ISO 27001:2022 Liite A Valvonta 8.2

Etuoikeutetut käyttöoikeudet

Varaa demo

ryhmä,onnellisia,työtovereita,keskustelemassa,konferenssissa,huoneessa

Mikä on ISO 27001:2022 liitteen A 8.2 tarkoitus?

Kaupallisissa verkoissa maailmanlaajuisesti kohonneiden järjestelmänvalvojan oikeuksien väärinkäyttö on merkittävä syy ICT-häiriöihin.

Käyttämällä etuoikeutettuja käyttöoikeuksia organisaatiot voivat valvoa pääsyä infrastruktuuriin, sovelluksiin, omaisuuteen ja tietoihin.

ISO 27001: 2022 Liite A 8.2 määrittää valtuutusprosessin kaikkien organisaation ICT-verkkojen ja -resurssien kautta saatavien pääsypyyntöjen käsittelemiseksi. Se on a ennaltaehkäisevä valvonta suunniteltu ylläpitää riskiä.

Kenellä on liitteen A 8.2 omistusoikeus?

Organisaatio voi hallita pääsyä tietoihin käyttäjätileihin liittyvien laajennettujen käyttöoikeuksien avulla, kuten liitteessä A 8.6.

Tämä tarkoittaa, että organisaation kyvystä hallita ja valvoa etuoikeutettuja verkkotunnuksen tai sovelluksen käyttäjätilejä tulee olla organisaation vastuulla. Tietotekniikan päällikkö (Tai vastaava).

Siirry aiheeseen
Tervehdi ISO 27001 -menestystä

Tee 81 % työstä puolestasi ja hanki sertifiointi nopeammin ISMS.onlinen avulla

Varaa esittelysi
img

Yleiset ohjeet standardista ISO 27001:2022 liite A 8.2

ISO 27001:2022 liitteessä A 8.2 esitetään 12 pääkohtaa, joita yritysten tulee noudattaa "aihekohtaisen" kulunvalvontapolitiikan (katso liite A 5.15) perusteella, jotka kohdistuvat tiettyihin liiketoimintatoimintoihin.

Organisaatioille on tärkeää:

  1. Laadi luettelo käyttäjistä, jotka tarvitsevat jonkin verran etuoikeutettuja käyttöoikeuksia – joko yksittäiseen järjestelmään, sovellukseen tai taustalla olevaan käyttöjärjestelmään.

  2. Varmista, että etuoikeutetut käyttöoikeudet jaetaan käyttäjille "tapahtumakohtaisesti" – käyttäjille tulee myöntää käyttöoikeudet sen vähimmäismäärän perusteella, jota he tarvitsevat tehtäviensä suorittamiseen.

  3. Pidä kirjaa kaikista myönnetyistä käyttöoikeuksista ja hahmottele selkeä valtuutusprosessi kaikille etuoikeutettuja käyttöoikeuksia koskeville pyynnöille.

  4. Käyttöoikeuksilla on oltava asiaankuuluvat vanhentumispäivät.

  5. Käyttäjille tulee ilmoittaa nimenomaisesti, kun he käyttävät etuoikeutettua pääsyä järjestelmään.

  6. Tarvittaessa käyttäjiä pyydetään todentamaan uudelleen ennen etuoikeutettujen käyttöoikeuksien käyttöä tietojen ja tietojen turvallisuuden parantamiseksi.

  7. Tarkasta säännöllisesti etuoikeutetut käyttöoikeudet, erityisesti organisaatiomuutoksen jälkeen. Käyttöoikeuksia tulisi tarkastella käyttäjien "tehtävien, roolejen, vastuiden ja pätevyyden" perusteella (katso liite A 5.18).

  8. Harkitse "lasien rikkomista" eli etuoikeutettujen käyttöoikeuksien myöntämistä tiukasti kontrolloiduissa aikaväleissä, jotka täyttävät suoritettavan toiminnon vähimmäisvaatimukset (kriittiset muutokset, järjestelmän hallinta jne.).

