Turvallisen pääsyn varmistaminen: ISO 27002 Control 5.18 Selitetty
Jokaisella organisaatiosi työntekijällä on oltava pääsy tiettyihin tietokoneisiin, tietokantoihin, tietojärjestelmiin ja sovelluksiin tehtäviensä suorittamiseksi.
Vaikka henkilöstöhenkilöstö saattaa esimerkiksi tarvita pääsyn työntekijöiden arkaluonteisiin terveystietoihin, talousosastosi voi luottaa työntekijöiden palkkatiedot sisältävien tietokantojen käyttöön ja käyttämiseen.
Nämä käyttöoikeudet tulee kuitenkin tarjota, muokata ja peruuttaa organisaatiosi kulunvalvontakäytännön ja sen pääsynvalvontatoimintojen mukaisesti, jotta voit estää tietovarallisuuden luvattoman käytön, muuttamisen ja tuhoamisen.
Jos et esimerkiksi peruuta entisen työntekijän käyttöoikeuksia, hän saattaa varastaa arkaluonteisia tietoja.
Ohjaus 5.18 käsittelee sitä, kuinka organisaatioiden tulee antaa, muokata ja peruuttaa käyttöoikeuksia liiketoiminnan vaatimukset huomioon ottaen.
Valvonnan tarkoitus 5.18
Ohjaus 5.18 antaa organisaatiolle mahdollisuuden luoda ja toteuttaa asianmukaiset menettelyt ja valvontatoimenpiteet tietojärjestelmien käyttöoikeuksien myöntämiseksi, muokkaamiseksi ja peruuttamiseksi organisaation kulunvalvontapolitiikan ja sen kulunvalvontamenetelmien mukaisesti.
Ohjauksen ominaisuudet 5.18
Control 5.18 on ennaltaehkäisevä valvonta, joka vaatii organisaatioita poistamaan tietojärjestelmien luvattoman käytön riskit ottamalla käyttöön vankat säännöt, menettelyt ja valvontatoimenpiteet.
| Ohjaus | Tietoturvaominaisuudet | Kyberturvallisuuden käsitteet | Toiminnalliset valmiudet | Turvallisuus Domains |
|---|---|---|---|---|
| #Ennaltaehkäisevä | #Luottamuksellisuus | #Suojella | #Identiteetti- ja käyttöoikeushallinta | #Suojaus |
| #Integrity | ||||
| #Saatavuus |
ISO 27001 helposti
81 %:n etumatka ensimmäisestä päivästä lähtien
Olemme tehneet kovan työn puolestasi ja antavat sinulle 81 % etumatkan kirjautuessasi sisään. Sinun tarvitsee vain täyttää tyhjät kohdat.
Määräysvallan omistus 5.18
Tietoturvavastaavan tulee olla vastuussa asianmukaisten sääntöjen, prosessien ja valvonnan laatimisesta, täytäntöönpanosta ja tarkistamisesta tietojärjestelmien käyttöoikeuksien tarjoamiseksi, muuttamiseksi ja peruuttamiseksi.
Käyttöoikeuksia luovuttaessaan, muutettaessa ja peruuttaessaan tietoturvavastaavan tulee ottaa huomioon liiketoiminnan tarpeet ja tehdä tiivistä yhteistyötä tietovarojen omistajien kanssa varmistaakseen, että sääntöjä ja prosesseja noudatetaan.
Käyttöoikeuksien myöntämistä ja peruuttamista koskevat ohjeet
Organisaatioiden tulee sisällyttää seuraavat säännöt ja hallintalaitteet käyttöoikeuksien luovutus- ja peruutusprosessiin todennetulle henkilölle:
- Tietoomaisuuden omistajan tulee antaa valtuutuksensa asiaankuuluvien tietovarojen käyttöön ja käyttöön. Lisäksi organisaatioiden tulisi myös harkita erillisen hyväksynnän hakemista johdolta käyttöoikeuksien myöntämiselle.
- Organisaation liiketoiminnan tarpeet ja sen kulunvalvontapolitiikka tulee ottaa huomioon.
- Organisaatioiden tulisi harkita tehtävien eriyttämistä. Esimerkiksi hyväksyntätehtävän ja käyttöoikeuksien toteuttamisen voivat suorittaa erilliset henkilöt.
- Kun henkilö ei enää tarvitse pääsyä tietovaroihin, varsinkin kun hän ei ole enää osa organisaatiota, hänen käyttöoikeutensa on peruutettava välittömästi.
- Organisaation palveluksessa tilapäisesti työskentelevälle henkilökunnalle tai muulle henkilöstölle voidaan antaa tilapäiset käyttöoikeudet. Nämä oikeudet tulee peruuttaa, kun ne eivät enää toimi organisaatiossa.
