ISO 27002:2022, ohjaus 8.2 – Etuoikeutetut käyttöoikeudet

Yleiset valvontaohjeet 8.2

Ohjaus 8.2 sisältää 12 pääohjetta organisaatiot tarvitsevat noudatettava "aihekohtaisen" kulunvalvontapolitiikan mukaisesti (katso Ohjaus 5.15), joka kohdistuu yksittäisiin liiketoimintatoimintoihin.

Organisaatioiden tulee:

1. Tunnista luettelo käyttäjistä, jotka tarvitsevat jonkin verran etuoikeutettuja käyttöoikeuksia joko yksittäiselle järjestelmälle, kuten tietokantasovellukselle tai taustalla olevalle käyttöjärjestelmälle.
2. Ylläpidä käytäntöä, joka jakaa käyttäjille etuoikeutetut käyttöoikeudet niin sanotun "tapahtumakohtaisesti" – käyttäjille on myönnettävä käyttöoikeustasot sen vähimmäismäärän perusteella, mitä he tarvitsevat tehtävänsä suorittamiseksi.
3. Selkeän valtuutusprosessin hahmottaminen, joka käsittelee kaikki etuoikeutettuja käyttöoikeuksia koskevat pyynnöt, mukaan lukien kirjaaminen kaikista toteutetuista käyttöoikeuksista.
4. Varmista, että käyttöoikeuksilla on asianmukainen voimassaoloaika.
5. Varmista, että käyttäjät ovat nimenomaisesti tietoinen mistä tahansa ajanjaksosta, jolloin he toimivat etuoikeutetulla pääsyllä järjestelmään.
6. Tarvittaessa käyttäjiä pyydetään todentamaan uudelleen ennen etuoikeutettujen käyttöoikeuksien käyttöä parantaakseen tieto-/tietoturvallisuutta.
7. Suorita säännöllisiä tarkastuksia etuoikeutetuista käyttöoikeuksista, erityisesti organisaatiomuutosten jälkeen. Käyttäjien käyttöoikeuksia tulisi tarkastella heidän "tehtäviensä, roolien, vastuiden ja pätevyyden" perusteella (katso Valvonta 5.18).
8. Harkitse ns. lasinmurtomenettelyä – eli varmista, että etuoikeutetut käyttöoikeudet myönnetään tiukasti kontrolloiduissa aikaikkunoissa, jotka täyttävät suoritettavan toiminnon vähimmäisvaatimukset (kriittiset muutokset, järjestelmän hallinta jne.).
9. Varmista, että kaikki etuoikeutetut käyttöoikeudet kirjataan lokiin.
10. Estä yleisten järjestelmän kirjautumistietojen (etenkin standardoitujen käyttäjätunnusten ja salasanojen) käyttö (katso Ohjaus 5.17).
11. Noudata käytäntöä määrittää käyttäjille erillinen identiteetti, mikä mahdollistaa etuoikeutettujen käyttöoikeuksien tiukemman hallinnan. Tällaiset identiteetit voidaan sitten ryhmitellä yhteen, jolloin liittyvälle ryhmälle tarjotaan eritasoisia käyttöoikeuksia.
12. Varmista, että etuoikeutetut käyttöoikeudet on varattu vain kriittisiin tehtäviin, jotka liittyvät toimivan ICT-verkon jatkuvaan toimintaan – kuten järjestelmänhallinta ja verkon ylläpito.

Ohjaimet tukevat

• 5.15

Muutokset ja erot standardista ISO 27002:2013

Ohjaus 27002:2022-8.2 korvaa 27002:2013-9.2.3 (Etuoikeutettujen käyttöoikeuksien hallinta).

27002:2022-8.2 sisältää 5 tärkeintä ohjekohtaa, jotka eivät ole selkeät vuoden 2013 vastineessa:

1. 27002:2022-8.2 ei nimenomaisesti vaadi eri käyttäjätunnusta etuoikeutetuille käyttöoikeuksille.
2. 27002:2022-8.2 korostaa tarvetta todentaa uudelleen ennen etuoikeutettujen käyttöoikeuksien saamista.
3. 27002:2022-8.2 kannattaa lasinmurtoa suoritettaessa kriittisiä huoltotehtäviä tiukasti valvottujen aikaikkunoiden perusteella.
4. 27002:2022-8.2 pyytää organisaatioita pitämään perusteellisia käyttöoikeuslokeja, tilintarkastustarkoituksiin.
5. 27002:2022-8.2 pyytää organisaatioita rajoittamaan etuoikeutettujen käyttöoikeuksien käyttöä hallinnollisiin tehtäviin.

Miten ISMS.online auttaa

ISO 27002, Control 6.6, kattaa organisaatioiden tarpeen estää luottamuksellisten tietojen vuotaminen perustamalla luottamuksellisuussopimukset asianomaisten osapuolten kanssa ja henkilöstöä.

Pilvipohjainen alustamme tarjoaa täydellisen valikoiman työkaluja, jotka auttavat organisaatioita perustamaan tietoturvan hallintajärjestelmä (ISMS) mukaan ISO 27002.

Näitä työkaluja ovat:

• Kirjasto malleja yleisille yritysasiakirjoille.
• Joukko ennalta määritettyjä käytäntöjä ja menettelytapoja.
• Tarkastustyökalu sisäisen tarkastuksen tueksi.
• Asetuskäyttöliittymä mukauttamiseen ISMS-käytännöt ja menettelyt.
• Hyväksynnän työnkulku kaikille käytäntöihin ja menettelyihin tehdyille muutoksille.
• Tarkistuslista varmistaaksesi, että käytäntösi ja tietoturvaprosessisi noudattavat hyväksyttyjä kansainvälisiä standardeja.

ISMS.Online antaa käyttäjille myös mahdollisuuden:

• Hallitse kaikkia ISMS:n osa-alueita elinkaari helposti.
• Saat reaaliaikaisia ​​näkemyksiä heidän tietoturva-asennostaan ​​ja vaatimustenmukaisuusaukoistaan.
• Integroi muihin järjestelmiin, kuten HR-, talous- ja projektinhallintaan.
• Osoita noudattavansa niitä ISMS ja ISO 27001 standardit.

ISMS.Online-työkalu opastaa myös ISMS:n parhaiten toteuttamisessa antamalla vinkkejä politiikkojen ja menettelyjen luomiseen, jotka liittyvät esimerkiksi riskienhallintaan, henkilöstön tietoturvakoulutukseen ja häiriötilanteiden hallintaan.