ISO 27001 – Liite A.9: Kulunvalvonta

Mikä on liite A.9?

Liite A.9 koskee kulunvalvontamenettelyjä. Liitteen A.9 tavoitteena on turvata tiedon saatavuus ja varmistaa, että työntekijät näkevät vain heidän työhönsä liittyvät tiedot. Tämä opas opastaa sinut läpi kaiken, mitä sinun tarvitsee tietää liitteestä A.9.

Liite A.9 on jaettu neljään osaan, ja sinun on käsiteltävä jokainen osa. Ne ovat kulunvalvonta, käyttäjien käyttöoikeuksien hallinta, käyttäjien vastuut ja sovellusten käyttöoikeudet.

Mikä on liitteen A.9.1 tavoite?

Liite A.9.1 koskee kulunvalvontaa koskevia liiketoimintavaatimuksia. Tämän liitteen A valvonnan tavoitteena on rajoittaa pääsyä tietoihin ja tietojenkäsittelylaitteisiin.

Se on tärkeä osa tietoturvan hallintajärjestelmää (ISMS), varsinkin jos haluat saavuttaa ISO 27001 -sertifikaatin. Ymmärrämme nämä vaatimukset ja mitä ne tarkoittavat hieman syvemmällä.

A.9.1.1 Kulunvalvontakäytäntö

Kulunvalvontapolitiikka on laadittava, dokumentoitava ja tarkistettava säännöllisesti ottaen huomioon liiketoiminnan vaatimukset soveltamisalaan kuuluville omaisuuserille.

Kulunvalvontasääntöjen, -oikeuksien ja -rajoitusten sekä käytettävien kontrollien syvyyden tulee heijastaa tietoa ympäröivät tietoturvariskit ja organisaation halu hallita niitä. Yksinkertaisesti sanottuna kulunvalvonta tarkoittaa sitä, kenen on tiedettävä, kenen on käytettävä ja kuinka paljon he saavat pääsyn.

Kulunvalvonta voi olla luonteeltaan digitaalista ja fyysistä, esimerkiksi käyttäjätilien käyttöoikeusrajoitukset sekä rajoitukset sille, kuka voi käyttää tiettyjä fyysisiä paikkoja (liitteen A.11 Fyysinen ja ympäristöturvallisuus mukaisesti). Politiikassa tulee ottaa huomioon:

• Yrityssovellusten tietoturvavaatimukset ja yhdenmukaisuus käytössä olevan A.8 Asset Managementin mukaisen tietojen luokitusjärjestelmän kanssa;
• Selvitä, kenen on päästävä käsiksi, tietää, kenen on käytettävä tietoja – dokumentoidut menettelyt ja vastuut tukevat;
• Käyttöoikeuksien ja etuoikeutettujen käyttöoikeuksien hallinta (enemmän valtaa – katso alla), mukaan lukien elämänmuutosten lisääminen (esim. pääkäyttäjät/järjestelmänvalvojat) ja säännölliset tarkistukset (esim. säännöllisillä sisäisillä auditoinneilla vaatimuksen 9.2 mukaisesti).
• Kulunvalvontasääntöjä olisi tuettava muodollisilla menettelyillä ja määritellyillä vastuilla.

Kulunvalvontaa on tarkistettava rooleissa tapahtuvien muutosten perusteella ja erityisesti poistumisen aikana, jotta se vastaa liitteen A.7 Henkilöstöturvallisuus.

A.9.1.2 Pääsy verkkoihin ja verkkopalveluihin

Vähiten pääsyn periaate on yleinen lähestymistapa, jota suositaan suojelun kannalta, eikä rajoittamatonta pääsyä ja pääkäyttäjän oikeuksia ilman huolellista harkintaa.

Tällaisten käyttäjien pitäisi saada pääsy vain verkkoon ja verkkopalveluihin, joita he tarvitsevat työssään tai joista he tarvitsevat tietoa. Politiikassa on siksi käsiteltävä; Verkot ja verkkopalvelut, joihin pääsy on mahdollista; Valtuutusmenettelyt sen osoittamiseksi, kuka (rooliperusteinen) saa käyttää mitä ja milloin; ja Johdon valvonta ja menettelyt pääsyn estämiseksi ja sen valvomiseksi elämässä.

