ISO 27002:2022, Kontroll 8.3 – Begrensning av informasjonstilgang

Generell veiledning om kontroll 8.3

For å opprettholde effektiv kontroll over informasjon og IKT-ressurser, og til støtte for tilgangsbegrensende tiltak, bør organisasjoner sørge for følgende i tråd med a emnespesifikk tilnærming til informasjonstilgang:

1. Forhindre anonym tilgang til informasjon, inkludert vidtrekkende offentlig tilgang.
• Der offentlig eller tredjeparts tilgang gis, bør organisasjoner sikre at tilgangen ikke omfatter sensitive eller forretningskritiske data.

2. Operer med tilstrekkelige vedlikeholdstiltak som kontrollerer systemtilgang, og eventuelle tilknyttede forretningsapplikasjoner eller prosesser.
3. Dikter datatilgang på bruker-for-bruker-basis.
4. Spesifiser datatilgangsrettigheter mellom grupper som validerer spesifikke dataoperasjoner, for eksempel lese, skrive, slette og utføre.
5. Behold muligheten til å partisjonere forretningskritiske prosesser og applikasjoner ved hjelp av en rekke fysiske og digitale tilgangskontroller.

Veiledning – Dynamic Access Management

Kontroll 8.3 tar til orde for en dynamisk tilnærming til informasjonstilgang.

Dynamisk tilgangsadministrasjon har mange gjenværende fordeler for organisasjonsprosesser som har behovet for å dele eller bruke interne data med eksterne brukere, inkludert raskere hendelsesløsningstider.

Dynamisk tilgang ledelsesteknikker beskytter et bredt spekter av informasjon typer, fra standarddokumenter til e-poster og databaseinformasjon, og har muligheten til å brukes på en detaljert fil-for-fil-basis, noe som muliggjør tett kontroll av data på organisasjonsnivå.

Organisasjoner bør vurdere en slik tilnærming når:

1. Krever granulær kontroll over hva menneskelige og ikke-menneskelige brukere kan få tilgang til slik informasjon til enhver tid.
2. Behovet for å dele informasjon med eksterne parter (som leverandører eller reguleringsorganer) oppstår.
3. Vurderer en "sanntids"-tilnærming til dataadministrasjon og distribusjon som involverer overvåking og styring av databruk etter hvert som den oppstår.
4. Sikring av informasjon mot uautoriserte endringer, deling eller utskrift (utskrift osv.).
5. Overvåking av tilgang til og endring av informasjon, spesielt når den aktuelle informasjonen er av sensitiv karakter.

Dynamisk tilgangsadministrasjon er spesielt nyttig for organisasjoner som trenger å overvåke og beskytte data fra opprettelse til sletting, inkludert:

1. Skissere en brukstilfelle (eller serie med brukstilfeller) som bruker datatilgangsregler basert på følgende variabler:
• Identitet
• Enhet
• Sted
• Søknad
2. Skisserer en prosess som dekker av drift og overvåking av data, og etablere en grundig rapporteringsprosess som igjen er informert av en god teknisk infrastruktur.

Alle anstrengelser for å formulere en dynamisk tilgangsstyringsmetode bør resultere i data blir beskyttet by:

1. Å sikre at tilgang til data er sluttresultatet av en vellykket autentiseringsprosess.
2. En grad av begrenset tilgang, basert på datatypen og dens evnepåvirkning Forretnings kontinuitet.
3. Kryptering.
4. Utskriftstillatelser.
5. Grundig revisjonslogger som registrerer hvem som har tilgang til data, og hvordan disse dataene brukes.
6. En varslingsprosedyre som markerer upassende databruk, inkludert (men ikke begrenset til) uautorisert tilgang og distribusjon, og forsøk på sletting.

Endringer og forskjeller fra ISO 27002:2013

27002:2022-8.3 replaces 27002:2013-9.4.1 (Informasjonstilgangsbegrensning), og representerer et stort skifte i hvordan ISO vurderer informasjonstilgangsstyring i samsvar med den nevnte dynamiske tilnærmingen (en teknikk som ikke er nevnt i 27002:2013-9.4.1)

27002:2022-8.3 inneholder en stor mengde veiledningsnotater knyttet til dynamisk tilgangsstyring som er fraværende fra 2013-motparten, og organisasjoner anbefales å vurdere disse på et emne-for-emne-basis når de søker sertifisering.

Hvordan ISMS.online hjelper

ISMS.Online er den ledende ISO 27002 styringssystemprogramvaren som støtter samsvar med ISO 27002, og hjelper bedrifter med å tilpasse sine sikkerhetspolicyer og prosedyrer med standarden.

Den skybaserte plattformen gir et komplett sett med verktøy for å hjelpe organisasjoner med å sette opp en styringssystem for informasjonssikkerhet (ISMS) i henhold til ISO 27002.

Vår plattform har blitt designet fra bunnen av med hjelp av informasjonssikkerhetseksperter fra hele verden, og vi har utviklet den på en måte som gjør det enkelt for personer uten teknisk kunnskap om styringssystemer for informasjonssikkerhet (ISMS) å bruke det.

Ta kontakt i dag for å bestill en demo.