Formål med kontroll 8.2
Ondsinnet eller feil bruk av forhøyede systemadministratorrettigheter er en av hovedårsakene til IKT-avbrudd på tvers av kommersielle nettverk over hele verden.
Privilegerte tilgangsrettigheter lar organisasjoner kontrollere tilgangen til deres infrastruktur, applikasjoner, eiendeler og opprettholde integriteten til alle lagrede data og systemer.
Kontroll 8.2 er en forebyggende kontroll Det opprettholder risiko ved å etablere en autorisasjon prosess som håndterer alle forespørsler om tilgang på tvers av en organisasjons IKT-nettverk og tilhørende eiendeler.
Attributttabell for kontroll 8.2
| Kontrolltype | Informasjonssikkerhetsegenskaper | Konsepter for cybersikkerhet | Operasjonelle evner | Sikkerhetsdomener |
|---|---|---|---|---|
| #Forebyggende | #Konfidensialitet | #Beskytte | #Identitets- og tilgangsadministrasjon | #Beskyttelse |
| #Integritet | ||||
| #Tilgjengelighet |
Eierskap til kontroll 8.2
Kontroll 8.6 omhandler en organisasjonens evne til å kontrollere tilgang til data via brukerkontoer som har utvidede tilgangsrettigheter.
Som sådan bør eierskapet ligge hos IT-sjefen (eller tilsvarende organisatorisk), som innehar ansvar for organisasjonens muligheten til å administrere og overvåke privilegerte domene- eller applikasjonsbrukerkontoer.
ISO 27001 gjort enkelt
Et forsprang på 81 % fra dag én
Vi har gjort det harde arbeidet for deg, og gir deg 81 % forsprang fra det øyeblikket du logger på. Alt du trenger å gjøre er å fylle ut de tomme feltene.
Generell veiledning om kontroll 8.2
Kontroll 8.2 skisserer 12 hovedveiledningspunkter som organisasjoner trenger å følge, i samsvar med en "emnespesifikk" policy for tilgangskontroll (se kontroll 5.15) som retter seg mot individuelle forretningsfunksjoner.
Organisasjoner bør:
- Identifiser en liste over brukere som krever noen grad av privilegert tilgang – enten for et individuelt system – for eksempel en database – applikasjon, eller underliggende OS.
- Opprettholde en policy som tildeler privilegerte tilgangsrettigheter til brukere på det som kalles "hendelse for hendelse" – brukere bør gis tilgangsnivåer basert på det minste minimum som kreves for at de skal kunne utføre rollen sin.
- Skissere en klar autorisasjonsprosess som omhandler alle forespørsler om privilegert tilgang, inkludert føring av alle tilgangsrettigheter som er implementert.
- Sørg for at tilgangsrettigheter er underlagt relevante utløpsdatoer.
- Ta skritt for å sikre at brukerne er det eksplisitt klar over av enhver tidsperiode der de opererer med privilegert tilgang til et system.
- Der det er relevant, blir brukerne bedt om å autentisere seg på nytt før de bruker privilegerte tilgangsrettigheter, for å påvirke større informasjons-/datasikkerhet.
- Gjennomfør periodiske revisjoner av privilegerte tilgangsrettigheter, spesielt etter en periode med organisatoriske endringer. Brukernes tilgangsrettigheter bør vurderes basert på deres "plikter, roller, ansvar og kompetanse" (se kontroll 5.18).
- Vurder å operere med det som er kjent som en "knusglass"-prosedyre – dvs. å sikre at privilegerte tilgangsrettigheter gis innenfor strengt kontrollerte tidsvinduer som oppfyller minimumskravene for en operasjon som skal utføres (kritiske endringer, systemadministrasjon osv.).
- Sørg for at alle aktiviteter med privilegert tilgang logges tilsvarende.
- Forhindre bruk av generisk systempåloggingsinformasjon (spesielt standardiserte brukernavn og passord) (se Kontroll 5.17).
- Hold deg til en policy om å tildele brukere en egen identitet, som gir mulighet for strengere kontroll over privilegerte tilgangsrettigheter. Slike identiteter kan deretter grupperes sammen, med den tilknyttede gruppen tildelt ulike nivåer av tilgangsrettigheter.
- Sørg for at privilegerte tilgangsrettigheter kun er reservert for kritiske oppgaver, som er knyttet til fortsatt drift av et fungerende IKT-nettverk – som systemadministrasjon og nettverksvedlikehold.
Støttekontroller
- 5.15
Frigjør deg fra et fjell av regneark
Bygg inn, utvid og skaler samsvarsstyringen din uten rot. IO gir deg robustheten og selvtilliten til å vokse sikkert.
Endringer og forskjeller fra ISO 27002:2013
Kontroll 27002:2022-8.2 erstatter 27002:2013-9.2.3 (Administrasjon av privilegerte tilgangsrettigheter).
27002:2022-8.2 inneholder 5 viktige veiledningspunkter som ikke er eksplisitte i 2013-motstykket:
- 27002:2022-8.2 krever ikke eksplisitt en annen bruker-ID for privilegerte tilgangsrettigheter.
- 27002:2022-8.2 understreker behovet for å autentisere på nytt før du mottar privilegerte tilgangsrettigheter.
