ISO 27002:2022, ohjaus 5.16 – identiteetin hallinta

Yleinen Ohjeistus

Valvonnan 5.16 noudattaminen saavutetaan varmistamalla, että identiteettiin perustuvat menettelyt ilmaistaan ​​selkeästi politiikka-asiakirjoissa, ja seuraamalla henkilöstön päivittäistä noudattamista.

5.16 luettelee kuusi päämenettelyä, joita organisaation on noudatettava täyttääkseen tietoturvan ja kyberturvallisuuden hallinnan edellyttämät standardit:

• Kun henkilölle on määritetty identiteetit, vain kyseinen henkilö voi todentaa ja/tai käyttää tätä identiteettiä, kun hän käyttää verkkoresursseja.
  
  

  Noudattaminen – IT-käytännöissä on määrättävä selkeästi, että käyttäjät eivät saa jakaa kirjautumistietoja tai sallia muiden käyttäjien liikkua verkossa millään muulla kuin heille osoitetulla henkilöllisyydellä.

• Joskus voi olla tarpeen määrittää identiteetti useille ihmisille – tunnetaan myös nimellä "jaettu identiteetti". Tätä lähestymistapaa tulisi käyttää säästeliäästi ja vain tiettyjen toiminnallisten vaatimusten täyttämiseksi.
  
  

  Noudattaminen – Organisaatioiden tulisi käsitellä jaettujen identiteettien rekisteröintiä erillisenä menettelynä yhden käyttäjän identiteeteille, joissa on erityinen hyväksyntätyönkulku.

• Niin sanotut "ei-ihmis" entiteetit (kuten nimestä voi päätellä, mikä tahansa identiteetti, joka ei liity todelliseen käyttäjään) tulee rekisteröintihetkellä tarkastella eri tavalla kuin käyttäjäpohjaisia ​​identiteettejä.
  
  

  Noudattaminen – Kuten jaetuilla identiteeteillä, ei-inhimillisillä identiteeteillä pitäisi puolestaan ​​olla oma hyväksymis- ja rekisteröintiprosessi, joka tunnustaa taustalla olevan eron identiteetin määrittämisen henkilölle ja sen myöntämisen välillä omaisuudelle, sovellukselle tai laitteelle.

• Verkon ylläpitäjän tulee poistaa käytöstä identiteetit, joita ei enää tarvita (poistujat, redundantit resurssit jne.), tai ne on poistettava kokonaan tarpeen mukaan.
  
  

  Noudattaminen – IT-henkilöstön pitäisi suorittaa säännöllisiä tarkastuksia jossa luetellaan identiteetit käyttöjärjestyksessä ja yksilöidään, mitkä entiteetit (ihmis- tai ei-ihmis) voidaan keskeyttää tai poistaa. Henkilöstöhenkilöstön tulisi sisällyttää identiteetinhallinta poistumismenettelyihinsä ja informoida IT-henkilöstöä poistuvista ajoissa.

• Päällekkäisiä identiteettejä tulee välttää kaikin keinoin. Yritysten tulee noudattaa kaikkialla "yksi entiteetti, yksi identiteetti" -sääntöä.
  
  

  Noudattaminen – IT-henkilöstön tulee pysyä valppaana jakaessaan rooleja verkon yli ja varmistaa, että entiteeteille ei myönnetä käyttöoikeuksia useiden henkilöllisyyksien perusteella.

• Kaikista identiteetin hallintaan ja todennustietoihin liittyvistä "merkittävistä tapahtumista" tulee pitää riittävää kirjaa.
  
  

  Noudattaminen – Termi "merkittävä tapahtuma" voidaan tulkita eri tavoin, mutta perustasolla organisaatiot tarvitsevat varmistaakseen, että niiden hallintomenettelyihin kuuluvat henkilöllisyyden rekisteröintiasiakirjat, luotettavat muutospyyntöprotokollat ​​asianmukaisella hyväksyntämenettelyllä ja kyky tuottaa kattava luettelo määritetyistä henkilöllisyydestä milloin tahansa.