Tämä on myös otettava huomioon käyttöönotto- ja poistumisvaiheessa, ja se liittyy läheisesti itse kulunvalvontakäytäntöön.

Mikä on liitteen A.9.2 tavoite?

Liite A.9.2 koskee käyttäjien käyttöoikeuksien hallintaa. Tämän liitteen A valvonnan tavoitteena on varmistaa käyttäjillä pääsy järjestelmiin ja palveluihin sekä estää luvaton pääsy.

A.9.2.1 Käyttäjän rekisteröinti ja rekisteröinnin poistaminen

Muodollinen käyttäjien rekisteröinti- ja poistoprosessi on toteutettava. Hyvä prosessi käyttäjätunnusten hallintaan sisältää yksittäisten tunnuksien yhdistämisen oikeisiin ihmisiin ja jaettujen käyttötunnusten rajoittamisen, jotka tulee hyväksyä ja tallentaa.

Hyvä pääsy- ja poistumisprosessi yhdistyy A7 Human Resource Securityn kanssa, mikä näyttää nopean ja selkeän rekisteröinnin/rekisteröinnin poistamisen sekä vanhojen henkilötodistusten uudelleen myöntämisen välttämisen. Tunnusten säännöllinen tarkistaminen osoittaa hyvää hallintaa ja vahvistaa jatkuvaa hallintaa.

Tämä voidaan yhdistää yllä mainittuihin sisäisiin tarkastuksiin kulunvalvontatarkastuksia varten ja tietoresurssien tai käsittelysovellusten omistajien säännöllisin väliajoin.

A.9.2.2 Käyttäjien käyttöoikeuksien hallinta

Prosessi (vaikkakin yksinkertainen ja dokumentoitu) on toteutettava kaikkien käyttäjätyyppien käyttöoikeuksien myöntämiseksi tai peruuttamiseksi kaikkiin järjestelmiin ja palveluihin. Hyvin tehtynä se liittyy yllä oleviin kohtiin sekä laajempaan HR Security -työhön.

Käyttöönotto- ja peruutusprosessiin tulisi kuulua; Tietojärjestelmän tai palvelun omistajan valtuutus tietojärjestelmän tai palvelun käyttöön; Varmistetaan, että myönnetty käyttöoikeus on olennainen tehtävän roolin kannalta; ja suojautuminen hallintaan, joka tehdään ennen valtuutuksen valmistumista.

Käyttäjien pääsyn tulee aina olla yritysjohtoista ja pääsyn tulee perustua yrityksen vaatimuksiin. Tämä saattaa kuulostaa byrokraattiselta, mutta sen ei tarvitse olla, ja tehokkaat yksinkertaiset menettelyt, joissa järjestelmien ja palvelujen roolipohjainen käyttöoikeus voivat ratkaista sen.

A.9.2.3 Etuoikeutettujen käyttöoikeuksien hallinta

A.9.2.3 koskee tavallisesti tehokkaampien ja korkeampien "etuoikeutettujen" käyttöoikeustasojen hallintaa, esim. järjestelmän hallintaoikeuksia verrattuna normaaleihin käyttöoikeuksiin.

Etuoikeutettujen käyttöoikeuksien jakamista ja käyttöä on valvottava tiukasti ottaen huomioon tietoresursseihin ja niitä hallitseviin järjestelmiin tavallisesti siirretyt lisäoikeudet. Esimerkiksi kyky poistaa työtä tai vaikuttaa olennaisesti tiedon eheyteen. Sen tulisi olla linjassa muodollisten valtuutusprosessien kanssa kulunvalvontapolitiikan ohella.

Se voisi sisältää; järjestelmäkohtainen selkeys etuoikeutetuista käyttöoikeuksista (joita voidaan hallita sovelluksen sisällä); jakaminen tarpeen mukaan, ei yleislähestymistapa; Prosessi ja kirjaa kaikista myönnetyistä oikeuksista tulisi ylläpitää (tietovarainventaarion rinnalla tai osana A.9-todistusta; ja oikeudet saaneiden käyttäjien pätevyys on tarkistettava säännöllisesti, jotta se vastaa heidän tehtäviään.

