Mikä on hallinnan tarkoitus 5.16?
5.16 käsittelee organisaation kykyä tunnistaa kuka (käyttäjät, käyttäjäryhmät) tai mikä (sovellukset, järjestelmät ja laitteet) käyttää dataa tai IT-omaisuutta kulloinkin, ja kuinka näille henkilöllisyyksille myönnetään käyttöoikeudet verkon yli.
5.16 on ennaltaehkäisevä kontrolli, joka ylläpitää riskiä toimimalla kaikkien siihen liittyvien tietoturva- ja kyberturvallisuustoimintojen pääasiallisena reunaehtona sekä ensisijaisena hallintatapana, joka sanelee organisaation identiteetin ja pääsynhallinnan kehyksen.
Ohjauksen ominaisuudet 5.16
| Ohjaus | Tietoturvaominaisuudet | Kyberturvallisuuden käsitteet | Toiminnalliset valmiudet | Turvallisuus Domains |
|---|---|---|---|---|
| #Ennaltaehkäisevä | #Luottamuksellisuus | #Suojella | #Identiteetti- ja pääsyhallinta | #Suojaus |
| #Integrity | ||||
| #Saatavuus |
Omistus
Koska 5.16 palvelee ensisijaisesti ylläpitotoimintoa, omistajuus tulisi suunnata IT-henkilöstölle, jolle on myönnetty Global Administrator -oikeudet (tai vastaavat muussa kuin Windows-pohjaisessa infrastruktuurissa).
Vaikka on olemassa muita sisäänrakennettuja rooleja, jotka sallivat käyttäjien hallita identiteettejä (esim. toimialueen järjestelmänvalvoja), 5.16:n omistajuuden tulisi olla henkilöllä, jolla on lopullinen vastuu organisaation koko verkosta , mukaan lukien kaikki aliverkkotunnukset ja Active Directory -vuokraajat.
ISO 27001 helposti
81 %:n etumatka ensimmäisestä päivästä lähtien
Olemme tehneet kovan työn puolestasi ja antavat sinulle 81 % etumatkan kirjautuessasi sisään. Sinun tarvitsee vain täyttää tyhjät kohdat.
Yleinen Ohjeistus
Valvonnan 5.16 noudattaminen saavutetaan varmistamalla, että identiteettiin perustuvat menettelyt ilmaistaan selkeästi politiikka-asiakirjoissa, ja seuraamalla henkilöstön päivittäistä noudattamista.
5.16 luettelee kuusi päämenettelyä, joita organisaation on noudatettava täyttääkseen tietoturvan ja kyberturvallisuuden hallinnan edellyttämät standardit:
- Kun henkilölle on määritetty identiteetit, vain kyseinen henkilö voi todentaa ja/tai käyttää tätä identiteettiä, kun hän käyttää verkkoresursseja.
Vaatimustenmukaisuus – IT-käytäntöjen on selkeästi määrättävä, että käyttäjät eivät saa jakaa kirjautumistietojaan tai antaa muiden käyttäjien vaeltaa verkossa millään muulla kuin heille määritetyllä identiteetillä.
- Joskus voi olla tarpeen määrittää identiteetti useille ihmisille – tunnetaan myös nimellä "jaettu identiteetti". Tätä lähestymistapaa tulisi käyttää säästeliäästi ja vain tiettyjen toiminnallisten vaatimusten täyttämiseksi.
Vaatimustenmukaisuus – Organisaatioiden tulisi käsitellä jaettujen identiteettien rekisteröintiä erillisenä menettelynä yksittäisten käyttäjien identiteeteistä, ja niille tulisi käyttää omaa hyväksyntätyönkulkuaan.
- Niin sanotut "ei-ihmis" entiteetit (kuten nimestä voi päätellä, mikä tahansa identiteetti, joka ei liity todelliseen käyttäjään) tulee rekisteröintihetkellä tarkastella eri tavalla kuin käyttäjäpohjaisia identiteettejä.
Vaatimustenmukaisuus – Kuten jaettujen identiteettien kohdalla, myös muiden kuin ihmisten identiteeteillä tulisi olla oma hyväksymis- ja rekisteröintiprosessinsa, jossa tunnustetaan identiteetin myöntämisen henkilölle ja identiteetin myöntämisen omaisuudelle, sovellukselle tai laitteelle välinen perustavanlaatuinen ero.
- Verkon ylläpitäjän tulee poistaa käytöstä identiteetit, joita ei enää tarvita (poistujat, redundantit resurssit jne.), tai ne on poistettava kokonaan tarpeen mukaan.