  9. Varmista, että kaikki toiminnot, joihin liittyy etuoikeus, kirjataan lokiin.

  10. Standardoituja käyttäjätunnuksia ja salasanoja (katso liite A 5.17) ei tule käyttää järjestelmään kirjautumiseen.

  11. Ylläpidä käytäntöä määrittää käyttäjille erilliset tunnukset hallitaksesi etuoikeutettuja käyttöoikeuksia paremmin. Tämän seurauksena nämä identiteetit voidaan ryhmitellä yhteen siten, että yhdistetylle ryhmälle myönnetään eri käyttöoikeustasot.

  12. Varmista, että etuoikeutetut käyttöoikeudet on varattu ICT-verkon asianmukaisen toiminnan kannalta kriittisiin tehtäviin, kuten verkon hallintaan ja ylläpitoon.

Mukana olevat liitteen A valvontalaitteet

  • ISO 27001:2022 Liite A 5.15

Mitkä ovat muutokset ISO 27001:2013:sta?

ISO 27001:2022 Liite A 8.2 korvaa standardin ISO 27001:2013 Liite A 9.2.3 ("Etuoikeutettujen käyttöoikeuksien hallinta").

ISO 8.2:27001:n liite A 2022 sisältää viisi tärkeintä ohjekohtaa, joita ei sisällytetty vuoden 2013 vastineeseen:

  1. Liite A 8.2 ei nimenomaisesti edellytä eri käyttäjätunnusta etuoikeutetuille käyttöoikeuksille.

  2. Liite A 8.2 korostaa tarvetta todentaa uudelleen ennen etuoikeutettujen käyttöoikeuksien saamista.

  3. Lasin rikkoutumista suositellaan suoritettaessa kriittisiä huoltotehtäviä, jotka perustuvat tiukasti valvottuihin aikaikkunoihin liitteessä A 8.2.

  4. Liite A 8.2 edellyttää, että organisaatiot pitävät yksityiskohtaisia ​​käyttöoikeuslokeja auditointia varten.

  5. Liite A 8.2 vaatii organisaatioita rajoittamaan etuoikeutetut käyttöoikeudet hallinnollisiin tehtäviin.

Taulukko kaikista ISO 27001:2022 liitteen A ohjaimista

Alla olevasta taulukosta löydät lisätietoja jokaisesta henkilöstä ISO 27001:2022 liite A Ohjaus.