Tämä on toinen hyvä alue sisällyttää sisäiseen tarkastukseen valvonnan osoittamiseksi.

Yksi suurimmista tekijöistä, jotka vaikuttavat järjestelmien häiriöihin tai rikkomuksiin, on järjestelmän järjestelmänvalvojan oikeuksien epäasianmukainen ja yleinen käyttö inhimillisillä virheillä, mikä johtaa enemmän vahinkoihin tai menetyksiin kuin jos käytettäisiin "pienimmän pääsyn" lähestymistapaa.

Muita tähän osa-alueeseen liittyviä hyviä käytäntöjä ovat järjestelmänvalvojan roolin erottaminen päivittäisestä käyttäjäroolista ja käyttäjä, jolla on kaksi tiliä, jos he tekevät eri tehtäviä samalla alustalla.

A.9.2.4 Käyttäjien salaisten todennustietojen hallinta

Salaiset todennustiedot ovat portti arvokkaaseen omaisuuteen. Se sisältää yleensä salasanoja, salausavaimia jne., joten sitä on valvottava muodollisen hallintaprosessin kautta ja se on pidettävä luottamuksellisina käyttäjälle.

Tämä on yleensä sidottu työsopimuksiin ja kurinpitoprosesseihin (A.7) ja toimittajavelvoitteisiin (A13.2.4 ja A.15), jos se jaetaan ulkopuolisten osapuolten kanssa.

Olisi luotava menettelyt käyttäjän henkilöllisyyden tarkistamiseksi ennen uusien, korvaavien tai väliaikaisten salaisten todennustietojen antamista. Kaikki uuden järjestelmän käytön yhteydessä annetut oletusarvoiset salaiset todennustiedot tulee muuttaa mahdollisimman pian.

A.9.2.5 Käyttäjien käyttöoikeuksien tarkastelu

Omaisuuden omistajien on tarkistettava käyttäjien käyttöoikeudet säännöllisin väliajoin, niin yksittäisten muutosten (pääsy, roolin vaihto ja poistuminen) kuin laajempien järjestelmien käyttöoikeuksien tarkastamisen yhteydessä.

Etuoikeutettujen käyttöoikeuksien luvat olisi tarkistettava useammin, koska ne ovat riskialttiita. Tämä liittyy sisäisten tarkastusten kohtaan 9.2, ja se tulisi tehdä vähintään kerran vuodessa tai kun tapahtuu suuria muutoksia.

A.9.2.6 Käyttöoikeuksien poistaminen tai muuttaminen

Kuten edellä on todettu, kaikkien työntekijöiden ja ulkopuolisten käyttäjien pääsyoikeudet tietoihin ja tietojenkäsittelypalveluihin on poistettava heidän työsuhteensa, sopimuksensa tai sopimuksensa päättyessä (tai tarvittaessa mukautettava roolin vaihtuessa).

Hyvä irtautumiskäytäntö ja -menettelyt, jotka on sovitettu yhteen A.7:n kanssa, varmistavat myös, että tämä saavutetaan ja osoitetaan tarkastustarkoituksiin, kun ihmiset lähtevät.

Mikä on liitteen A.9.3 tavoite?

Liite A.9.3 koskee käyttäjien vastuita. Tämän liitteen A valvonnan tavoitteena on saada käyttäjät vastuuseen todennustietojensa suojaamisesta.

A.9.3.1 Salaisten todennustietojen käyttö

Tarkoituksena on vain varmistaa, että käyttäjät noudattavat käytäntöjä ja sitoutuvat siten A7 Human Resource Securityn sopimuksiin, käyttäjien tietoisuuden ja vaatimustenmukaisuuden koulutukseen sekä terveen järjen käytäntöihin.

Näitä ovat: Pidä kaikki salaiset todennustiedot luottamuksellisina; Vältä pitämään siitä kirjaa, johon luvattomat osapuolet voivat päästä käsiksi. Muuta sitä aina, kun on ehdotuksia mahdollisesta kompromissista; Valitse laadukkaat salasanat, joiden vähimmäispituus ja vahvuus on riittävän laajempia liitteen A.9.4 salasanakäytäntöjen hallintaa varten.