Vaatimustenmukaisuus – IT-henkilöstön tulisi suorittaa säännöllisiä tarkastuksia , joissa luetellaan identiteetit käyttöjärjestyksessä ja tunnistetaan, mitkä yksiköt (ihmiset tai muut) voidaan jäädyttää tai poistaa. HR-henkilöstön tulisi sisällyttää identiteetinhallinta offboarding-menettelyihinsä ja ilmoittaa IT-henkilöstölle lähtevistä henkilöistä ajoissa.
- Päällekkäisiä identiteettejä tulee välttää kaikin keinoin. Yritysten tulee noudattaa kaikkialla "yksi entiteetti, yksi identiteetti" -sääntöä.
Vaatimustenmukaisuus – IT-henkilöstön tulee pysyä valppaana rooleja verkossa määrittäessään ja varmistaa, ettei yksiköille myönnetä käyttöoikeuksia useiden identiteettien perusteella.
- Kaikista identiteetin hallintaan ja todennustietoihin liittyvistä "merkittävistä tapahtumista" tulee pitää riittävää kirjaa.
Vaatimustenmukaisuus – Termiä ”merkittävä tapahtuma” voidaan tulkita monella eri tavalla, mutta perustasolla organisaatioiden on varmistettava, että niiden hallintomenettelyihin kuuluvat henkilöllisyyden rekisteröintidokumentaatio, vankat muutospyyntöprotokollat asianmukaisella hyväksymismenettelyllä sekä kyky tuottaa kattava luettelo määritetyistä henkilöllisyyksistä milloin tahansa.
Vapauta itsesi laskentataulukoiden vuorten vallasta
Ota käyttöön, laajenna ja skaalaa vaatimustenmukaisuus ilman sotkua. Io antaa sinulle joustavuutta ja luottamusta kasvaa turvallisesti.
Täydentävä opas
Kuuden tärkeimmän operatiivisen näkökohdan lisäksi kohdassa 5.16 luetellaan neljä vaihetta, jotka organisaatioiden on noudatettava luodessaan identiteettiä ja myöntäessään sille pääsyn verkkoresursseihin (käyttöoikeuksien muuttaminen tai poistaminen käsitellään kohdassa 5.18):
- Perustele liiketapaus ennen identiteetin luomista
Vaatimustenmukaisuus – On tärkeää tiedostaa, että identiteetinhallinnasta tulee eksponentiaalisesti vaikeampaa jokaisen uuden identiteetin luomisen myötä. Organisaatioiden tulisi luoda uusia identiteettejä vain silloin, kun siihen on selkeä tarve.
- Varmista, että entiteetti, jolle henkilöllisyys (ihmisen tai ei-ihmisen) määrätään, on vahvistettu itsenäisesti.
Vaatimustenmukaisuus – Kun liiketoimintatapaus on hyväksytty, identiteetin ja pääsynhallinnan menettelytapoihin tulisi sisältyä vaiheet sen varmistamiseksi, että uuden identiteetin saavalla henkilöllä tai omaisuudella on tarvittavat valtuudet tehdä niin ennen identiteetin luomista.
- Identiteetin perustaminen
Kun kokonaisuus on varmennettu, IT-henkilöstön tulee luoda identiteetti, joka on liiketoimintatapausten vaatimusten mukainen ja rajoittuu muutospyyntöasiakirjoissa mainittuun.
- Lopullinen konfigurointi ja aktivointi
Prosessin viimeinen vaihe sisältää identiteetin määrittämisen sen erilaisille käyttöoikeuksiin ja rooleihin (RBAC) sekä kaikkiin niihin liittyviin tarvittaviin todennuspalveluihin.
Hallitse kaikkea vaatimustenmukaisuuttasi yhdessä paikassa
ISMS.online tukee yli 100 standardia ja sääntöä, mikä tarjoaa sinulle yhden alustan kaikkiin vaatimustenmukaisuustarpeisiisi.
Muutoksia standardista ISO 27002:2013
general
27002:2022 / 5.16 korvaa standardin 27002:2013/9.2.1 (käyttäjän rekisteröinti ja rekisteröinnin poistaminen) – joka itse oli osa standardin 27002:2013 käyttäjien pääsynhallintaa. Vaikka näiden kahden valvonnan välillä on joitakin yhtäläisyyksiä – pääasiassa ylläpitoprotokollissa ja tarpeettomien tunnisteiden deaktivoinnissa – 5.16 sisältää paljon kattavamman joukon ohjeita, joilla pyritään käsittelemään identiteetin ja pääsynhallintaa kokonaisvaltaisena konseptina.