ISO 27001:2022 Organisaation valvonta

Liite A OhjaustyyppiISO/IEC 27001:2022 liitteen A tunnisteISO/IEC 27001:2013 liitteen A tunnisteLiite A Nimi
Organisaation valvontaLiite A 5.1Liite A 5.1.1
Liite A 5.1.2		Tietoturvakäytännöt
Organisaation valvontaLiite A 5.2Liite A 6.1.1Tietoturvan roolit ja vastuut
Organisaation valvontaLiite A 5.3Liite A 6.1.2Tehtävien erottelu
Organisaation valvontaLiite A 5.4Liite A 7.2.1Johtamisvastuut
Organisaation valvontaLiite A 5.5Liite A 6.1.3Ota yhteyttä viranomaisiin
Organisaation valvontaLiite A 5.6Liite A 6.1.4Ota yhteyttä erityisiin eturyhmiin
Organisaation valvontaLiite A 5.7UUSIThreat Intelligence
Organisaation valvontaLiite A 5.8Liite A 6.1.5
Liite A 14.1.1		Tietoturva projektinhallinnassa
Organisaation valvontaLiite A 5.9Liite A 8.1.1
Liite A 8.1.2		Tietojen ja muiden niihin liittyvien omaisuuserien luettelo
Organisaation valvontaLiite A 5.10Liite A 8.1.3
Liite A 8.2.3		Tietojen ja muiden niihin liittyvien omaisuuserien hyväksyttävä käyttö
Organisaation valvontaLiite A 5.11Liite A 8.1.4Omaisuuden palautus
Organisaation valvontaLiite A 5.12Liite A 8.2.1Tietojen luokitus
Organisaation valvontaLiite A 5.13Liite A 8.2.2Tietojen merkitseminen
Organisaation valvontaLiite A 5.14Liite A 13.2.1
Liite A 13.2.2
Liite A 13.2.3		Tietojen siirto
Organisaation valvontaLiite A 5.15Liite A 9.1.1
Liite A 9.1.2		Kulunvalvonta
Organisaation valvontaLiite A 5.16Liite A 9.2.1Identity Management
Organisaation valvontaLiite A 5.17Liite A 9.2.4
Liite A 9.3.1
Liite A 9.4.3		Todennustiedot
Organisaation valvontaLiite A 5.18Liite A 9.2.2
Liite A 9.2.5
Liite A 9.2.6		Käyttöoikeudet
Organisaation valvontaLiite A 5.19Liite A 15.1.1Tietoturva toimittajasuhteissa
Organisaation valvontaLiite A 5.20Liite A 15.1.2Tietoturvasta huolehtiminen toimittajasopimusten puitteissa
Organisaation valvontaLiite A 5.21Liite A 15.1.3Tietoturvan hallinta ICT:n toimitusketjussa
Organisaation valvontaLiite A 5.22Liite A 15.2.1
Liite A 15.2.2		Toimittajapalveluiden seuranta, tarkistus ja muutosten hallinta
Organisaation valvontaLiite A 5.23UUSITietoturva pilvipalveluiden käyttöön
Organisaation valvontaLiite A 5.24Liite A 16.1.1Tietoturvahäiriöiden hallinnan suunnittelu ja valmistelu
Organisaation valvontaLiite A 5.25Liite A 16.1.4Tietoturvatapahtumien arviointi ja päätös
Organisaation valvontaLiite A 5.26Liite A 16.1.5Vastaus tietoturvaloukkauksiin
Organisaation valvontaLiite A 5.27Liite A 16.1.6Tietoturvahäiriöistä oppimista
Organisaation valvontaLiite A 5.28Liite A 16.1.7Todisteiden kerääminen
Organisaation valvontaLiite A 5.29Liite A 17.1.1
Liite A 17.1.2
Liite A 17.1.3		Tietoturva häiriön aikana
Organisaation valvontaLiite A 5.30UUSIICT-valmius liiketoiminnan jatkuvuutta varten
Organisaation valvontaLiite A 5.31Liite A 18.1.1
Liite A 18.1.5		Oikeudelliset, lakisääteiset, sääntely- ja sopimusvaatimukset
Organisaation valvontaLiite A 5.32Liite A 18.1.2Immateriaalioikeudet
Organisaation valvontaLiite A 5.33Liite A 18.1.3Tietueiden suojaus
Organisaation valvontaLiite A 5.34 Liite A 18.1.4Yksityisyys ja henkilötietojen suoja
Organisaation valvontaLiite A 5.35Liite A 18.2.1Tietoturvan riippumaton katsaus
Organisaation valvontaLiite A 5.36Liite A 18.2.2
Liite A 18.2.3		Tietoturvakäytäntöjen, -sääntöjen ja -standardien noudattaminen
Organisaation valvontaLiite A 5.37Liite A 12.1.1Dokumentoidut toimintaohjeet

ISO 27001:2022 People Controls

Liite A OhjaustyyppiISO/IEC 27001:2022 liitteen A tunnisteISO/IEC 27001:2013 liitteen A tunnisteLiite A Nimi
Ihmisten ohjauksetLiite A 6.1Liite A 7.1.1Seulonta
Ihmisten ohjauksetLiite A 6.2Liite A 7.1.2Palvelussuhteen ehdot
Ihmisten ohjauksetLiite A 6.3Liite A 7.2.2Tietoturvatietoisuus, koulutus ja koulutus
Ihmisten ohjauksetLiite A 6.4Liite A 7.2.3Kurinpitoprosessi
Ihmisten ohjauksetLiite A 6.5Liite A 7.3.1Vastuut työsuhteen päättymisen tai muutoksen jälkeen
Ihmisten ohjauksetLiite A 6.6Liite A 13.2.4Luottamuksellisuus- tai salassapitosopimukset
Ihmisten ohjauksetLiite A 6.7Liite A 6.2.2Etätyö
Ihmisten ohjauksetLiite A 6.8Liite A 16.1.2
Liite A 16.1.3		Tietoturvatapahtumien raportointi

