- tarkistettu ISO 27001:2022 Liite A 5.16 Identiteetin hallinta luo puitteet inhimillisten ja ei-inhimillisten identiteettien hyväksymiselle, rekisteröinnille ja hallinnoinnille missä tahansa verkossa – määritellään "täydelliseksi elinkaareksi".
Tietokoneverkot käyttävät identiteettejä tunnistaakseen kokonaisuuden (käyttäjän, käyttäjäryhmän, laitteen tai IT-omaisuuden) taustalla olevan kyvyn käyttää laitteisto- ja ohjelmistoresursseja.
Liitteen A 5.16 tarkoituksena on kuvata, kuinka organisaatio voi tunnistaa kuka (käyttäjät, käyttäjäryhmät) tai mitä (sovelluksia, järjestelmiä ja laitteita) käyttää tietoja tai IT-resursseja kulloinkin ja miten näille henkilöllisyyksille myönnetään käyttöoikeudet.
Ennaltaehkäisevänä toimenpiteenä liitteen A 5.16 tavoitteena on ylläpitää riskiä perustamalla pääkehä kaikki siihen liittyvä tietoturva ja kyberturvallisuustoiminnot sekä ensisijainen hallintotapa, joka määrittää organisaation identiteetin ja pääsynhallintaprosessin.
Koska ISO 27001:2022 liite A 5.16 toimii ensisijaisesti ylläpitotoiminnona, omistus olisi annettava IT-henkilöstölle, jolla on globaalin järjestelmänvalvojan oikeudet (tai vastaava muulle kuin Windows-infrastruktuurille).
Muiden sisäänrakennettujen roolien lisäksi, joiden avulla käyttäjät voivat hallita identiteettejä (kuten Domain Administrator), liitteen A 5.16 tulee olla organisaation koko verkosta vastaavan henkilön omistuksessa, mukaan lukien kaikki aliverkkotunnukset ja Active Directory -vuokralaiset.
Liitteen A 5.16 noudattaminen saavutetaan ilmaisemalla identiteettiin perustuvat menettelyt selkeästi politiikka-asiakirjoissa ja valvomalla henkilöstön noudattamista päivittäin.
Liitteessä A 5.16 on lueteltu kuusi menettelyä, joilla varmistetaan, että organisaatio täyttää vaadittavat tietoturvan ja kyberturvallisuuden hallinnan standardit:
Vaatimustenmukaisuuden saavuttaminen tarkoittaa, että IT-käytännöissä on määrättävä selkeästi, että käyttäjät eivät saa jakaa kirjautumistietoja tai sallia muiden käyttäjien liikkua verkossa millään muulla kuin heille annetulla henkilöllisyydellä.
Vaatimustenmukaisuuden saavuttamiseksi jaettujen identiteettien rekisteröinti tulisi käsitellä erillään yksittäisen käyttäjän rekisteröinnistä erillisen hyväksymisprosessin avulla.
Ei-inhimillisellä identiteetillä tulisi myös olla oma hyväksymis- ja rekisteröintiprosessinsa, jossa tunnustetaan perustavanlaatuinen ero identiteetin määrittämisen henkilölle ja sen myöntämisen välillä omaisuudelle, sovellukselle tai laitteelle.
IT-osaston tulee suorittaa säännöllisiä tarkastuksia määrittääkseen, mitä identiteettejä käytetään ja mitkä kokonaisuudet voidaan keskeyttää tai poistaa. HR-henkilöstön on tärkeää sisällyttää identiteetin hallinta osaksi offboarding-menettelyä ja informoida IT-henkilöstöä välittömästi poistuneen.
Ohjeiden noudattamiseksi IT-henkilöstön tulee varmistaa, että entiteetit eivät saa useampaan kuin yhteen identiteettiin perustuvia käyttöoikeuksia, kun ne jakavat rooleja verkon yli.
Termiä 'merkittävä tapahtuma' on mahdollista tulkita eri tavalla, mutta perustasolla organisaatioiden on varmistettava, että niiden hallintomenettelyt sisältävät kattavan luettelon kulloinkin määritetyistä identiteeteistä, vankat muutospyyntöprotokollat asianmukaisine hyväksymismenettelyineen ja hyväksytty muutospyyntöprotokolla.