Täydentävä opas

Kuuden tärkeimmän toiminnallisen näkökohdan lisäksi kohdassa 5.16 luetellaan myös neljä vaihetta, joita organisaatioiden on noudatettava luodessaan identiteettiä ja myöntäessään sitä pääsy verkkoresursseihin (käyttöoikeuksien muuttaminen tai poistaminen käsitellään hallinnassa 5.18):

• Perustele liiketapaus ennen identiteetin luomista
  
  

  Noudattaminen – On tärkeää tunnustaa, että identiteetin hallinta muuttuu eksponentiaalisesti vaikeammaksi jokaisen luotavan uuden identiteetin myötä. Organisaatioiden tulisi luoda uusia identiteettejä vain silloin, kun siihen on selkeä tarve.

• Varmista, että entiteetti, jolle henkilöllisyys (ihmisen tai ei-ihmisen) määrätään, on vahvistettu itsenäisesti.
  
  

  Noudattaminen – Kun liiketoimintatapaus on hyväksytty, identiteetin ja pääsynhallintamenettelyjen tulisi sisältää vaiheet, joilla varmistetaan, että uuden identiteetin vastaanottavalla henkilöllä tai omaisuudella on tarvittavat valtuudet tehdä niin ennen identiteetin luomista.

• Identiteetin perustaminen
  
  

  Kun kokonaisuus on varmennettu, IT-henkilöstön tulee luoda identiteetti, joka on liiketoimintatapausten vaatimusten mukainen ja rajoittuu muutospyyntöasiakirjoissa mainittuun.

• Lopullinen konfigurointi ja aktivointi
  
  Viimeinen vaihe prosessissa identiteetin määrittäminen sen eri käyttöoikeuksiin ja rooleihin (RBAC) ja kaikkiin niihin liittyviin vaadittaviin todennuspalveluihin.

Muutoksia standardista ISO 27002:2013

general

27002:2022 / 5.16 korvaa 27002:2013/9.2.1 (Käyttäjien rekisteröinti ja poistaminen) – joka itse kuului 27002:2013:n User Access Management -hallintasarjaan. Vaikka näiden kahden ohjauksen välillä on joitain yhtäläisyyksiä – lähinnä ylläpitoprotokollien ja redundanttien tunnusten deaktivoinnin osalta – 5.16 sisältää paljon kattavamman joukon ohjeita, jotka pyrkivät käsittelemään identiteetin ja pääsyn hallintaa päästä päähän -konseptina.

Ihmisen vs. ei-ihmisidentiteetit

Suurin ero vuoden 2022 kontrollin ja sen 2013 edeltäjän välillä on sen tunnustaminen, että vaikka rekisteröintiprosessissa on eroja, ihmisten ja ei-ihmisiden identiteettejä ei enää käsitellä toisistaan ​​erillisinä yleisissä verkonhallinnassa.

Nykyaikaisen identiteetin ja pääsynhallinnan sekä Windows-pohjaisten RBAC-protokollien ilmaantumisen myötä IT-hallinto ja parhaiden käytäntöjen ohjeet puhuvat ihmis- ja ei-ihmisidentiteetistä enemmän tai vähemmän keskenään. 27002:2013/9.2.1 ei sisällä ohjeita ei-inhimillisten identiteettien hallintaan, ja se koskee vain sen hallintaa, jota se kutsuu "käyttäjätunnuksiksi" (eli kirjautumistiedot, joita käytetään verkkoon pääsyyn, sekä Salasana).

Dokumentointi

Kuten olemme nähneet, 27002:2013/5.16 sisältää selkeät ohjeet paitsi identiteetin hallinnan yleisistä turvallisuusvaikutuksista, myös siitä, kuinka organisaatioiden tulee tallentaa ja käsitellä tietoja ennen identiteetin määrittämistä ja koko sen elinkaaren ajan. Vertailun vuoksi 27002:2013/9.2.1 mainitsee vain lyhyesti IT-hallinnon oheisroolin ja rajoittuu IT-henkilöstön suorittamaan identiteetinhallinnan fyysiseen käytäntöön.