ISO 27001:2022 Liite A 8.3 – Tietojen pääsyn rajoitus

• nähdä ISO 27002:2022 Control 8.3 lisätietoja.
• nähdä ISO 27001:2013 Liite A 9.4.1 lisätietoja.

ISO 27001:2022 liitteen A tarkoitus 8.3

Organisaation tietoturvapolitiikka on vahvasti riippuvainen sisäisestä ja ulkoisesta tiedonsaannista.

ISO 27001: 2022 Liite A 8.3 on a ehkäisevä toimenpide että hallita riskiä luomalla säännöt ja menettelyt estämään luvattoman pääsyn/väärinkäytön organisaation tietoihin ja ICT-omaisuuteen.

Liitteen A omistusoikeus 8.3

ISO 27001:2022 Liite A 8.3 koskee organisaation kykyä säännellä tiedon saantia. Se varmistaa, että tiedot ovat vain valtuutetun henkilöstön saatavilla.

Tietojen ja tietoturvakäytäntöjen omistusoikeus olisi kuuluttava Tietoturvajohtaja (tai niitä vastaava organisaatio). Tämä henkilö ottaa täyden vastuun organisaation yleisestä turvallisuudesta.

Yleiset ohjeet standardista ISO 27001:2022 liite A 8.3

Säilyttääkseen tehokkaan tiedon ja ICT-omaisuuden hallinnan organisaatioiden tulee ottaa aihekohtainen lähestymistapa tiedon saatavuuteen ja tukea pääsynrajoitustoimenpiteitä, kuten:

1. Estä anonyymi pääsy tietoihin, mukaan lukien laaja julkinen pääsy:
• Organisaatioiden tulee varmistaa, että pääsy myönnetään yleisölle tai kolmannet osapuolet eivät sisällä arkaluonteisia tai liiketoiminnan kannalta kriittisiä tietoja.
2. Varmista pääsyä säätelevien järjestelmien asianmukainen ylläpito ja kaikki niihin liittyvät liiketoimintasovellukset tai -menettelyt.
3. Aseta tietojen käyttöoikeus yksilötasolle.
4. Esittele tietojen käyttöoikeudet ryhmien välillä, jotka vahvistavat toimintoja, kuten luku-, kirjoitus-, poisto- ja suoritusoikeudet.
5. Säilytä kyky osioida tärkeitä prosesseja ja sovelluksia erilaisin fyysisin ja digitaalisin pääsyrajoituksin.

Dynaamisen pääsynhallinnan opas

ISO 27001:2022 Liite A 8.3 suosittelee dynaamista lähestymistapaa tiedon saatavuuteen.

Dynaamisella pääsynhallinnalla on monia myönteisiä vaikutuksia organisaation toimintoihin, joihin liittyy sisäisten tietojen jakaminen tai hyödyntäminen ulkoisten käyttäjien kanssa, mikä johtaa nopeampaan tapausten ratkaisemiseen.

Dynaamiset pääsynhallintatekniikat suojaavat erilaisia ​​tietotyyppejä tavallisista asiakirjoista sähköposteihin ja tietokantatietoihin. Lisäksi niitä voidaan soveltaa yksittäisiin tiedostoihin, jolloin organisaatiot voivat hallita tietojaan tarkasti.

Organisaatioiden tulee ottaa tämä huomioon, kun:

• Tarkkaa ohjausta tarvitaan sen määrittämiseksi, mitkä ihmiset ja muut käyttäjät voivat käyttää tietoja kulloinkin.
• Tietoja on jaettava ulkopuolisten tahojen (esim. toimittajien tai valtion virastojen) kanssa.
• "Reaaliaikainen" lähestymistapa tiedonhallintaan ja jakeluun edellyttää tietojen käytön seurantaa ja hallintaa sen tapahtuessa.
• Tietojen suojaaminen luvattomilta muutoksilta, jakelulta tai tulostukselta.
• Tietojen saatavuuden ja muuttamisen seuranta, erityisesti silloin, kun se on arkaluonteista, on välttämätöntä.

Dynaaminen käyttöoikeuksien hallinta on erityisen hyödyllistä organisaatioille, jotka vaativat tietojen tarkkailua ja säilyttämistä alusta alkaen tuhoamiseen, mukaan lukien:

• Käyttötapaus tai käyttötapausten sarja voidaan hahmotella tietojen käyttösääntöjen soveltamiseksi alla olevien muuttujien perusteella:
• Sijainti
• Hakemus
• Identiteetti
• Laite
• Esittele prosessi, joka sisältää tiedot toiminta ja seurantasekä kattavan raportointijärjestelmän luominen, joka perustuu luotettavaan tekniseen infrastruktuuriin.

Kaikkien yritysten luoda tehokas kulunvalvontajärjestelmä pitäisi johtaa tietojen suojaamiseen:

1. Tietojen käytön varmistaminen on onnistuneen todennuksen tulos.
2. Tietty rajoitettu käyttöoikeus, joka riippuu tietotyypistä ja sen vaikutuksesta liiketoiminnan jatkuvuus, täytyy laittaa paikoilleen.
3. Tulostusoikeudet.
4. Salaus.
5. Kattava tarkastuslokit on säilytettävä tietue, kuka käyttää tietoja ja mikä on tietojen käyttötarkoitus.
6. Hälytysmenettely, joka ilmoittaa tietojen sopimattomasta käytöstä, mukaan lukien (joskaan ei rajoitu) luvaton pääsy, jakelu ja poistoyritykset.

Muutokset ja erot standardista ISO 27001:2013

ISO 27001:2022 Liite A 8.3 korvaa standardin ISO 27001:2013 Liite A 9.4.1 (Tiedon pääsyn rajoitus), joka edustaa suurta muutosta siinä, miten ISO suhtautuu tiedonsaannin hallintaan.

Tämä dynaaminen lähestymistapa, jota ei mainittu ISO 27001:2013 liitteessä A 9.4.1, ottaa huomioon tietoturvan kehittyvän luonteen.

ISO 27001:2022 Liite 8.3 sisältää runsaasti ohjeita dynaamisesta käyttöoikeuksien hallinnasta, joita ei löydy ISO 27001:2013 -versiosta. Tästä syystä organisaatioiden tulee tarkastella näitä ehdotuksia aihekohtaisesti sertifiointia hakeessaan.

Taulukko kaikista ISO 27001:2022 liitteen A ohjaimista

Alla olevasta taulukosta löydät lisätietoja jokaisesta henkilöstä ISO 27001:2022 liite A Ohjaus.

Miten ISMS.online Ohje

ISMS.Online on johtava ISO 27001 -hallintajärjestelmäohjelmisto, joka auttaa noudattamaan ISO 27001 -standardia ja antaa yrityksille mahdollisuuden mukauttaa tietoturvapolitiikkansa ja -menettelynsä standardin kanssa.

Tämä pilvipohjainen alusta tarjoaa organisaatioille täyden valikoiman työkaluja, jotka auttavat niitä rakentamaan ISO 27001:2022 -standardin mukaisen ISMS-tietoturvajärjestelmän.

Olemme rakentaneet alustamme alusta alkaen yhteistyössä kansainvälisten tietoturvaasiantuntijoiden kanssa. Olemme suunnitelleet sen intuitiiviseksi ja suoraviivaiseksi käyttäjille, joilla ei ole teknistä asiantuntemusta Tietoturvan hallintajärjestelmät (ISMS).

Ota meihin yhteyttä nyt järjestää mielenosoitus.