Kun luot identiteetin ja myönnät sille pääsyn verkkoresursseihin, liitteessä A 5.16 luetellaan myös neljä vaihetta, jotka yritysten on noudatettava (käyttöoikeuksien muuttaminen tai poistaminen on esitetty kohdassa ISO 27001:2022 Liite A 5.18):
Joka kerta kun identiteetti luodaan, identiteetin hallinta muuttuu eksponentiaalisesti haastavammaksi. Organisaatioiden on suositeltavaa luoda uusia identiteettejä vain silloin, kun se on selvästi välttämätöntä.
Tunniste- ja käyttöoikeuksien hallintamenettelyjen tulisi varmistaa, että kun liiketoimintatapaus on hyväksytty, uudet henkilöllisyydet vastaanottavalla henkilöllä tai omaisuudella on vaadittavat valtuudet ennen identiteetin luomista.
IT-henkilöstösi pitäisi rakentaa identiteettiä liiketoimintatapauksen mukaisesti vaatimuksia, ja sen tulisi rajoittua siihen, mikä on esitetty kaikissa muutospyyntöasiakirjoissa.
Prosessin viimeisenä vaiheena identiteetti määritetään jokaiselle sen käyttöoikeuksille ja rooleille (RBAC) sekä kaikille vaadituille todennuspalveluille.
ISO 27001: 2022 Liite A 5.16 korvaa standardin ISO 27001:2013 A.9.2.1 (tunnettiin aiemmin nimellä "Käyttäjien rekisteröinti ja rekisteröinnin poistaminen").
Vaikka näillä kahdella ohjauksella on joitain silmiinpistäviä yhtäläisyyksiä – pääasiassa ylläpitoprotokollien ja redundanttien tunnusten deaktivoinnin osalta –, liite A 5.16 sisältää kattavan ohjeiston, joka käsittelee identiteetin ja pääsyn hallintaa kokonaisuudessaan.
Vuoden 2022 liitteen ja sen edeltäjän välillä on joitain eroja siinä, että rekisteröintiprosessien eroista huolimatta ihmisiä ja ei-ihmisiä ei enää käsitellä erikseen yleisessä verkonhallinnassa.
IT-hallinnossa ja parhaiden käytäntöjen ohjeissa on yleistynyt puhua ihmis- ja ei-inhimillisistä identiteeteistä vaihtokelpoisesti nykyaikaisen identiteetin ja pääsynhallinnan sekä Windows-pohjaisten RBAC-protokollien käyttöönoton jälkeen.
Standardin ISO 9.2.1:27001 liitteessä A 2013 ei ole ohjeita ei-inhimillisten identiteettien hallintaan, ja teksti koskee vain niin kutsuttujen käyttäjätunnuksien hallintaa (eli kirjautumistiedot ja salasana, jota käytetään päästäksesi verkkoon).
Liite A 5.16 sisältää selkeät ohjeet sekä identiteetin hallinnan yleisistä turvallisuusvaikutuksista että siitä, kuinka organisaatioiden tulee tallentaa ja käsitellä tietoja ennen identiteetin osoittamista sekä identiteetin koko elinkaaren ajan.
Vertailun vuoksi ISO 27001:2013 A.9.2.1 mainitsee vain lyhyesti identiteettien hallintaa ympäröivän IT-hallinnon roolin ja rajoittuu identiteetinhallinnan fyysiseen käytäntöön.
Alla olevasta taulukosta löydät lisätietoja jokaisesta henkilöstä ISO 27001:2022 liite A Ohjaus.