- Yksilölle tarjotun pääsyn tason tulee olla organisaation kulunvalvontapolitiikan mukainen, ja se on tarkistettava ja tarkistettava säännöllisesti. Lisäksi sen tulee olla myös muiden tietoturvavaatimusten mukainen, kuten tehtävien eriyttäminen, kuten kohdassa Valvonta 5.3 on määritelty.
- Organisaatioiden tulee varmistaa, että käyttöoikeuksia ei aktivoida ennen kuin asianmukainen valtuutusmenettely on suoritettu.
- Kullekin yksittäiselle tunnisteelle, kuten tunnukselle tai fyysiselle tunnisteelle, annetut käyttöoikeudet tulisi kirjata keskitettyyn kulunvalvontajärjestelmään ja tätä järjestelmää tulee ylläpitää.
- Jos henkilön rooli tai tehtävät muuttuvat, hänen käyttöoikeuksiensa taso tulee päivittää.
- Fyysisten tai loogisten käyttöoikeuksien poistaminen tai muuttaminen voidaan suorittaa seuraavilla tavoilla: Avainten, henkilökorttien tai todennustietojen poistaminen tai vaihtaminen.
- Muutokset käyttäjän fyysisiin ja loogisiin käyttöoikeuksiin tulee kirjata järjestelmään ja säilyttää.
Vapauta itsesi laskentataulukoiden vuorten vallasta
Ota käyttöön, laajenna ja skaalaa vaatimustenmukaisuus ilman sotkua. Io antaa sinulle joustavuutta ja luottamusta kasvaa turvallisesti.
Käyttöoikeuksien tarkistamista koskevat lisäohjeet
Fyysiset ja loogiset käyttöoikeudet tulee käydä läpi säännöllisin väliajoin ottaen huomioon:
- Muutokset kunkin käyttäjän käyttöoikeuksissa sen jälkeen, kun hänet on ylennetty tai alennettu samassa organisaatiossa tai kun hänen työsuhteensa on päättynyt.
- Valtuutusmenettely etuoikeutettujen käyttöoikeuksien myöntämiseksi.
Ohjeita työsuhteen muuttamiseen tai irtisanomiseen
Ennen kuin työntekijä ylennetään tai alennetaan samassa organisaatiossa tai kun hänen työsuhteensa päättyy, hänen pääsyoikeuksiaan tietojenkäsittelyjärjestelmiin tulee arvioida ja muuttaa ottaen huomioon seuraavat riskitekijät:
- Onko irtisanomisen aloittanut työntekijä vai organisaatio ja irtisanomisen syy.
- Työntekijän tämänhetkiset vastuut organisaatiossa.
- Työntekijän saatavilla olevien tietovarojen kriittisyys ja arvo.
Täydentävä opas
Organisaatioiden tulisi harkita käyttöoikeusroolien perustamista liiketoimintavaatimustensa perusteella. Näihin rooleihin tulee sisältyä kullekin käyttäjäryhmälle myönnettävien käyttöoikeuksien tyypit ja määrä.
Tällaisten roolien luominen helpottaa käyttöoikeuspyyntöjen ja -oikeuksien hallintaa ja tarkastelua.
Organisaatioiden olisi sisällytettävä henkilöstönsä kanssa tekemiinsä työ- tai palvelusopimuksiin sopimusmääräykset luvatonta pääsyä ja pääsyä koskeviin seuraamuksiin. Tämän tulee olla ohjaimien 5.20, 6.2, 6.4 ja 6.6 mukainen.
Organisaatioiden tulee olla varovaisia johdon irtisanomien tyytymättömien työntekijöiden suhteen, koska he voivat vahingoittaa tietojärjestelmiä tarkoituksella.
Jos organisaatiot päättävät käyttää kloonaustekniikoita käyttöoikeuksien myöntämiseen, niiden olisi suoritettava se organisaation määrittelemien erillisten roolien perusteella.
On huomattava, että kloonaukseen liittyy luontainen riski liiallisten käyttöoikeuksien myöntämisestä.
Hallitse kaikkea vaatimustenmukaisuuttasi yhdessä paikassa
ISMS.online tukee yli 100 standardia ja sääntöä, mikä tarjoaa sinulle yhden alustan kaikkiin vaatimustenmukaisuustarpeisiisi.
Muutokset ja erot standardista ISO 27002:2013
27002:2022/5.18 korvaa 27002:2013/(9.2.2, 9.2.5, 9.2.6).
2022-versio sisältää kattavammat vaatimukset käyttöoikeuksien myöntämiselle ja peruuttamiselle
Vaikka Control 9.2.2 vuoden 2013 versiossa listasi kuusi vaatimusta käyttöoikeuksien myöntämiselle ja peruuttamiselle, vuoden 5.18 version Control 2022 sisältää kolme uutta vaatimusta näiden kuuden vaatimuksen lisäksi:
- Organisaation palveluksessa tilapäisesti työskentelevälle henkilökunnalle tai muulle henkilöstölle voidaan antaa tilapäiset käyttöoikeudet. Nämä oikeudet tulee peruuttaa, kun he eivät enää tee työtä organisaatiossa.
