ISO 27001:2022 Liite A Valvonta 8.5

Yleiset ohjeet standardista ISO 27001:2022 liite A 8.5

Organisaatioiden tulee ottaa huomioon käytettävien tietojen ja verkon tyyppi ja herkkyys todennuksen hallintaa harkitessaan. Esimerkkejä tällaisista ohjaimista ovat:

• Älykkäät kulunvalvontalaitteet (älykortit).
• Biometriset kirjautumistiedot.
• Turvalliset merkit.
• Monitekijätodennus (MFA).
• Digitaaliset sertifikaatit.

Yrityksen turvallisten todennustoimenpiteiden ensisijaisena tavoitteena tulee olla estää ja vähentää luvattoman pääsyn mahdollisuutta suojattuihin järjestelmiin.

Tämän saavuttamiseksi ISO 27001:2022 liitteessä A 8.5 esitetään kaksitoista tärkeintä ohjetta. Yritysten tulee:

1. Varmista, että tiedot näytetään vasta onnistuneen todennusprosessin jälkeen.
2. Näytä ennen kirjautumista varoitusviesti, jossa kerrotaan selvästi, että vain valtuutetut käyttäjät voivat käyttää tietoja.
3. Vähennä apua, jota annetaan luvattomille ihmisille, jotka yrittävät päästä järjestelmään. Yritykset eivät esimerkiksi saisi paljastaa, mikä kirjautumisen osa on ollut virheellinen, kuten monivaiheisen todennuksen kirjautumisen biometrinen tekijä, vaan ilmoittaa vain, että sisäänkirjautuminen ei ole toiminut.
4. Tarkista kirjautumisyritys vasta, kun kaikki tarvittavat tiedot on toimitettu kirjautumispalveluun turvallisuuden ylläpitämiseksi.
5. Ota käyttöön alan standardien mukaisia ​​suojaustoimenpiteitä suojautuaksesi kirjautumisportaaleihin kohdistuvilta yleisiltä pääsyltä ja raa'alta voimalta. Näitä voivat olla:
• CAPTCHA on suojausominaisuus, joka edellyttää merkkijonon syöttämistä varmistaaksesi, että olet ihmiskäyttäjä.
• Salasanan nollaus pakotetaan tiettyjen epäonnistuneiden kirjautumisyritysten jälkeen.
• Tietyn määrän epäonnistuneiden yritysten jälkeen uudet kirjautumiset estetään. Voit estää tämän asettamalla rajan.
6. Tarkastuksen ja turvallisuuden vuoksi jokainen epäonnistunut kirjautumisyritys on merkittävä muistiin, mukaan lukien rikos- ja/tai viranomaismenettelyt.
7. Jos kirjautumisessa ilmenee merkittäviä eroja, kuten epäillään tunkeutumista, turvahäiriö on aloitettava välittömästi. Sisäiselle henkilöstölle, erityisesti niille, joilla on järjestelmänvalvojan oikeudet tai mahdollisuus estää haitalliset kirjautumisyritykset, on ilmoitettava välittömästi.
8. Kun onnistunut kirjautuminen on vahvistettu, tietyt tiedot on siirrettävä toiseen tietovarastoon, joka sisältää seuraavat tiedot:
• Viimeisin onnistunut kirjautuminen tapahtui [päivämäärä] kello [aika].
• Tietue kaikista kirjautumisyrityksistä viimeisen todennetun kirjautumisen jälkeen.
9. Näytä salasanat tähtinä tai muina vastaavina abstrakteina symboleina, ellei siihen ole syytä (esim. käyttäjän saavutettavuus).
10. Ei toleranssia salasanojen jakamiselle tai näyttämiselle pelkällä, luettavalla tekstillä.
11. Varmista, että käyttämättömät kirjautumisistunnot lopetetaan tietyn ajan kuluttua. Tämä on erityisen tärkeää istuntoihin korkean riskin paikoissa (etätyö tilanteissa) tai käyttäjien omistamissa laitteissa, kuten kannettavissa tietokoneissa tai matkapuhelimissa.
12. Rajoita aikaa, jonka todennettu istunto voi pysyä auki, vaikka se olisi aktiivinen, riippuen käytettävissä olevista tiedoista (esim. tärkeät yritystiedot tai rahaan liittyvät ohjelmat).

Biometristen kirjautumisten ohjeet

Kansainvälinen standardointijärjestö vaatii, että biometriset kirjautumisprosessit yhdistetään vähintään toinen kirjautumistekniikka, johtuen niiden suhteellisesta tehokkuudesta ja eheydestä verrattuna perinteisiin menetelmiin, kuten salasanoihin, MFA:hin ja tokeneihin.

Muutokset ja erot standardista ISO 27001:2013

ISO 27001:2022 Liite A 8.5 korvaa standardin ISO 27001:2013 Liite A 9.4.2 (Suojatut kirjautumisprotokollat).

ISO 27001:2022 Liite A 8.5 on versio vuoden 2013 versiosta, jossa on pieniä muutoksia kieleen ja sen taustalla ovat samat turvallisuusperiaatteet. Asiakirja sisältää edelleen 12 tuttua ohjekohtaa.

Viimeisten kymmenen vuoden aikana lisääntyneen monitekijätodennus- ja biometristen kirjautumistekniikoiden käytön mukaisesti ISO 27001:2022 -standardin liite A 8.5 sisältää selkeät ohjeet siitä, kuinka organisaatioiden tulee ottaa nämä tekniikat huomioon laatiessaan omia kirjautumissäätimiä.

Taulukko kaikista ISO 27001:2022 liitteen A ohjaimista

Alla olevasta taulukosta löydät lisätietoja jokaisesta henkilöstä ISO 27001:2022 liite A Ohjaus.

Miten ISMS.online Ohje

Pilvipohjainen alustamme tarjoaa sinulle vahvat puitteet tietoturva ohjaimia, jotka auttavat ISMS-prosessia ja varmistavat, että se täyttää ISO 27001:2022 -kriteerit. Oikein käytettynä, ISMS.online voi auttaa sinua saamaan sertifioinnin minimaalisella ajalla ja resursseilla.

Ota yhteyttä jo tänään järjestää mielenosoitus.