Liite A Ohjaustyyppi | ISO/IEC 27001:2022 liitteen A tunniste | ISO/IEC 27001:2013 liitteen A tunniste | Liite A Nimi |
---|---|---|---|
Organisaation valvonta | Liite A 5.1 | Liite A 5.1.1 Liite A 5.1.2 | Tietoturvakäytännöt |
Organisaation valvonta | Liite A 5.2 | Liite A 6.1.1 | Tietoturvan roolit ja vastuut |
Organisaation valvonta | Liite A 5.3 | Liite A 6.1.2 | Tehtävien erottelu |
Organisaation valvonta | Liite A 5.4 | Liite A 7.2.1 | Johtamisvastuut |
Organisaation valvonta | Liite A 5.5 | Liite A 6.1.3 | Ota yhteyttä viranomaisiin |
Organisaation valvonta | Liite A 5.6 | Liite A 6.1.4 | Ota yhteyttä erityisiin eturyhmiin |
Organisaation valvonta | Liite A 5.7 | UUSI | Threat Intelligence |
Organisaation valvonta | Liite A 5.8 | Liite A 6.1.5 Liite A 14.1.1 | Tietoturva projektinhallinnassa |
Organisaation valvonta | Liite A 5.9 | Liite A 8.1.1 Liite A 8.1.2 | Tietojen ja muiden niihin liittyvien omaisuuserien luettelo |
Organisaation valvonta | Liite A 5.10 | Liite A 8.1.3 Liite A 8.2.3 | Tietojen ja muiden niihin liittyvien omaisuuserien hyväksyttävä käyttö |
Organisaation valvonta | Liite A 5.11 | Liite A 8.1.4 | Omaisuuden palautus |
Organisaation valvonta | Liite A 5.12 | Liite A 8.2.1 | Tietojen luokitus |
Organisaation valvonta | Liite A 5.13 | Liite A 8.2.2 | Tietojen merkitseminen |
Organisaation valvonta | Liite A 5.14 | Liite A 13.2.1 Liite A 13.2.2 Liite A 13.2.3 | Tietojen siirto |
Organisaation valvonta | Liite A 5.15 | Liite A 9.1.1 Liite A 9.1.2 | Kulunvalvonta |
Organisaation valvonta | Liite A 5.16 | Liite A 9.2.1 | Identity Management |
Organisaation valvonta | Liite A 5.17 | Liite A 9.2.4 Liite A 9.3.1 Liite A 9.4.3 | Todennustiedot |
Organisaation valvonta | Liite A 5.18 | Liite A 9.2.2 Liite A 9.2.5 Liite A 9.2.6 | Käyttöoikeudet |
Organisaation valvonta | Liite A 5.19 | Liite A 15.1.1 | Tietoturva toimittajasuhteissa |
Organisaation valvonta | Liite A 5.20 | Liite A 15.1.2 | Tietoturvasta huolehtiminen toimittajasopimusten puitteissa |
Organisaation valvonta | Liite A 5.21 | Liite A 15.1.3 | Tietoturvan hallinta ICT:n toimitusketjussa |
Organisaation valvonta | Liite A 5.22 | Liite A 15.2.1 Liite A 15.2.2 | Toimittajapalveluiden seuranta, tarkistus ja muutosten hallinta |
Organisaation valvonta | Liite A 5.23 | UUSI | Tietoturva pilvipalveluiden käyttöön |
Organisaation valvonta | Liite A 5.24 | Liite A 16.1.1 | Tietoturvahäiriöiden hallinnan suunnittelu ja valmistelu |
Organisaation valvonta | Liite A 5.25 | Liite A 16.1.4 | Tietoturvatapahtumien arviointi ja päätös |
Organisaation valvonta | Liite A 5.26 | Liite A 16.1.5 | Vastaus tietoturvaloukkauksiin |
Organisaation valvonta | Liite A 5.27 | Liite A 16.1.6 | Tietoturvahäiriöistä oppimista |
Organisaation valvonta | Liite A 5.28 | Liite A 16.1.7 | Todisteiden kerääminen |
Organisaation valvonta | Liite A 5.29 | Liite A 17.1.1 Liite A 17.1.2 Liite A 17.1.3 | Tietoturva häiriön aikana |
Organisaation valvonta | Liite A 5.30 | UUSI | ICT-valmius liiketoiminnan jatkuvuutta varten |
Organisaation valvonta | Liite A 5.31 | Liite A 18.1.1 Liite A 18.1.5 | Oikeudelliset, lakisääteiset, sääntely- ja sopimusvaatimukset |
Organisaation valvonta | Liite A 5.32 | Liite A 18.1.2 | Immateriaalioikeudet |
