttelse mot fysiske og miljømessige trusler |
| 7.6 | 11.1.5 | Arbeid i sikre områder |
| 7.7 | 11.2.9 | Oversiktlig skrivebord og oversiktlig skjerm |
| 7.8 | 11.2.1 | Utstyrsplassering og beskyttelse |
| 7.9 | 11.2.6 | Sikkerhet av eiendeler utenfor lokaler |
| 7.10 | 08.3.1, 08.3.2, 08.3.3, 11.2.5 | Lagringsmedier |
| 7.11 | 11.2.2 | Støtteverktøy |
| 7.12 | 11.2.3 | Kablingssikkerhet |
| 7.13 | 11.2.4 | Vedlikehold av utstyr |
| 7.14 | 11.2.7 | Sikker avhending eller gjenbruk av utstyr |
Hvordan ISMS.online hjelper
ISMS.online er en skybasert plattform som tilbyr assistanse til å implementere ISO 2702-standarden effektivt og kostnadseffektivt.
Den gir organisasjoner enkel tilgang til oppdatert informasjon om deres overholdelsesstatus til enhver tid gjennom det brukervennlige dashboard-grensesnittet som lar ledere overvåke fremdriften mot å oppnå samsvar raskt og enkelt.
Ta kontakt i dag for å bestill en demo.
