ISO 27001:2022 Liite A 5.16 – Identiteetin hallinta

Mitä ISO 27001:2022 liite A 5.16 tekee?

Liitteen A 5.16 tarkoituksena on kuvata, kuinka organisaatio voi tunnistaa kuka (käyttäjät, käyttäjäryhmät) tai mitä (sovelluksia, järjestelmiä ja laitteita) käyttää tietoja tai IT-resursseja kulloinkin ja miten näille henkilöllisyyksille myönnetään käyttöoikeudet.

Ennaltaehkäisevänä toimenpiteenä liitteen A 5.16 tavoitteena on ylläpitää riskiä perustamalla pääkehä kaikki siihen liittyvä tietoturva ja kyberturvallisuustoiminnot sekä ensisijainen hallintotapa, joka määrittää organisaation identiteetin ja pääsynhallintaprosessin.

Liitteen A omistusoikeus 5.16

Koska ISO 27001:2022 liite A 5.16 toimii ensisijaisesti ylläpitotoiminnona, omistus olisi annettava IT-henkilöstölle, jolla on globaalin järjestelmänvalvojan oikeudet (tai vastaava muulle kuin Windows-infrastruktuurille).

Muiden sisäänrakennettujen roolien lisäksi, joiden avulla käyttäjät voivat hallita identiteettejä (kuten Domain Administrator), liitteen A 5.16 tulee olla organisaation koko verkosta vastaavan henkilön omistuksessa, mukaan lukien kaikki aliverkkotunnukset ja Active Directory -vuokralaiset.

Yleiset ohjeet standardista ISO 27001:2022 liite A 5.16

Liitteen A 5.16 noudattaminen saavutetaan ilmaisemalla identiteettiin perustuvat menettelyt selkeästi politiikka-asiakirjoissa ja valvomalla henkilöstön noudattamista päivittäin.

Liitteessä A 5.16 on lueteltu kuusi menettelyä, joilla varmistetaan, että organisaatio täyttää vaadittavat tietoturvan ja kyberturvallisuuden hallinnan standardit:

1. Aina kun henkilölle osoitetaan identiteetti, tämä henkilö on ainoa, joka voi todentaa kyseisellä henkilöllisyydellä ja/tai käyttää sitä verkkoresursseja käytettäessä.

Vaatimustenmukaisuuden saavuttaminen tarkoittaa, että IT-käytännöissä on määrättävä selkeästi, että käyttäjät eivät saa jakaa kirjautumistietoja tai sallia muiden käyttäjien liikkua verkossa millään muulla kuin heille annetulla henkilöllisyydellä.

2. Joissakin tapauksissa voi olla tarpeen määrittää yksi identiteetti useille ihmisille, joka tunnetaan myös nimellä "jaettu identiteetti". Käytä tätä lähestymistapaa vain, kun tarvitaan selkeät toiminnalliset vaatimukset.

Vaatimustenmukaisuuden saavuttamiseksi jaettujen identiteettien rekisteröinti tulisi käsitellä erillään yksittäisen käyttäjän rekisteröinnistä erillisen hyväksymisprosessin avulla.

3. "Ei-inhimillisiä" entiteettejä (kaikki identiteettiä, joka ei ole sidottu oikeaan henkilöön) tulee kohdella eri tavalla kuin käyttäjäpohjaisia ​​identiteettejä rekisteröinnin yhteydessä.

Ei-inhimillisellä identiteetillä tulisi myös olla oma hyväksymis- ja rekisteröintiprosessinsa, jossa tunnustetaan perustavanlaatuinen ero identiteetin määrittämisen henkilölle ja sen myöntämisen välillä omaisuudelle, sovellukselle tai laitteelle.

4. Poistumisen, tarpeettomien resurssien tai muiden ei-vaadittujen henkilöllisyyksien sattuessa verkonvalvojan tulee poistaa ne käytöstä tai poistaa ne kokonaan.

IT-osaston tulee suorittaa säännöllisiä tarkastuksia määrittääkseen, mitä identiteettejä käytetään ja mitkä kokonaisuudet voidaan keskeyttää tai poistaa. HR-henkilöstön on tärkeää sisällyttää identiteetin hallinta osaksi offboarding-menettelyä ja informoida IT-henkilöstöä välittömästi poistuneen.

5. On välttämätöntä välttää päällekkäisiä identiteettejä hinnalla millä hyvänsä. Kaikkien organisaatioiden tulisi noudattaa "yksi entiteetti, yksi identiteetti" -sääntöä.

Ohjeiden noudattamiseksi IT-henkilöstön tulee varmistaa, että entiteetit eivät saa useampaan kuin yhteen identiteettiin perustuvia käyttöoikeuksia, kun ne jakavat rooleja verkon yli.

6. Identiteettien hallinta ja todennustiedot tulee dokumentoida riittävästi kaikkien "merkittävien tapahtumien" osalta.

Termiä 'merkittävä tapahtuma' on mahdollista tulkita eri tavalla, mutta perustasolla organisaatioiden on varmistettava, että niiden hallintomenettelyt sisältävät kattavan luettelon kulloinkin määritetyistä identiteeteistä, vankat muutospyyntöprotokollat ​​asianmukaisine hyväksymismenettelyineen ja hyväksytty muutospyyntöprotokolla.

