ISO 27002:2022 – Ohjaus 5.16 – Identiteetin hallinta

Mikä on hallinnan tarkoitus 5.16?

5.16 käsittelee organisaation kykyä tunnistaa kuka (käyttäjät, käyttäjäryhmät) tai mikä (sovellukset, järjestelmät ja laitteet) käyttää dataa tai IT-omaisuutta kulloinkin, ja kuinka näille henkilöllisyyksille myönnetään käyttöoikeudet verkon yli.

5.16 on ennaltaehkäisevä valvonta, joka ylläpitää riskiä toimimalla pääkehänä kaikille asiaan liittyville tietoturva ja kyberturvallisuus toiminnot sekä ensisijaisen tilan hallinta, joka sanelee organisaation identiteetin ja pääsynhallintakehyksen.

Ohjauksen ominaisuudet 5.16

Omistus

Koska 5.16 palvelee ensisijaisesti ylläpitotoimintoa, omistajuus tulisi suunnata IT-henkilöstölle, jolle on myönnetty Global Administrator -oikeudet (tai vastaavat muussa kuin Windows-pohjaisessa infrastruktuurissa).

Vaikka on olemassa muita sisäänrakennettuja rooleja, joiden avulla käyttäjät voivat hallita identiteettejä (esim. verkkotunnuksen järjestelmänvalvoja), 5.16:n omistusoikeus kuuluu henkilölle, jolla on lopullinen rooli. vastuu organisaation koko verkostosta, mukaan lukien kaikki aliverkkotunnukset ja Active Directory -vuokralaiset.

Yleinen Ohjeistus

Valvonnan 5.16 noudattaminen saavutetaan varmistamalla, että identiteettiin perustuvat menettelyt ilmaistaan ​​selkeästi politiikka-asiakirjoissa, ja seuraamalla henkilöstön päivittäistä noudattamista.

5.16 luettelee kuusi päämenettelyä, joita organisaation on noudatettava täyttääkseen tietoturvan ja kyberturvallisuuden hallinnan edellyttämät standardit:

• Kun henkilölle on määritetty identiteetit, vain kyseinen henkilö voi todentaa ja/tai käyttää tätä identiteettiä, kun hän käyttää verkkoresursseja.

Noudattaminen – IT-käytännöissä on määrättävä selkeästi, että käyttäjät eivät saa jakaa kirjautumistietoja tai sallia muiden käyttäjien liikkua verkossa millään muulla kuin heille osoitetulla henkilöllisyydellä.

• Joskus voi olla tarpeen määrittää identiteetti useille ihmisille – tunnetaan myös nimellä "jaettu identiteetti". Tätä lähestymistapaa tulisi käyttää säästeliäästi ja vain tiettyjen toiminnallisten vaatimusten täyttämiseksi.

Noudattaminen – Organisaatioiden tulisi käsitellä jaettujen identiteettien rekisteröintiä erillisenä menettelynä yhden käyttäjän identiteeteille, joissa on erityinen hyväksyntätyönkulku.

• Niin sanotut "ei-ihmis" entiteetit (kuten nimestä voi päätellä, mikä tahansa identiteetti, joka ei liity todelliseen käyttäjään) tulee rekisteröintihetkellä tarkastella eri tavalla kuin käyttäjäpohjaisia ​​identiteettejä.

Noudattaminen – Kuten jaetuilla identiteeteillä, ei-inhimillisillä identiteeteillä pitäisi puolestaan ​​olla oma hyväksymis- ja rekisteröintiprosessi, joka tunnustaa taustalla olevan eron identiteetin määrittämisen henkilölle ja sen myöntämisen välillä omaisuudelle, sovellukselle tai laitteelle.

• Verkon ylläpitäjän tulee poistaa käytöstä identiteetit, joita ei enää tarvita (poistujat, redundantit resurssit jne.), tai ne on poistettava kokonaan tarpeen mukaan.

Noudattaminen – IT-henkilöstön pitäisi suorittaa säännöllisiä tarkastuksia jossa luetellaan identiteetit käyttöjärjestyksessä ja yksilöidään, mitkä entiteetit (ihmis- tai ei-ihmis) voidaan keskeyttää tai poistaa. Henkilöstöhenkilöstön tulisi sisällyttää identiteetinhallinta poistumismenettelyihinsä ja informoida IT-henkilöstöä poistuvista ajoissa.

• Päällekkäisiä identiteettejä tulee välttää kaikin keinoin. Yritysten tulee noudattaa kaikkialla "yksi entiteetti, yksi identiteetti" -sääntöä.

Noudattaminen – IT-henkilöstön tulee pysyä valppaana jakaessaan rooleja verkon yli ja varmistaa, että entiteeteille ei myönnetä käyttöoikeuksia useiden henkilöllisyyksien perusteella.

