ISO 27002:2022, ohjaus 5.17 – Todennustiedot

Määräysvallan omistus 5.17

Ottaen huomioon, että Valvonta 5.17 edellyttää organisaation laajuisten sääntöjen, menettelyjen ja toimenpiteiden luomista ja täytäntöönpanoa todennustietojen allokointia ja hallintaa varten, tietoturvavastaavien tulisi olla vastuussa Control 5.17:n noudattamisesta.

Todennustietojen allokointiohjeet

Organisaatioiden on täytettävä seuraavat kuusi vaatimusta todennustietojen allokoinnissa ja hallinnassa:

• Kun henkilökohtaiset salasanat tai henkilötunnukset luodaan automaattisesti uusien käyttäjien rekisteröintiä varten, niiden ei pitäisi olla arvattavissa. Lisäksi salasanojen tulee olla yksilöllisiä jokaiselle käyttäjälle ja salasanan vaihtamisen tulee olla pakollista ensimmäisen käyttökerran jälkeen.
• Organisaatioiden tulee luoda vankat menettelyt käyttäjän henkilöllisyyden todentamiseksi ennen kuin hänelle myönnetään uusi tai korvaava todennustieto tai hänelle toimitetaan väliaikaisia ​​tietoja.
• Organisaatioiden tulee varmistaa todennustietojen turvallinen välittäminen henkilöille suojattuja kanavia pitkin, eivätkä ne saa lähettää näitä tietoja turvattomien sähköisten viestien (esim. selkeäteksti) välityksellä.
• Käyttäjien tulee vahvistaa todennustietojen vastaanottaminen.
• Kun uudet IT-järjestelmät ja ohjelmistot on asennettu, organisaatioiden tulee vaihtaa oletustodennustiedot välittömästi.
• Organisaatioiden tulee luoda ja ylläpitää kirjaa kaikista tärkeistä tapahtumista, jotka liittyvät todennustietojen hallintaan ja allokointiin. Lisäksi nämä tietueet olisi pidettävä luottamuksellisina ja kirjaamismenetelmät olisi sallittava, esimerkiksi käyttämällä hyväksyttyä salasanatyökalua.

Ohjeita käyttäjien vastuista

Käyttäjiä, jotka voivat päästä käsiksi ja käyttää todennustietoja, tulee neuvoa noudattamaan seuraavia:

1. Käyttäjien on säilytettävä salaisten todennustietojen, kuten salasanojen, luottamuksellisuus, eivätkä he saa jakaa tällaisia ​​salaisia ​​tietoja kenenkään muun kanssa. Kun todennustietojen käytössä on useita käyttäjiä tai tieto on linkitetty ei-henkilökohtaisiin kokonaisuuksiin, todennustietoja ei saa paljastaa luvattomille henkilöille.
2. Käyttäjien on vaihdettava salasanansa välittömästi, jos heidän salasanojen luottamuksellisuus vaarantuu.
3. Käyttäjien tulee valita vaikeasti arvattavat vahvat salasanat noudattamalla alan parhaita käytäntöjä. Esimerkiksi:
• Salasanoja ei tule valita helposti hankittavien henkilökohtaisten tietojen, kuten nimien tai syntymäpäivien, perusteella.
• Salasanoja ei pidä luoda minkään helposti arvattavan perusteella.
• Salasanat eivät saa sisältää sanakirjan sanoja tai näiden sanojen yhdistelmiä.
• Salasanassa tulee käyttää aakkosnumeerisia ja erikoismerkkejä.
• Salasanoilla tulee olla vähimmäispituus.
4. Käyttäjien ei tule käyttää samaa salasanaa eri palveluissa.
5. Organisaatioiden tulee sisällyttää salasanojen luomista ja käyttöä koskevat vaatimukset työntekijöidensä kanssa tehtäviin työsopimuksiin.

Ohjeita salasananhallintajärjestelmiin

Organisaatioiden tulee noudattaa seuraavia salasanojen hallintajärjestelmää luodessaan:

• Käyttäjien tulisi voida luoda ja vaihtaa salasanojaan, ja käytössä tulee olla vahvistusmenettely, jolla varmistetaan, että syöttövirheet tunnistetaan ja korjataan.
• Organisaatioiden tulee ottaa käyttöön vahva salasanan valintaprosessi, jossa otetaan huomioon alan parhaat salasanan valintakäytännöt.
• Käyttäjien tulee pakottaa vaihtamaan oletussalasanansa, kun he ovat ensimmäisen kerran käyttäneet järjestelmää.
• Salasanan muutokset tulee toteuttaa tarvittaessa. Esimerkiksi salasanan vaihto on tarpeen turvavälikohtauksen jälkeen tai käyttäjän työsuhteen päättymisen jälkeen, jos käyttäjällä on pääsy salasanoihin.
• Aiempia salasanoja ei saa käyttää uudelleen.
• Hyvin yleisten salasanojen tai vaarantuneiden salasanojen tai käyttäjätunnusten käyttö, joita käytetään hakkeroituihin järjestelmiin pääsyssä, olisi kiellettävä.
• Kun salasanat syötetään, niiden pitäisi näkyä näytöllä pelkkänä tekstinä.
• Salasanat tulee tallentaa ja siirtää suojattujen kanavien kautta suojatussa muodossa.

