ISO 27001:2022 Liite A Valvonta 5.17

Liite A 5.17 Todennustietojen jakamista koskevat ohjeet

Organisaatioiden tulee noudattaa näitä kuutta vaatimusta todennustietojen jakamisessa ja hallinnoinnissa:

• Uusien käyttäjien rekisteröinnin yhteydessä automaattisesti luotujen henkilökohtaisten salasanojen ja henkilötunnusnumeroiden tulee olla arvaamattomia. Lisäksi jokaisella käyttäjällä on oltava yksilöllinen salasana ja salasanat on vaihdettava ensimmäisen käytön jälkeen.
• Organisaatioilla tulee olla vankat prosessit käyttäjän henkilöllisyyden tarkistamiseksi ennen kuin heille annetaan uusia tai korvaavia todennustietoja tai tilapäisiä tietoja.
• Organisaatioiden tulee taata todennustietojen turvallinen siirtäminen henkilöille suojattujen reittien kautta, eivätkä ne saa lähettää tällaisia ​​tietoja suojaamattomien sähköisten viestien (esim. pelkkä teksti) välityksellä.
• Käyttäjien on varmistettava, että he ovat vastaanottaneet todennustiedot.
• Organisaatioiden tulee toimia nopeasti uusien IT-järjestelmien ja ohjelmistojen asennuksen jälkeen ja muuttaa oletustunnistustietoja välittömästi.
• Organisaatioiden tulee perustaa ja jatkuvasti pitää kirjaa kaikista merkittävistä todennustietojen hallintaan ja allokointiin liittyvistä tapahtumista. Nämä tietueet on pidettävä yksityisinä ja kirjaamismenetelmät tulee valtuuttaa esim. valtuutetun salasanatyökalun avulla.

Liite A 5.17 Ohjeita käyttäjien vastuista

Käyttäjiä, joilla on pääsy todennustietoihin, tulee neuvoa noudattamaan seuraavaa:

• Käyttäjien on pidettävä salaiset todennustiedot, kuten salasanat, luottamuksellisina, eivätkä he saa jakaa niitä kenenkään muun kanssa. Kun todennustietojen käyttöön osallistuu useita käyttäjiä tai tieto on linkitetty ei-henkilökohtaisiin kokonaisuuksiin, he eivät saa paljastaa niitä luvattomille henkilöille.
• Käyttäjien on vaihdettava salasanansa välittömästi, jos heidän salasanojaan on rikottu.
• Käyttäjien tulee valita vaikeasti arvattavat, vahvat salasanat alan standardien mukaisesti. Esimerkiksi:
• Salasanat eivät saa perustua helposti saatavissa oleviin henkilötietoihin, kuten nimiin tai syntymäpäiviin.
• Salasanat eivät saa perustua tietoihin, jotka voidaan helposti arvata.
• Salasanat eivät saa sisältää sanoja tai sanasarjoja, jotka ovat yleisiä.
• Käytä aakkosnumeerisia ja erikoismerkkejä salasanassasi.
• Salasanoilla tulee olla vähimmäispituusvaatimus.
• Käyttäjät eivät saa käyttää samaa salasanaa eri palveluissa.
• Organisaatioiden työntekijöiden tulee ottaa vastuu salasanojen luomisesta ja käytöstä työsopimuksissaan.

Liite A 5.17 Salasananhallintajärjestelmiä koskevat ohjeet

Organisaatioiden tulee huomioida seuraavaa salasanojen hallintajärjestelmää perustaessaan:

• Käyttäjillä tulee olla mahdollisuus luoda ja muokata salasanojaan ja varmistusmenettelyn avulla havaita ja korjata mahdolliset virheet tietojen syöttämisessä.
• Organisaatioiden tulee noudattaa alan parhaita käytäntöjä kehittäessään vankkaa salasanan valintaprosessia.
• Käyttäjien on vaihdettava oletussalasanansa, kun he ensimmäisen kerran käyttävät järjestelmää.
• On välttämätöntä vaihtaa salasanat tarvittaessa. Esimerkiksi sen jälkeen, kun a turvallisuusvälikohtaus tai kun työntekijä lähtee työstään ja hänellä oli pääsy salasanoihin, salasana on vaihdettava.
• Aiempia salasanoja ei saa kierrättää.
• Salasanojen käyttöä, jotka ovat laajalti tunnettuja tai joita on käytetty tietoturvaloukkauksena, ei pitäisi sallia hakkeroituihin järjestelmiin pääsyssä.
• Kun salasanat syötetään, ne tulee näyttää näytöllä selkeänä tekstinä.
• Salasanat on lähetettävä ja tallennettava suojattujen kanavien kautta suojatussa muodossa.