Ihmisen vs. ei-ihmisidentiteetit
Suurin ero vuoden 2022 kontrollin ja sen 2013 edeltäjän välillä on sen tunnustaminen, että vaikka rekisteröintiprosessissa on eroja, ihmisten ja ei-ihmisiden identiteettejä ei enää käsitellä toisistaan erillisinä yleisissä verkonhallinnassa.
Nykyaikaisen identiteetin ja pääsynhallinnan sekä Windows-pohjaisten RBAC-protokollien ilmaantumisen myötä IT-hallinto ja parhaiden käytäntöjen ohjeet puhuvat ihmis- ja ei-ihmisidentiteetistä enemmän tai vähemmän keskenään. 27002:2013/9.2.1 ei sisällä ohjeita ei-inhimillisten identiteettien hallintaan, ja se koskee vain sen hallintaa, jota se kutsuu "käyttäjätunnuksiksi" (eli kirjautumistiedot, joita käytetään verkkoon pääsyyn, sekä Salasana).
Dokumentaatio
Kuten olemme nähneet, 27002:2013/5.16 sisältää selkeät ohjeet paitsi identiteetin hallinnan yleisistä turvallisuusvaikutuksista, myös siitä, kuinka organisaatioiden tulee tallentaa ja käsitellä tietoja ennen identiteetin määrittämistä ja koko sen elinkaaren ajan. Vertailun vuoksi 27002:2013/9.2.1 mainitsee vain lyhyesti IT-hallinnon oheisroolin ja rajoittuu IT-henkilöstön suorittamaan identiteetinhallinnan fyysiseen käytäntöön.
Uudet ISO 27002 -säätimet
| ISO/IEC 27002:2022 Control Identifier | ISO/IEC 27002:2013 Control Identifier | Ohjausnimi |
|---|---|---|
| 5.7 | UUSI | Uhan älykkyys |
| 5.23 | UUSI | Tietoturva pilvipalvelujen käyttöön |
| 5.30 | UUSI | ICT-valmius liiketoiminnan jatkuvuuteen |
| 7.4 | UUSI | Fyysisen turvallisuuden valvonta |
| 8.9 | UUSI | Kokoonpanonhallinta |
| 8.10 | UUSI | Tietojen poistaminen |
| 8.11 | UUSI | Tietojen peittäminen |
| 8.12 | UUSI | Tietovuotojen esto |
| 8.16 | UUSI | Toimien seuranta |
| 8.23 | UUSI | Web-suodatus |
| 8.28 | UUSI | Turvallinen koodaus |
| ISO/IEC 27002:2022 Control Identifier | ISO/IEC 27002:2013 Control Identifier | Ohjausnimi |
|---|---|---|
| 6.1 | 07.1.1 | Seulonta |
| 6.2 | 07.1.2 | Työsuhteen ehdot |
| 6.3 | 07.2.2 | Tietoturvatietoisuus, koulutus ja koulutus |
| 6.4 | 07.2.3 | Kurinpitoprosessi |
| 6.5 | 07.3.1 | Vastuut työsuhteen päättymisen tai muutoksen jälkeen |
| 6.6 | 13.2.4 | Luottamuksellisuus- tai salassapitosopimukset |
| 6.7 | 06.2.2 | Etätyö |
| 6.8 | 16.1.2, 16.1.3 | Tietoturvatapahtumaraportointi |
| ISO/IEC 27002:2022 Control Identifier | ISO/IEC 27002:2013 Control Identifier | Ohjausnimi |
|---|---|---|
| 7.1 | 11.1.1 | Fyysisen turvallisuuden rajat |
| 7.2 | 11.1.2, 11.1.6 | Fyysinen sisääntulo |
| 7.3 | 11.1.3 | Toimistojen, huoneiden ja tilojen turvaaminen |
| 7.4 | UUSI | Fyysisen turvallisuuden valvonta |
| 7.5 | 11.1.4 | Suojautuminen fyysisiltä ja ympäristöuhkilta |
| 7.6 | 11.1.5 | Työskentely turvallisilla alueilla |
| 7.7 | 11.2.9 | Selkeä pöytä ja selkeä näyttö |
| 7.8 | 11.2.1 | Laitteiden sijoitus ja suojaus |
| 7.9 | 11.2.6 | Omaisuuden turvallisuus muualla kuin toimitiloissa |
| 7.10 | 08.3.1, 08.3.2, 08.3.3, 11.2.5 | Tallennusvälineet |
| 7.11 | 11.2.2 | Apuohjelmia tukevat |
| 7.12 | 11.2.3 | Kaapeloinnin turvallisuus |
| 7.13 | 11.2.4 | Laitehuolto |
| 7.14 | 11.2.7 | Laitteiden turvallinen hävittäminen tai uudelleenkäyttö |