Organisaation valvonta | Liite A 5.33 | Liite A 18.1.3 | Tietueiden suojaus |
Organisaation valvonta | Liite A 5.34 | Liite A 18.1.4 | Yksityisyys ja henkilötietojen suoja |
Organisaation valvonta | Liite A 5.35 | Liite A 18.2.1 | Tietoturvan riippumaton katsaus |
Organisaation valvonta | Liite A 5.36 | Liite A 18.2.2 Liite A 18.2.3 | Tietoturvakäytäntöjen, -sääntöjen ja -standardien noudattaminen |
Organisaation valvonta | Liite A 5.37 | Liite A 12.1.1 | Dokumentoidut toimintaohjeet |
Liite A Ohjaustyyppi | ISO/IEC 27001:2022 liitteen A tunniste | ISO/IEC 27001:2013 liitteen A tunniste | Liite A Nimi |
---|---|---|---|
Ihmisten ohjaukset | Liite A 6.1 | Liite A 7.1.1 | Seulonta |
Ihmisten ohjaukset | Liite A 6.2 | Liite A 7.1.2 | Palvelussuhteen ehdot |
Ihmisten ohjaukset | Liite A 6.3 | Liite A 7.2.2 | Tietoturvatietoisuus, koulutus ja koulutus |
Ihmisten ohjaukset | Liite A 6.4 | Liite A 7.2.3 | Kurinpitoprosessi |
Ihmisten ohjaukset | Liite A 6.5 | Liite A 7.3.1 | Vastuut työsuhteen päättymisen tai muutoksen jälkeen |
Ihmisten ohjaukset | Liite A 6.6 | Liite A 13.2.4 | Luottamuksellisuus- tai salassapitosopimukset |
Ihmisten ohjaukset | Liite A 6.7 | Liite A 6.2.2 | Etätyö |
Ihmisten ohjaukset | Liite A 6.8 | Liite A 16.1.2 Liite A 16.1.3 | Tietoturvatapahtumien raportointi |
Liite A Ohjaustyyppi | ISO/IEC 27001:2022 liitteen A tunniste | ISO/IEC 27001:2013 liitteen A tunniste | Liite A Nimi |
---|---|---|---|
Fyysiset säätimet | Liite A 7.1 | Liite A 11.1.1 | Fyysisen turvallisuuden rajat |
Fyysiset säätimet | Liite A 7.2 | Liite A 11.1.2 Liite A 11.1.6 | Fyysinen sisäänpääsy |
Fyysiset säätimet | Liite A 7.3 | Liite A 11.1.3 | Toimistojen, huoneiden ja tilojen turvaaminen |
Fyysiset säätimet | Liite A 7.4 | UUSI | Fyysisen turvallisuuden valvonta |
Fyysiset säätimet | Liite A 7.5 | Liite A 11.1.4 | Fyysisiltä ja ympäristöuhkilta suojautuminen |
Fyysiset säätimet | Liite A 7.6 | Liite A 11.1.5 | Työskentely turvallisilla alueilla |
Fyysiset säätimet | Liite A 7.7 | Liite A 11.2.9 | Selkeä työpöytä ja selkeä näyttö |
Fyysiset säätimet | Liite A 7.8 | Liite A 11.2.1 | Laitteiden sijoitus ja suojaus |
Fyysiset säätimet | Liite A 7.9 | Liite A 11.2.6 | Omaisuuden turvallisuus muualla kuin toimitiloissa |
Fyysiset säätimet | Liite A 7.10 | Liite A 8.3.1 Liite A 8.3.2 Liite A 8.3.3 Liite A 11.2.5 | Tallennusväline |
Fyysiset säätimet | Liite A 7.11 | Liite A 11.2.2 | Apuohjelmat |
Fyysiset säätimet | Liite A 7.12 | Liite A 11.2.3 | Kaapeloinnin turvallisuus |
Fyysiset säätimet | Liite A 7.13 | Liite A 11.2.4 | Laitteiden huolto |
Fyysiset säätimet | Liite A 7.14 | Liite A 11.2.7 | Laitteiden turvallinen hävittäminen tai uudelleenkäyttö |
Liite A Ohjaustyyppi | ISO/IEC 27001:2022 liitteen A tunniste | ISO/IEC 27001:2013 liitteen A tunniste | Liite A Nimi |
---|---|---|---|
Tekniset säädöt | Liite A 8.1 | Liite A 6.2.1 Liite A 11.2.8 | Käyttäjän päätelaitteet |
Tekniset säädöt | Liite A 8.2 | Liite A 9.2.3 | Etuoikeutetut käyttöoikeudet |
Tekniset säädöt | Liite A 8.3 | Liite A 9.4.1 | Tietoihin pääsyn rajoitus |
Tekniset säädöt | Liite A 8.4 | Liite A 9.4.5 | Pääsy lähdekoodiin |
Tekniset säädöt | Liite A 8.5 | Liite A 9.4.2 | Suojattu todennus |
Tekniset säädöt | Liite A 8.6 | Liite A 12.1.3 | Kapasiteetin hallinta |