- Fyysisten tai loogisten käyttöoikeuksien poistaminen tai muuttaminen voidaan suorittaa seuraavilla tavoilla: Avainten, henkilökorttien tai todennustietojen poistaminen tai vaihtaminen.
- Muutokset käyttäjän fyysisiin ja loogisiin käyttöoikeuksiin tulee kirjata ja säilyttää.
Vuoden 2013 versio sisältää yksityiskohtaisemmat vaatimukset etuoikeutetuille käyttöoikeuksille
Control 9.5 versiossa 2013 totesi nimenomaisesti, että organisaatioiden tulee tarkistaa etuoikeutettujen käyttöoikeuksien valtuutus useammin kuin muut käyttöoikeudet. Version 5.18 ohjaus 2022 ei päinvastoin sisältänyt tätä vaatimusta.
Uudet ISO 27002 -säätimet
| ISO/IEC 27002:2022 Control Identifier | ISO/IEC 27002:2013 Control Identifier | Ohjausnimi |
|---|---|---|
| 5.7 | UUSI | Uhan älykkyys |
| 5.23 | UUSI | Tietoturva pilvipalvelujen käyttöön |
| 5.30 | UUSI | ICT-valmius liiketoiminnan jatkuvuuteen |
| 7.4 | UUSI | Fyysisen turvallisuuden valvonta |
| 8.9 | UUSI | Kokoonpanonhallinta |
| 8.10 | UUSI | Tietojen poistaminen |
| 8.11 | UUSI | Tietojen peittäminen |
| 8.12 | UUSI | Tietovuotojen esto |
| 8.16 | UUSI | Toimien seuranta |
| 8.23 | UUSI | Web-suodatus |
| 8.28 | UUSI | Turvallinen koodaus |
| ISO/IEC 27002:2022 Control Identifier | ISO/IEC 27002:2013 Control Identifier | Ohjausnimi |
|---|---|---|
| 6.1 | 07.1.1 | Seulonta |
| 6.2 | 07.1.2 | Työsuhteen ehdot |
| 6.3 | 07.2.2 | Tietoturvatietoisuus, koulutus ja koulutus |
| 6.4 | 07.2.3 | Kurinpitoprosessi |
| 6.5 | 07.3.1 | Vastuut työsuhteen päättymisen tai muutoksen jälkeen |
| 6.6 | 13.2.4 | Luottamuksellisuus- tai salassapitosopimukset |
| 6.7 | 06.2.2 | Etätyö |
| 6.8 | 16.1.2, 16.1.3 | Tietoturvatapahtumaraportointi |
| ISO/IEC 27002:2022 Control Identifier | ISO/IEC 27002:2013 Control Identifier | Ohjausnimi |
|---|---|---|
| 7.1 | 11.1.1 | Fyysisen turvallisuuden rajat |
| 7.2 | 11.1.2, 11.1.6 | Fyysinen sisääntulo |
| 7.3 | 11.1.3 | Toimistojen, huoneiden ja tilojen turvaaminen |
| 7.4 | UUSI | Fyysisen turvallisuuden valvonta |
| 7.5 | 11.1.4 | Suojautuminen fyysisiltä ja ympäristöuhkilta |
| 7.6 | 11.1.5 | Työskentely turvallisilla alueilla |
| 7.7 | 11.2.9 | Selkeä pöytä ja selkeä näyttö |
| 7.8 | 11.2.1 | Laitteiden sijoitus ja suojaus |
| 7.9 | 11.2.6 | Omaisuuden turvallisuus muualla kuin toimitiloissa |
| 7.10 | 08.3.1, 08.3.2, 08.3.3, 11.2.5 | Tallennusvälineet |
| 7.11 | 11.2.2 | Apuohjelmia tukevat |
| 7.12 | 11.2.3 | Kaapeloinnin turvallisuus |
| 7.13 | 11.2.4 | Laitehuolto |
| 7.14 | 11.2.7 | Laitteiden turvallinen hävittäminen tai uudelleenkäyttö |
Miten ISMS.online auttaa
ISMS.online on pilvipohjainen alusta, joka tarjoaa apua ISO 2702 -standardin tehokkaassa ja kustannustehokkaassa käyttöönotossa.
Se tarjoaa organisaatioille helpon pääsyn ajantasaisiin tietoihin vaatimustenmukaisuuden tilasta aina käyttäjäystävällisen kojelautaliittymänsä kautta, jonka avulla johtajat voivat seurata edistymistään vaatimustenmukaisuuden saavuttamisessa nopeasti ja helposti.
Ota yhteyttä jo tänään varaa esittely.
