ISO 27002:2022, Kontroll 8.5 – Sikker autentisering

Eierskap til kontroll 8.5

Kontroll 8.5 omhandler en organisasjons evne til å kontrollere tilgangen til nettverket sitt (og informasjonen og dataene som finnes i) ved kritiske veikryss, for eksempel en påloggingsgateway.

Mens kontrollen omhandler informasjons- og datasikkerhet som et bredere begrep, er den operative veiledningen først og fremst av teknisk karakter.

Som sådan bør eierskapet ligge hos IT-sjefen (eller tilsvarende organisatorisk), som innehar ansvar for organisasjonens daglige IT-administrasjonsfunksjoner.

Generell veiledning om kontroll 8.5

Kontroll 8.5 ber organisasjoner om å vurdere autentiseringskontroller som er relevante for typen og sensitiviteten til dataene og nettverket som blir aksessert, inkludert:

• Multifaktorautentisering (MFA)
• Digitale sertifikater
• Smart tilgangskontroll (smartkort)
• Biometriske pålogginger
• Sikre tokens

Det overordnede målet for en organisasjons sikre autentiseringskontroller bør være å forhindre og/eller minimere risikoen for uautorisert tilgang til sine beskyttede systemer.

For å oppnå dette skisserer Kontroll 8.5 12 hovedveiledningspunkter. Organisasjoner bør:

1. Begrens visningen av informasjon til etter et vellykket autentiseringsforsøk.
2. Vis en advarsel før-pålogging som tydelig sier at informasjon kun skal nås av autoriserte brukere.
3. Minimer hjelpen den gir til uautentiserte brukere som prøver å få tilgang til systemet, f.eks. bør organisasjoner ikke røpe hvilken spesifikk del av et påloggingsforsøk som er feil, for eksempel et biometrisk aspekt ved en MFA-pålogging, og i stedet bare si at påloggingsforsøket har mislyktes .
4. Valider påloggingsforsøket kun når all nødvendig informasjon er gitt til påloggingstjenesten, for å opprettholde sikkerheten.
5. Implementer industristandard sikkerhetstiltak som beskytter mot generell tilgang og/eller brute force-angrep på påloggingsportaler. Disse tiltakene kan omfatte:
• CAPTCHA kontroller
• Tvinger tilbakestilling av passord etter et bestemt antall mislykkede påloggingsforsøk
• Forhindrer ytterligere påloggingsforsøk etter et forhåndsdefinert antall mislykkede forsøk
6. Registrerer alle mislykkede påloggingsforsøk for revisjons- og sikkerhetsformål, inkludert bruk i straffesaker og/eller reguleringssaker.
7. Å starte en sikkerhetshendelse hver gang det oppdages et større påloggingsavvik, for eksempel et oppfattet inntrenging. I disse tilfellene bør alt relevant internt personell varsles, spesielt de med systemadministratortilgang eller evne til å bekjempe ondsinnede påloggingsforsøk.
8. Etter å ha validert en pålogging, videresend visse deler av informasjonen til en separat datakilde som viser:
• Dato og klokkeslett for forrige vellykkede pålogging
• En liste over alle påloggingsforsøk siden siste validerte pålogging
9. Vis passord som stjerne (eller lignende abstrakte symboler), der det ikke er nødvendig å ikke gjøre det (f.eks. brukertilgjengelighet).
10. Forby strengt deling av eller visning av passord som klar, lesbar tekst.
11. Oppretthold en policy for å avslutte sovende påloggingsøkter etter en bestemt tidsperiode. Dette er spesielt relevant for økter som er aktive på steder med høy risiko (eksterne arbeidsmiljøer) eller på brukerleverte eiendeler som personlige bærbare datamaskiner eller mobiltelefoner.
12. Begrense hvor lang tid en autentisert sesjon kan forbli åpen – selv når den er aktiv – i forhold til informasjonen som får tilgang til (dvs. forretningskritisk informasjon eller økonomisk sensitive applikasjoner).

Veiledning – Biometriske pålogginger

ISO anbefaler at på grunn av en rekke faktorer knyttet til effektiviteten og integriteten til biometriske påloggingsprosesser fremfor tradisjonelle mål (passord, MFA, tokens etc.), biometriske autentiseringsmetoder bør ikke brukes isolert, og ledsaget av minst én annen påloggingsteknikk.

Endringer og forskjeller fra ISO 27002:2013

27002:2022-8.5 erstatter 27002:2014-9.4.2 (Sikker påloggingsprosedyre).

27002:2022-8.5 inneholder samme 12 veiledningspunkter som motparten fra 2013, med mindre justeringer av ordlyden, og følger samme sett med underliggende sikkerhetsprinsipper.

I tråd med fremveksten av MFA og biometriske påloggingsteknologier det siste tiåret, inneholder 27002:2022-8.5 eksplisitt veiledning om bruken av begge teknikkene som organisasjoner bør vurdere når de formulerer sitt eget sett med påloggingskontroller.

Hvordan ISMS.online hjelper

Vår skybaserte plattform gir deg et robust rammeverk av informasjonssikkerhetskontroller slik at du kan sjekkliste ISMS-prosessen din mens du går for å sikre at den oppfyller kravene til ISO 27000k. Brukt riktig, ISMS. online kan hjelpe deg med oppnå sertifisering med et minimum av tid og ressurser.

Ta kontakt i dag for å bestill en demo.