ISO 27001:2022 Liite A 8.2 – Etuoikeutetut käyttöoikeudet

• nähdä ISO 27002:2022 Control 8.2 lisätietoja.
• nähdä ISO 27001:2013 Liite A 9.2.3 lisätietoja.

Mikä on ISO 27001:2022 liitteen A 8.2 tarkoitus?

Kaupallisissa verkoissa maailmanlaajuisesti kohonneiden järjestelmänvalvojan oikeuksien väärinkäyttö on merkittävä syy ICT-häiriöihin.

Käyttämällä etuoikeutettuja käyttöoikeuksia organisaatiot voivat valvoa pääsyä infrastruktuuriin, sovelluksiin, omaisuuteen ja tietoihin.

ISO 27001: 2022 Liite A 8.2 määrittää valtuutusprosessin kaikkien organisaation ICT-verkkojen ja -resurssien kautta saatavien pääsypyyntöjen käsittelemiseksi. Se on a ennaltaehkäisevä valvonta suunniteltu ylläpitää riskiä.

Kenellä on liitteen A 8.2 omistusoikeus?

Organisaatio voi hallita pääsyä tietoihin käyttäjätileihin liittyvien laajennettujen käyttöoikeuksien avulla, kuten liitteessä A 8.6.

Tämä tarkoittaa, että organisaation kyvystä hallita ja valvoa etuoikeutettuja verkkotunnuksen tai sovelluksen käyttäjätilejä tulee olla organisaation vastuulla. Tietotekniikan päällikkö (Tai vastaava).

Yleiset ohjeet standardista ISO 27001:2022 liite A 8.2

ISO 27001:2022 liitteessä A 8.2 esitetään 12 pääkohtaa, joita yritysten tulee noudattaa "aihekohtaisen" kulunvalvontapolitiikan (katso liite A 5.15) perusteella, jotka kohdistuvat tiettyihin liiketoimintatoimintoihin.

Organisaatioille on tärkeää:

1. Laadi luettelo käyttäjistä, jotka tarvitsevat jonkin verran etuoikeutettuja käyttöoikeuksia – joko yksittäiseen järjestelmään, sovellukseen tai taustalla olevaan käyttöjärjestelmään.
2. Varmista, että etuoikeutetut käyttöoikeudet jaetaan käyttäjille "tapahtumakohtaisesti" – käyttäjille tulee myöntää käyttöoikeudet sen vähimmäismäärän perusteella, jota he tarvitsevat tehtäviensä suorittamiseen.
3. Pidä kirjaa kaikista myönnetyistä käyttöoikeuksista ja hahmottele selkeä valtuutusprosessi kaikille etuoikeutettuja käyttöoikeuksia koskeville pyynnöille.
4. Käyttöoikeuksilla on oltava asiaankuuluvat vanhentumispäivät.
5. Käyttäjille tulee ilmoittaa nimenomaisesti, kun he käyttävät etuoikeutettua pääsyä järjestelmään.
6. Tarvittaessa käyttäjiä pyydetään todentamaan uudelleen ennen etuoikeutettujen käyttöoikeuksien käyttöä tietojen ja tietojen turvallisuuden parantamiseksi.
7. Tarkasta säännöllisesti etuoikeutetut käyttöoikeudet, erityisesti organisaatiomuutoksen jälkeen. Käyttöoikeuksia tulisi tarkastella käyttäjien "tehtävien, roolejen, vastuiden ja pätevyyden" perusteella (katso liite A 5.18).
8. Harkitse "lasien rikkomista" eli etuoikeutettujen käyttöoikeuksien myöntämistä tiukasti kontrolloiduissa aikaväleissä, jotka täyttävät suoritettavan toiminnon vähimmäisvaatimukset (kriittiset muutokset, järjestelmän hallinta jne.).
9. Varmista, että kaikki toiminnot, joihin liittyy etuoikeus, kirjataan lokiin.
10. Standardoituja käyttäjätunnuksia ja salasanoja (katso liite A 5.17) ei tule käyttää järjestelmään kirjautumiseen.
11. Ylläpidä käytäntöä määrittää käyttäjille erilliset tunnukset hallitaksesi etuoikeutettuja käyttöoikeuksia paremmin. Tämän seurauksena nämä identiteetit voidaan ryhmitellä yhteen siten, että yhdistetylle ryhmälle myönnetään eri käyttöoikeustasot.
12. Varmista, että etuoikeutetut käyttöoikeudet on varattu ICT-verkon asianmukaisen toiminnan kannalta kriittisiin tehtäviin, kuten verkon hallintaan ja ylläpitoon.

Mukana olevat liitteen A valvontalaitteet

• ISO 27001:2022 Liite A 5.15

Mitkä ovat muutokset ISO 27001:2013:sta?

ISO 27001:2022 Liite A 8.2 korvaa standardin ISO 27001:2013 Liite A 9.2.3 ("Etuoikeutettujen käyttöoikeuksien hallinta").

ISO 8.2:27001:n liite A 2022 sisältää viisi tärkeintä ohjekohtaa, joita ei sisällytetty vuoden 2013 vastineeseen:

1. Liite A 8.2 ei nimenomaisesti edellytä eri käyttäjätunnusta etuoikeutetuille käyttöoikeuksille.
2. Liite A 8.2 korostaa tarvetta todentaa uudelleen ennen etuoikeutettujen käyttöoikeuksien saamista.
3. Lasin rikkoutumista suositellaan suoritettaessa kriittisiä huoltotehtäviä, jotka perustuvat tiukasti valvottuihin aikaikkunoihin liitteessä A 8.2.
4. Liite A 8.2 edellyttää, että organisaatiot pitävät yksityiskohtaisia ​​käyttöoikeuslokeja auditointia varten.
5. Liite A 8.2 vaatii organisaatioita rajoittamaan etuoikeutetut käyttöoikeudet hallinnollisiin tehtäviin.

Taulukko kaikista ISO 27001:2022 liitteen A ohjaimista

Alla olevasta taulukosta löydät lisätietoja jokaisesta henkilöstä ISO 27001:2022 liite A Ohjaus.

Miten ISMS.online Ohje

Pilvipohjaisen alustamme ja työkalujemme avulla organisaatiot voivat perustaa tietoturvan hallintajärjestelmä (ISMS) ISO 27001:2022:n mukaisesti.

Näitä työkaluja ovat:

1. Mallit yleisille yritysasiakirjoille.
2. Käytännöt ja menettelyt ovat ennalta määritettyjä.
3. Sisäisten tarkastusten tukeminen auditointityökalulla.
4. Hyväksynnän työnkulku kaikille käytäntöihin ja menettelyihin tehdyille muutoksille.
5. Tarkistuslista varmistaaksesi, että tietoturvakäytännöt ja prosessit noudattavat kansainvälisiä standardeja.

Tutustu työkalupakkiimme oleviin ominaisuuksiin mennessä varata demo.