Organisaatioiden tulisi myös ottaa käyttöön hajautus- ja salausmenettelyt liitteessä A mainittujen salasanojen hyväksyttyjen salausmenetelmien mukaisesti. Ohjaus 8.24 ISO 27001:2022.

Liitteen A valvontaa koskevat lisäohjeet 5.17

Salasanojen lisäksi muita todennustapoja, kuten kryptografisia avaimia, älykortteja ja biometrisiä tietoja, kuten sormenjälkiä.

Organisaatioiden tulee etsiä ISO/IEC 24760 -sarjasta lisäneuvoja todennustiedoista.

Koska salasanojen säännöllinen vaihtaminen aiheuttaa vaivaa ja harmia, organisaatiot voivat harkita vaihtoehtoja, kuten kertakirjautumista tai salasanavarastoja. On kuitenkin huomattava, että nämä vaihtoehdot lisäävät riskiä luottamuksellisten todennustietojen altistumisesta luvattomille osapuolille.

Muutokset ja erot standardista ISO 27001:2013

ISO 27001: 2022 Liite A 5.17 korvaa standardin ISO 27001:2013 liitteen A kohdat 9.2.4, 9.3.1 ja 9.4.3.

ISO 27001:2022 sisältää uuden vaatimuksen todennustietojen allokoinnista ja hallinnasta

Vuonna 2013 todennustietojen allokoinnin ja hallinnan vaatimukset olivat hyvin samanlaiset. Kuitenkin ISO 27001:2022 liitteen A valvonta 5.17 otti käyttöön vaatimuksen, jota ei ollut vuonna 2013.

Organisaatioiden tulee luoda ja ylläpitää kirjaa kaikista merkittävistä tapahtumista, jotka liittyvät todennustietojen hallintaan ja jakeluun. Nämä tietueet tulee säilyttää luottamuksellisina valtuutetuilla kirjaamistekniikoilla, esimerkiksi käyttämällä hyväksyttyä salasanatyökalua.

Vuoden 2022 versio sisältää lisävaatimuksen todennustietojen käytölle

ISO 27001:2022 Liite A Ohjaus 5.17 sisältää vaatimuksen käyttäjien vastuista, joita ei ole määritelty vuoden 9.3.1 version Control 2013 -kohdassa.

Organisaatioiden tulee sisällyttää salasanavaatimukset työntekijöiden ja henkilökunnan kanssa tekemiinsä sopimuksiin. Tällaisten vaatimusten olisi katettava salasanojen luominen ja käyttö.

ISO 27001:2013 sisälsi lisävaatimuksia käyttäjien vastuille, joita ei sisällytetty vuoden 2022 versioon

Verrattuna vuoden 2022 versioon, Control 9.3.1 sisälsi seuraavan toimeksiannon todennustietojen käyttöön:

Käyttäjien ei tule käyttää samoja todennustietoja, esimerkiksi salasanaa, sekä työ- että muuhun käyttöön.

ISO 27001:2013 sisälsi lisävaatimuksen salasanojen hallintajärjestelmille, jotka eivät sisältyneet vuoden 2022 versioon

Version 9.4.3 hallinta 2013 edellyttää, että salasananhallintajärjestelmien on:

Varmista, että salasanoja sisältävät tiedostot säilytetään eri järjestelmässä kuin yhden isännöivän sovelluksen tiedot.

ISO 27001:2022 liitteen A ohjaus 5.17 ei vaadi tätä.

Taulukko kaikista ISO 27001:2022 liitteen A ohjaimista

Alla olevasta taulukosta löydät lisätietoja jokaisesta yksittäisestä ISO 27001:2022 liitteen A valvonnasta.

Miten ISMS.online Ohje

ISMS.Online antaa organisaatioille ja yrityksille mahdollisuuden noudattaa ISO 27001:2022 -standardin vaatimuksia tarjoamalla niille alustan, joka helpottaa niiden luottamuksellisuus- tai salassapitokäytäntöjen ja -menettelyjen hallintaa, päivittämistä, testaamista ja tehokkuuden valvontaa.

Tarjoamme pilvipohjaisen alustan luottamuksellisuuden hallintaan ja Tietoturvan hallintajärjestelmät, joka sisältää salassapitolausekkeet, riskinhallinnan, käytännöt, suunnitelmat ja menettelyt yhdessä kätevässä paikassa. Sen käyttö on yksinkertaista, ja sen intuitiivinen käyttöliittymä tekee sen oppimisesta helppoa.

Ota meihin yhteyttä jo tänään järjestää mielenosoitus.