Mikä on liitteen A.9.4 tavoite?

Liite A.9.4 koskee järjestelmän ja sovellusten pääsynhallintaa. Tämän liitteen A valvonnan tavoitteena on estää luvaton pääsy järjestelmiin ja sovelluksiin.

A.9.4.1 Tietojen pääsyn rajoitus

Pääsy tietoihin ja sovellusjärjestelmän toimintoihin on sidottava kulunvalvontakäytäntöön. Tärkeimpiä huomioita tulisi olla:

Näitä ovat muun muassa:

• Role-based access control (RBAC);
• Käyttöoikeustasot;
• "Valikko"-järjestelmien suunnittelu sovelluksissa;
• Luku-, kirjoitus-, poistamis- ja suoritusoikeudet;
• Tiedon tuoton rajoittaminen; ja
• Fyysinen ja/tai looginen pääsynhallinta arkaluonteisiin sovelluksiin, tietoihin ja järjestelmiin.

Tarkastaja tarkistaa, että pääsyn rajoittamista on harkittu järjestelmissä ja sovelluksissa, jotka tukevat kulunvalvontakäytäntöjä, liiketoimintavaatimuksia, riskitasoja ja tehtävien eriyttämistä.

A.9.4.2 Suojatut kirjautumismenettelyt

Pääsyä järjestelmiin ja sovelluksiin on valvottava suojatulla sisäänkirjautumismenettelyllä käyttäjän henkilöllisyyden todistamiseksi.

Tämä voi mennä tyypillistä salasanaa pidemmälle monitekijätodennusta, biometrisiä tietoja, älykortteja ja muita salausmenetelmiä harkittuun riskiin perustuen.

Suojattu sisäänkirjautuminen on suunniteltava siten, että sitä ei voida helposti kiertää ja että kaikki todennustiedot lähetetään ja tallennetaan salattuna sieppauksen ja väärinkäytön estämiseksi.

ISO 27002 -ohjeet ovat tärkeitä tämän aiheen ympärillä, samoin kuin asiantuntijaelimet, kuten National Cyber ​​Security Center (NCSC). Lisävinkkejä ovat:

• Sisäänkirjautumismenettelyt tulee suunnitella siten, että niitä ei voida helposti kiertää ja että kaikki todennustiedot välitetään ja tallennetaan salattuna sieppauksen ja väärinkäytön estämiseksi.
• Sisäänkirjautumismenetelmissä tulisi myös olla näyttö, jossa ilmoitetaan, että pääsy on vain valtuutetuille käyttäjille. Tämä on suunniteltu tukemaan kyberturvallisuuslainsäädäntöä, kuten
• Computer Misuse Act 1990 (Yhdistynyt kuningaskunta).
• Sekä onnistunut että epäonnistunut sisään- ja uloskirjautuminen tulee kirjata turvallisella tavalla, jotta voidaan tarjota rikostekninen todistelu, ja hälytyksiä epäonnistuneista yrityksistä ja mahdollisista lukituksista tulee harkita.
• Järjestelmän luonteesta riippuen pääsy tulisi rajoittaa tiettyihin vuorokauden aikoihin tai tiettyihin ajanjaksoihin ja mahdollisesti jopa sijainnin mukaan.

Käytännössä liiketoiminnan tarpeiden ja vaarassa olevien tietojen pitäisi ohjata sisään- ja uloskirjautumista. Ei kannata kirjautua sisään 25 askelta, sitten nopeita aikakatkaisuja jne., jos henkilökunta ei sitten pysty tekemään työtään hyvin ja viettää suhteettoman paljon aikaa tässä silmukassa.

A.9.4.3 Salasanan hallintajärjestelmä

Salasanojen hallintajärjestelmän tarkoituksena on varmistaa, että laadukkaat salasanat vastaavat vaadittua tasoa ja niitä sovelletaan johdonmukaisesti.

Salasanojen luonti- ja hallintajärjestelmät tarjoavat hyvän tavan keskittää pääsyn hallinta ja ne vähentävät riskiä, ​​että ihmiset käyttävät samaa kirjautumistunnusta kaikkeen, kuten tässä pienessä tarinassa tapahtuu, kun asiakas ottaa yhteyttä tiimiimme unohtuneen salasanan vuoksi. !