Tekniset säädöt | Liite A 8.7 | Liite A 12.2.1 | Suojaus haittaohjelmia vastaan |
Tekniset säädöt | Liite A 8.8 | Liite A 12.6.1 Liite A 18.2.3 | Teknisten haavoittuvuuksien hallinta |
Tekniset säädöt | Liite A 8.9 | UUSI | Configuration Management |
Tekniset säädöt | Liite A 8.10 | UUSI | Tietojen poistaminen |
Tekniset säädöt | Liite A 8.11 | UUSI | Tietojen peittäminen |
Tekniset säädöt | Liite A 8.12 | UUSI | Tietovuotojen esto |
Tekniset säädöt | Liite A 8.13 | Liite A 12.3.1 | Tietojen varmuuskopiointi |
Tekniset säädöt | Liite A 8.14 | Liite A 17.2.1 | Tietojenkäsittelylaitteiden redundanssi |
Tekniset säädöt | Liite A 8.15 | Liite A 12.4.1 Liite A 12.4.2 Liite A 12.4.3 | Hakkuu |
Tekniset säädöt | Liite A 8.16 | UUSI | Seurantatoiminnot |
Tekniset säädöt | Liite A 8.17 | Liite A 12.4.4 | Kellon synkronointi |
Tekniset säädöt | Liite A 8.18 | Liite A 9.4.4 | Etuoikeutettujen apuohjelmien käyttö |
Tekniset säädöt | Liite A 8.19 | Liite A 12.5.1 Liite A 12.6.2 | Ohjelmistojen asennus käyttöjärjestelmiin |
Tekniset säädöt | Liite A 8.20 | Liite A 13.1.1 | Verkkoturvallisuus |
Tekniset säädöt | Liite A 8.21 | Liite A 13.1.2 | Verkkopalveluiden turvallisuus |
Tekniset säädöt | Liite A 8.22 | Liite A 13.1.3 | Verkkojen erottelu |
Tekniset säädöt | Liite A 8.23 | UUSI | Web-suodatus |
Tekniset säädöt | Liite A 8.24 | Liite A 10.1.1 Liite A 10.1.2 | Kryptografian käyttö |
Tekniset säädöt | Liite A 8.25 | Liite A 14.2.1 | Turvallisen kehityksen elinkaari |
Tekniset säädöt | Liite A 8.26 | Liite A 14.1.2 Liite A 14.1.3 | Sovelluksen suojausvaatimukset |
Tekniset säädöt | Liite A 8.27 | Liite A 14.2.5 | Turvallisen järjestelmän arkkitehtuuri ja suunnitteluperiaatteet |
Tekniset säädöt | Liite A 8.28 | UUSI | Turvallinen koodaus |
Tekniset säädöt | Liite A 8.29 | Liite A 14.2.8 Liite A 14.2.9 | Tietoturvatestaus kehitys- ja hyväksymisvaiheessa |
Tekniset säädöt | Liite A 8.30 | Liite A 14.2.7 | Ulkoistettu kehitys |
Tekniset säädöt | Liite A 8.31 | Liite A 12.1.4 Liite A 14.2.6 | Kehitys-, testaus- ja tuotantoympäristöjen erottaminen toisistaan |
Tekniset säädöt | Liite A 8.32 | Liite A 12.1.2 Liite A 14.2.2 Liite A 14.2.3 Liite A 14.2.4 | Muutoksen hallinta |
Tekniset säädöt | Liite A 8.33 | Liite A 14.3.1 | Testitiedot |
Tekniset säädöt | Liite A 8.34 | Liite A 12.7.1 | Tietojärjestelmien suojaus tarkastustestauksen aikana |
Niin kauan kuin päivität tietoturvajärjestelmäsi prosessit parannettujen hallintajärjestelmien mukaisiksi, olet ISO 27001:2022 -standardin mukainen. Tämän voi hoitaa ISMS.online, jos sinulla ei ole tarvittavia resursseja talossa.
Yksinkertaistamme ISO 27001:2022 -standardin käyttöönottoa intuitiivisen työnkulun ja työkalujemme avulla, mukaan lukien viitekehykset, käytännöt, hallintalaitteet, käyttökelpoinen dokumentaatio ja opastus. Pilvipohjaisten ohjelmistojemme avulla voit hallita kaikkea ISMS ratkaisuja yhdessä paikassa.
Alustamme avulla voit määrittää oman laajuutesi ISMStunnistaa riskit ja toteuttaa kontrollit helposti.
Saat lisätietoja siitä, kuinka ISMS.online voi auttaa sinua saavuttamaan ISO 27001 -tavoitteesi, ole hyvä ota yhteyttä tänään varataksesi esittelyn.
Varaa räätälöity käytännönläheinen istunto
tarpeidesi ja tavoitteidesi perusteella
Varaa esittelysi