Täydentävät lisäohjeet liitettä A varten 5.16

Kun luot identiteetin ja myönnät sille pääsyn verkkoresursseihin, liitteessä A 5.16 luetellaan myös neljä vaihetta, jotka yritysten on noudatettava (käyttöoikeuksien muuttaminen tai poistaminen on esitetty kohdassa ISO 27001:2022 Liite A 5.18):

1. Ennen kuin luot identiteetin, luo liiketoimintamalli.

Joka kerta kun identiteetti luodaan, identiteetin hallinta muuttuu eksponentiaalisesti haastavammaksi. Organisaatioiden on suositeltavaa luoda uusia identiteettejä vain silloin, kun se on selvästi välttämätöntä.

2. Varmista, että entiteetti (ihminen tai ei-ihminen), jolle on määritetty identiteetti, on vahvistettu itsenäisesti.

Tunniste- ja käyttöoikeuksien hallintamenettelyjen tulisi varmistaa, että kun liiketoimintatapaus on hyväksytty, uudet henkilöllisyydet vastaanottavalla henkilöllä tai omaisuudella on vaadittavat valtuudet ennen identiteetin luomista.

3. Identiteetin luominen

IT-henkilöstösi pitäisi rakentaa identiteettiä liiketoimintatapauksen mukaisesti vaatimuksia, ja sen tulisi rajoittua siihen, mikä on esitetty kaikissa muutospyyntöasiakirjoissa.

4. Henkilöllisyyden lopulliset konfigurointivaiheet

Prosessin viimeisenä vaiheena identiteetti määritetään jokaiselle sen käyttöoikeuksille ja rooleille (RBAC) sekä kaikille vaadituille todennuspalveluille.

Mitkä ovat muutokset ISO 27001:2013:sta?

ISO 27001: 2022 Liite A 5.16 korvaa standardin ISO 27001:2013 A.9.2.1 (tunnettiin aiemmin nimellä "Käyttäjien rekisteröinti ja rekisteröinnin poistaminen").

Vaikka näillä kahdella ohjauksella on joitain silmiinpistäviä yhtäläisyyksiä – pääasiassa ylläpitoprotokollien ja redundanttien tunnusten deaktivoinnin osalta –, liite A 5.16 sisältää kattavan ohjeiston, joka käsittelee identiteetin ja pääsyn hallintaa kokonaisuudessaan.

Liite A 5.16 Ihmisen vs. ei-ihmisidentiteetit selitettyinä

Vuoden 2022 liitteen ja sen edeltäjän välillä on joitain eroja siinä, että rekisteröintiprosessien eroista huolimatta ihmisiä ja ei-ihmisiä ei enää käsitellä erikseen yleisessä verkonhallinnassa.

IT-hallinnossa ja parhaiden käytäntöjen ohjeissa on yleistynyt puhua ihmis- ja ei-inhimillisistä identiteeteistä vaihtokelpoisesti nykyaikaisen identiteetin ja pääsynhallinnan sekä Windows-pohjaisten RBAC-protokollien käyttöönoton jälkeen.

Standardin ISO 9.2.1:27001 liitteessä A 2013 ei ole ohjeita ei-inhimillisten identiteettien hallintaan, ja teksti koskee vain niin kutsuttujen käyttäjätunnuksien hallintaa (eli kirjautumistiedot ja salasana, jota käytetään päästäksesi verkkoon).

ISO 27001:2022 Liite A 5.16 Dokumentaatio

Liite A 5.16 sisältää selkeät ohjeet sekä identiteetin hallinnan yleisistä turvallisuusvaikutuksista että siitä, kuinka organisaatioiden tulee tallentaa ja käsitellä tietoja ennen identiteetin osoittamista sekä identiteetin koko elinkaaren ajan.

Vertailun vuoksi ISO 27001:2013 A.9.2.1 mainitsee vain lyhyesti identiteettien hallintaa ympäröivän IT-hallinnon roolin ja rajoittuu identiteetinhallinnan fyysiseen käytäntöön.

Taulukko kaikista ISO 27001:2022 liitteen A ohjaimista

Alla olevasta taulukosta löydät lisätietoja jokaisesta henkilöstä ISO 27001:2022 liite A Ohjaus.

Kuinka ISMS.online auttaa sinua saavuttamaan liitteen A 5.16 vaatimustenmukaisuuden?

Niin kauan kuin päivität tietoturvajärjestelmäsi prosessit parannettujen hallintajärjestelmien mukaisiksi, olet ISO 27001:2022 -standardin mukainen. Tämän voi hoitaa ISMS.online, jos sinulla ei ole tarvittavia resursseja talossa.

Yksinkertaistamme ISO 27001:2022 -standardin käyttöönottoa intuitiivisen työnkulun ja työkalujemme avulla, mukaan lukien viitekehykset, käytännöt, hallintalaitteet, käyttökelpoinen dokumentaatio ja opastus. Pilvipohjaisten ohjelmistojemme avulla voit hallita kaikkea ISMS ratkaisuja yhdessä paikassa.

Alustamme avulla voit määrittää oman laajuutesi ISMStunnistaa riskit ja toteuttaa kontrollit helposti.

Saat lisätietoja siitä, kuinka ISMS.online voi auttaa sinua saavuttamaan ISO 27001 -tavoitteesi, ole hyvä ota yhteyttä tänään varataksesi esittelyn.