ISO 27001:2022 Fyysiset kontrollit

Liite A OhjaustyyppiISO/IEC 27001:2022 liitteen A tunnisteISO/IEC 27001:2013 liitteen A tunnisteLiite A Nimi
Fyysiset säätimetLiite A 7.1Liite A 11.1.1Fyysisen turvallisuuden rajat
Fyysiset säätimetLiite A 7.2Liite A 11.1.2
Liite A 11.1.6		Fyysinen sisäänpääsy
Fyysiset säätimetLiite A 7.3Liite A 11.1.3Toimistojen, huoneiden ja tilojen turvaaminen
Fyysiset säätimetLiite A 7.4UUSIFyysisen turvallisuuden valvonta
Fyysiset säätimetLiite A 7.5Liite A 11.1.4Fyysisiltä ja ympäristöuhkilta suojautuminen
Fyysiset säätimetLiite A 7.6Liite A 11.1.5Työskentely turvallisilla alueilla
Fyysiset säätimetLiite A 7.7Liite A 11.2.9Selkeä työpöytä ja selkeä näyttö
Fyysiset säätimetLiite A 7.8Liite A 11.2.1Laitteiden sijoitus ja suojaus
Fyysiset säätimetLiite A 7.9Liite A 11.2.6Omaisuuden turvallisuus muualla kuin toimitiloissa
Fyysiset säätimetLiite A 7.10Liite A 8.3.1
Liite A 8.3.2
Liite A 8.3.3
 Liite A 11.2.5		Tallennusväline
Fyysiset säätimetLiite A 7.11Liite A 11.2.2Apuohjelmat
Fyysiset säätimetLiite A 7.12Liite A 11.2.3Kaapeloinnin turvallisuus
Fyysiset säätimetLiite A 7.13Liite A 11.2.4Laitteiden huolto
Fyysiset säätimetLiite A 7.14Liite A 11.2.7Laitteiden turvallinen hävittäminen tai uudelleenkäyttö