• Kaikista identiteetin hallintaan ja todennustietoihin liittyvistä "merkittävistä tapahtumista" tulee pitää riittävää kirjaa.

Noudattaminen – Termi "merkittävä tapahtuma" voidaan tulkita eri tavoin, mutta perustasolla organisaatiot tarvitsevat varmistaakseen, että niiden hallintomenettelyihin kuuluvat henkilöllisyyden rekisteröintiasiakirjat, luotettavat muutospyyntöprotokollat ​​asianmukaisella hyväksyntämenettelyllä ja kyky tuottaa kattava luettelo määritetyistä henkilöllisyydestä milloin tahansa.

Täydentävä opas

Kuuden tärkeimmän toiminnallisen näkökohdan lisäksi kohdassa 5.16 luetellaan myös neljä vaihetta, joita organisaatioiden on noudatettava luodessaan identiteettiä ja myöntäessään sitä pääsy verkkoresursseihin (käyttöoikeuksien muuttaminen tai poistaminen käsitellään hallinnassa 5.18):

• Perustele liiketapaus ennen identiteetin luomista

Noudattaminen – On tärkeää tunnustaa, että identiteetin hallinta muuttuu eksponentiaalisesti vaikeammaksi jokaisen luotavan uuden identiteetin myötä. Organisaatioiden tulisi luoda uusia identiteettejä vain silloin, kun siihen on selkeä tarve.

• Varmista, että entiteetti, jolle henkilöllisyys (ihmisen tai ei-ihmisen) määrätään, on vahvistettu itsenäisesti.

Noudattaminen – Kun liiketoimintatapaus on hyväksytty, identiteetin ja pääsynhallintamenettelyjen tulisi sisältää vaiheet, joilla varmistetaan, että uuden identiteetin vastaanottavalla henkilöllä tai omaisuudella on tarvittavat valtuudet tehdä niin ennen identiteetin luomista.

• Identiteetin perustaminen

Kun kokonaisuus on varmennettu, IT-henkilöstön tulee luoda identiteetti, joka on liiketoimintatapausten vaatimusten mukainen ja rajoittuu muutospyyntöasiakirjoissa mainittuun.

• Lopullinen konfigurointi ja aktivointi

Viimeinen vaihe prosessissa identiteetin määrittäminen sen eri käyttöoikeuksiin ja rooleihin (RBAC) ja kaikkiin niihin liittyviin vaadittaviin todennuspalveluihin.

Muutoksia standardista ISO 27002:2013

general

27002:2022 / 5.16 korvaa 27002:2013/9.2.1 (Käyttäjien rekisteröinti ja poistaminen) – joka itse kuului 27002:2013:n User Access Management -hallintasarjaan. Vaikka näiden kahden ohjauksen välillä on joitain yhtäläisyyksiä – lähinnä ylläpitoprotokollien ja redundanttien tunnusten deaktivoinnin osalta – 5.16 sisältää paljon kattavamman joukon ohjeita, jotka pyrkivät käsittelemään identiteetin ja pääsyn hallintaa päästä päähän -konseptina.

Ihmisen vs. ei-ihmisidentiteetit

Suurin ero vuoden 2022 kontrollin ja sen 2013 edeltäjän välillä on sen tunnustaminen, että vaikka rekisteröintiprosessissa on eroja, ihmisten ja ei-ihmisiden identiteettejä ei enää käsitellä toisistaan ​​erillisinä yleisissä verkonhallinnassa.

Nykyaikaisen identiteetin ja pääsynhallinnan sekä Windows-pohjaisten RBAC-protokollien ilmaantumisen myötä IT-hallinto ja parhaiden käytäntöjen ohjeet puhuvat ihmis- ja ei-ihmisidentiteetistä enemmän tai vähemmän keskenään. 27002:2013/9.2.1 ei sisällä ohjeita ei-inhimillisten identiteettien hallintaan, ja se koskee vain sen hallintaa, jota se kutsuu "käyttäjätunnuksiksi" (eli kirjautumistiedot, joita käytetään verkkoon pääsyyn, sekä Salasana).

Dokumentaatio

Kuten olemme nähneet, 27002:2013/5.16 sisältää selkeät ohjeet paitsi identiteetin hallinnan yleisistä turvallisuusvaikutuksista, myös siitä, kuinka organisaatioiden tulee tallentaa ja käsitellä tietoja ennen identiteetin määrittämistä ja koko sen elinkaaren ajan. Vertailun vuoksi 27002:2013/9.2.1 mainitsee vain lyhyesti IT-hallinnon oheisroolin ja rajoittuu IT-henkilöstön suorittamaan identiteetinhallinnan fyysiseen käytäntöön.

Uudet ISO 27002 -säätimet