- 27002:2022-8.2 tar til orde for en knuseglasstilnærming når du utfører kritiske vedlikeholdsoppgaver, basert på tett kontrollerte tidsvinduer.
- 27002:2022-8.2 ber organisasjoner om å føre grundige privilegerte tilgangslogger, for revisjonsformål.
- 27002:2022-8.2 ber organisasjoner om å begrense bruken av privilegerte tilgangsrettigheter til administrative oppgaver.
Nye ISO 27002 kontroller
| ISO/IEC 27002:2022 kontrollidentifikator | ISO/IEC 27002:2013 kontrollidentifikator | Kontrollnavn |
|---|---|---|
| 5.7 | NEW | Trusselintelligens |
| 5.23 | NEW | Informasjonssikkerhet for bruk av skytjenester |
| 5.30 | NEW | IKT-beredskap for forretningskontinuitet |
| 7.4 | NEW | Fysisk sikkerhetsovervåking |
| 8.9 | NEW | Konfigurasjonsstyring |
| 8.10 | NEW | Sletting av informasjon |
| 8.11 | NEW | Datamaskering |
| 8.12 | NEW | Forebygging av datalekkasje |
| 8.16 | NEW | Overvåking av aktiviteter |
| 8.23 | NEW | Web-filtrering |
| 8.28 | NEW | Sikker koding |
| ISO/IEC 27002:2022 kontrollidentifikator | ISO/IEC 27002:2013 kontrollidentifikator | Kontrollnavn |
|---|---|---|
| 6.1 | 07.1.1 | Screening |
| 6.2 | 07.1.2 | Vilkår og betingelser for ansettelsen |
| 6.3 | 07.2.2 | Informasjonssikkerhetsbevissthet, utdanning og opplæring |
| 6.4 | 07.2.3 | Disiplinær prosess |
| 6.5 | 07.3.1 | Ansvar etter oppsigelse eller endring av arbeidsforhold |
| 6.6 | 13.2.4 | Avtaler om konfidensialitet eller taushetsplikt |
| 6.7 | 06.2.2 | Fjernarbeid |
| 6.8 | 16.1.2, 16.1.3 | Informasjonssikkerhet hendelsesrapportering |
| ISO/IEC 27002:2022 kontrollidentifikator | ISO/IEC 27002:2013 kontrollidentifikator | Kontrollnavn |
|---|---|---|
| 7.1 | 11.1.1 | Fysiske sikkerhetsomkretser |
| 7.2 | 11.1.2, 11.1.6 | Fysisk inngang |
| 7.3 | 11.1.3 | Sikring av kontorer, rom og fasiliteter |
| 7.4 | NEW | Fysisk sikkerhetsovervåking |
| 7.5 | 11.1.4 | Beskyttelse mot fysiske og miljømessige trusler |
| 7.6 | 11.1.5 | Arbeid i sikre områder |
| 7.7 | 11.2.9 | Oversiktlig skrivebord og oversiktlig skjerm |
| 7.8 | 11.2.1 | Utstyrsplassering og beskyttelse |
| 7.9 | 11.2.6 | Sikkerhet av eiendeler utenfor lokaler |
| 7.10 | 08.3.1, 08.3.2, 08.3.3, 11.2.5 | Lagringsmedier |
| 7.11 | 11.2.2 | Støtteverktøy |
| 7.12 | 11.2.3 | Kablingssikkerhet |
| 7.13 | 11.2.4 | Vedlikehold av utstyr |
| 7.14 | 11.2.7 | Sikker avhending eller gjenbruk av utstyr |
Hvordan ISMS.online hjelper
ISO 27002, kontroll 6.6, dekker behovet for organisasjoner for å forhindre lekkasje av konfidensiell informasjon ved å etablere konfidensialitetsavtaler med interesserte parter og personell.
Vår skybaserte plattform gir et komplett sett med verktøy for å hjelpe organisasjoner med å sette opp en styringssystem for informasjonssikkerhet (ISMS) iht ISO 27002.
Disse verktøyene inkluderer:
- Et bibliotek med maler for vanlige bedriftsdokumenter.
- Et sett med forhåndsdefinerte retningslinjer og prosedyrer.
- Et revisjonsverktøy for å støtte internrevisjoner.
- Et konfigurasjonsgrensesnitt for tilpasning ISMS-retningslinjer og prosedyrer.
- En godkjenningsarbeidsflyt for alle endringer som er gjort i retningslinjer og prosedyrer.
- En sjekkliste for å sikre at dine retningslinjer og informasjonssikkerhetsprosesser følger de godkjente internasjonale standardene.
ISMS.Online lar også brukere:
- Administrer alle aspekter av ISMS livssyklus med letthet.
- Få sanntidsinnsikt i deres sikkerhetsstilling og samsvarshull.
- Integrer med andre systemer som HR, økonomi og prosjektledelse.
- Demonstrere etterlevelse av deres ISMS med ISO 27001 standarder.
ISMS.Online-verktøyet gir også veiledning om hvordan du best implementerer ISMS ved å gi tips om hvordan du oppretter retningslinjer og prosedyrer knyttet til aspekter som risikostyring, opplæring i bevisstgjøring av personellsikkerhet og planlegging av hendelser.