Lisäksi organisaatioiden tulee suorittaa hajautus- ja salaustekniikoita salasanojen valtuutettujen salausmenetelmien mukaisesti, jotka on määritelty kohdassa Control 8.24.

Valvontaa koskevat lisäohjeet 5.17

Salasanojen lisäksi on olemassa muun tyyppisiä todennustietoja, kuten salausavaimia, älykortteja ja biometrisiä tietoja, kuten sormenjälkiä.

Organisaatioita kehotetaan tutustumaan ISO/IEC 24760 -sarjaan saadaksesi tarkempia ohjeita todennustiedoista.

Koska salasanojen toistuva vaihtaminen voi olla käyttäjille hankalaa ja ärsyttävää, organisaatiot voivat harkita vaihtoehtoisten menetelmien, kuten kertakirjautumisen tai salasanavarastojen, käyttöönottoa. On kuitenkin huomattava, että nämä vaihtoehtoiset menetelmät voivat altistaa todennustiedot suuremmalle luvattoman paljastamisen riskille.

Muutokset ja erot standardista ISO 27002:2013

27002:2022/5.17 korvaa 27002:2013/(9.2.4, 9.3.1 9.4.3)

Vuoden 2022 versio sisältää uuden vaatimuksen todennustietojen allokoinnista ja hallinnasta

Vaikka 2013- ja 2022-versiot ovat erittäin samankaltaisia ​​todennustietojen allokoinnin ja hallinnan vaatimusten suhteen, 5.17-version Control 2022 sisältää seuraavan vaatimuksen, jota ei sisällytetty vuoden 2013 versioon:

• Organisaatioiden tulee luoda ja ylläpitää kirjaa kaikista tärkeistä tapahtumista, jotka liittyvät todennustietojen hallintaan ja allokointiin. Lisäksi nämä tietueet olisi pidettävä luottamuksellisina ja kirjaamismenetelmät olisi sallittava, esimerkiksi käyttämällä hyväksyttyä salasanatyökalua.

Control 5.17 2022-versiossa sisältää lisävaatimuksen todennustietojen käytölle

Ohjaus 5.17 ottaa käyttöön seuraavan vaatimuksen käyttäjien vastuista, joita ei mainittu vuoden 9.3.1 version Control 2013:ssä.

• Organisaatioiden tulee sisällyttää salasanojen luomista ja käyttöä koskevat vaatimukset työntekijöidensä ja henkilöstönsä työsopimuksiin.

Vuoden 2013 versio sisälsi lisävaatimuksia käyttäjien vastuille, joita ei sisällytetty vuoden 2022 versioon

Toisin kuin vuoden 2022 versiossa, Control 9.3.1 sisälsi seuraavan vaatimuksen todennustietojen käytölle:

• Käyttäjien ei tule käyttää samoja todennustietoja, kuten salasanaa, sekä liiketoimintaan että muihin tarkoituksiin.

Vuoden 2013 versio sisälsi lisävaatimuksen salasananhallintajärjestelmille, jotka eivät sisältyneet vuoden 2022 versioon

Control 9.4.3 2013-versiossa sisälsi seuraavan vaatimuksen salasanojen hallintajärjestelmille.

• Salasanoja sisältävät tiedostot tulee isännöidä sovellusjärjestelmän tiedoista erillisessä järjestelmässä.

Control 5.17 2022-versiossa sitä vastoin ei sisältänyt tätä vaatimusta.

Miten ISMS.online auttaa

ISMS.Online auttaa organisaatioita ja yrityksiä täyttämään ISO 27002 -standardin vaatimukset tarjoamalla niille alustan, jonka avulla on helppo hallita luottamuksellisuus- tai salassapitokäytäntöjä ja -menettelyjä, päivittää niitä tarpeen mukaan, testata ja seurata niiden tehokkuutta.

Tarjoamme pilvipohjaisen alustan luottamuksellisuuden ja tietoturvan hallintajärjestelmien hallintaan, mukaan lukien salassapitolausekkeet, riskinhallinta, käytännöt, suunnitelmat ja menettelyt yhdessä keskeisessä paikassa. Alusta on helppokäyttöinen ja siinä on intuitiivinen käyttöliittymä, jonka avulla sen käytön oppiminen on helppoa.

Ota yhteyttä jo tänään aikataulun esittely.