ISO 27001:2022 Tekniset hallintalaitteet

Liite A OhjaustyyppiISO/IEC 27001:2022 liitteen A tunnisteISO/IEC 27001:2013 liitteen A tunnisteLiite A Nimi
Tekniset säädötLiite A 8.1Liite A 6.2.1
Liite A 11.2.8		Käyttäjän päätelaitteet
Tekniset säädötLiite A 8.2Liite A 9.2.3Etuoikeutetut käyttöoikeudet
Tekniset säädötLiite A 8.3Liite A 9.4.1Tietoihin pääsyn rajoitus
Tekniset säädötLiite A 8.4Liite A 9.4.5Pääsy lähdekoodiin
Tekniset säädötLiite A 8.5Liite A 9.4.2Suojattu todennus
Tekniset säädötLiite A 8.6Liite A 12.1.3Kapasiteetin hallinta
Tekniset säädötLiite A 8.7Liite A 12.2.1Suojaus haittaohjelmia vastaan
Tekniset säädötLiite A 8.8Liite A 12.6.1
Liite A 18.2.3		Teknisten haavoittuvuuksien hallinta
Tekniset säädötLiite A 8.9UUSIConfiguration Management
Tekniset säädötLiite A 8.10UUSITietojen poistaminen
Tekniset säädötLiite A 8.11UUSITietojen peittäminen
Tekniset säädötLiite A 8.12UUSITietovuotojen esto
Tekniset säädötLiite A 8.13Liite A 12.3.1Tietojen varmuuskopiointi
Tekniset säädötLiite A 8.14Liite A 17.2.1Tietojenkäsittelylaitteiden redundanssi
Tekniset säädötLiite A 8.15Liite A 12.4.1
Liite A 12.4.2
Liite A 12.4.3		Hakkuu
Tekniset säädötLiite A 8.16UUSISeurantatoiminnot
Tekniset säädötLiite A 8.17Liite A 12.4.4Kellon synkronointi
Tekniset säädötLiite A 8.18Liite A 9.4.4Etuoikeutettujen apuohjelmien käyttö
Tekniset säädötLiite A 8.19Liite A 12.5.1
Liite A 12.6.2		Ohjelmistojen asennus käyttöjärjestelmiin
Tekniset säädötLiite A 8.20Liite A 13.1.1Verkkoturvallisuus
Tekniset säädötLiite A 8.21Liite A 13.1.2Verkkopalveluiden turvallisuus
Tekniset säädötLiite A 8.22Liite A 13.1.3Verkkojen erottelu
Tekniset säädötLiite A 8.23UUSIWeb-suodatus
Tekniset säädötLiite A 8.24Liite A 10.1.1
Liite A 10.1.2		Kryptografian käyttö
Tekniset säädötLiite A 8.25Liite A 14.2.1Turvallisen kehityksen elinkaari
Tekniset säädötLiite A 8.26Liite A 14.1.2
Liite A 14.1.3		Sovelluksen suojausvaatimukset
Tekniset säädötLiite A 8.27Liite A 14.2.5Turvallisen järjestelmän arkkitehtuuri ja suunnitteluperiaatteet
Tekniset säädötLiite A 8.28UUSITurvallinen koodaus
Tekniset säädötLiite A 8.29Liite A 14.2.8
Liite A 14.2.9		Tietoturvatestaus kehitys- ja hyväksymisvaiheessa
Tekniset säädötLiite A 8.30Liite A 14.2.7Ulkoistettu kehitys
Tekniset säädötLiite A 8.31Liite A 12.1.4
Liite A 14.2.6		Kehitys-, testaus- ja tuotantoympäristöjen erottaminen toisistaan
Tekniset säädötLiite A 8.32Liite A 12.1.2
Liite A 14.2.2
Liite A 14.2.3
Liite A 14.2.4		Muutoksen hallinta
Tekniset säädötLiite A 8.33Liite A 14.3.1Testitiedot
Tekniset säädötLiite A 8.34Liite A 12.7.1Tietojärjestelmien suojaus tarkastustestauksen aikana

Miten ISMS.online Ohje

Pilvipohjaisen alustamme ja työkalujemme avulla organisaatiot voivat perustaa tietoturvan hallintajärjestelmä (ISMS) ISO 27001:2022:n mukaisesti.

Näitä työkaluja ovat:

  1. Mallit yleisille yritysasiakirjoille.

  2. Käytännöt ja menettelyt ovat ennalta määritettyjä.

  3. Sisäisten tarkastusten tukeminen auditointityökalulla.

  4. Hyväksynnän työnkulku kaikille käytäntöihin ja menettelyihin tehdyille muutoksille.

  5. Tarkistuslista varmistaaksesi, että tietoturvakäytännöt ja prosessit noudattavat kansainvälisiä standardeja.

Tutustu työkalupakkiimme oleviin ominaisuuksiin mennessä varata demo.

Tutustu alustaamme

Varaa räätälöity käytännönläheinen istunto
tarpeidesi ja tavoitteidesi perusteella
Varaa esittelysi

Varmennettujen tulosten menetelmä
100 % ISO 27001 menestys

Yksinkertainen, käytännöllinen ja aikaa säästävä polkusi ensimmäistä kertaa ISO 27001 -vaatimustenmukaisuuteen tai -sertifiointiin

Varaa esittelysi

ISMS.online tukee nyt ISO 42001 -standardia - maailman ensimmäistä tekoälyn hallintajärjestelmää. Napsauta saadaksesi lisätietoja