Kuten kaikki valvontamekanismit, salasanan luonti- ja hallintajärjestelmät on otettava huolellisesti käyttöön riittävän ja oikeasuhteisen suojan varmistamiseksi.

Aina kun mahdollista, käyttäjien tulisi voida valita itse omat salasanansa, sillä ne on helpompi muistaa kuin koneella luotuja, mutta sen tulee olla vahvuudeltaan tiettyä tasoa.

Salasanojen hallintajärjestelmistä ja salasanakäytännöistä on monia ristiriitaisia ​​näkemyksiä, joten kannustamme organisaatioita tarkastelemaan usein muuttuvia parhaita käytäntöjä ja omaksumaan lähestymistapoja, jotka perustuvat organisaation riskinottohalukkuuteen ja -kulttuuriin.

Kuten edellä mainittiin, NCSC on hyvä paikka tutustua uusimpiin käytäntöihin tai vain pyytää meitä esittelemään sinulle apua jollekin kumppaneistamme.

A.9.4.4 Etuoikeutettujen apuohjelmien käyttö

Apuohjelmia, jotka voivat ohittaa järjestelmä- ja sovellusohjaukset, on hallittava huolellisesti.

Tehokkaat järjestelmä- ja verkkoapuohjelmat voivat luoda houkuttelevan kohteen haitallisille hyökkääjille, ja pääsy niihin on rajoitettava mahdollisimman pienille ihmisille. Koska tällaiset apuohjelmat voidaan helposti paikantaa ja ladata Internetistä, on myös tärkeää, että käyttäjien mahdollisuuksia asentaa ohjelmistoja rajoitetaan mahdollisimman paljon suhteessa liiketoiminnan vaatimuksiin ja riskinarviointiin. Apuohjelmien käyttö tulee kirjata lokiin ja valvoa/tarkistaa säännöllisesti tarkastajien pyyntöjen täyttämiseksi.

A.9.4.5 Ohjelman lähdekoodin pääsynhallinta

Pääsyä ohjelman lähdekoodiin on rajoitettava. Pääsyä ohjelman lähdekoodiin ja siihen liittyviin kohteisiin (kuten suunnitelmiin, spesifikaatioihin, varmennussuunnitelmiin ja validointisuunnitelmiin) tulee valvoa tiukasti.

Ohjelman lähdekoodi voi olla alttiina hyökkäyksille, jos sitä ei ole suojattu riittävästi, ja se voi tarjota hyökkääjälle hyvän tavan murtautua järjestelmiin usein piilotetulla tavalla. Jos lähdekoodi on keskeinen liiketoiminnan menestykselle, sen menetys voi myös tuhota liiketoiminnan arvon nopeasti.

Valvonnassa on otettava huomioon:

• Mahdollisimman harvoilla ihmisillä on pääsy
• Lähdekoodin pitäminen poissa käyttöjärjestelmistä (vain käännetty koodi)
• Pääsy lähdekoodiin mahdollisimman rajoitettu (estää oletuksena)
• Pääsy lähdekoodiin kirjataan ja lokit tarkistetaan säännöllisesti
• Vahvat ja tiukat muutosvalvontamenettelyt
• Säännölliset tarkastukset ja katsaukset

Miksi liite A.9 on tärkeä?

Liite A.9 on luultavasti puhutuin lauseke koko liitteessä A, ja jotkut väittävät, että se on tärkein.

Tämä johtuu siitä, että koko tietoturvan hallintajärjestelmäsi (ISMS) perustuu varmistamiseen, että oikeilla ihmisillä on pääsy oikeaan tietoon oikeaan aikaan. Sen saaminen oikein on yksi menestyksen avaimista, mutta sen tekemisellä voi olla valtava vaikutus yritykseesi.

Kuvittele, jos annoit vahingossa pääsyn työntekijöiden luottamuksellisiin tietoihin väärille ihmisille, kuten paljastat esimerkiksi, mitä kaikki yrityksen työntekijät saavat.

Tämän osan väärinkäytön seuraukset voivat olla merkittäviä, joten kannattaa käyttää riittävästi aikaa sen miettimiseen.