Valvonnan tarkoitus 8.5
Suojattu todennus on ensisijainen menetelmä, jota ihmiset ja muut käyttäjät käyttävät, kun he yrittävät hyödyntää organisaation ICT-omaisuutta.
Viimeisen vuosikymmenen aikana todennusteknologia on kokenut perustavanlaatuisen muutoksen perinteisistä käyttäjätunnus- ja salasanapohjaisista validoinneista useisiin täydentäviin tekniikoihin, joihin kuuluvat biometriset tiedot, loogiset ja fyysiset pääsynhallintajärjestelmät, ulkoisten laitteiden todennukset, tekstiviestikoodit ja kertakäyttöiset salasanat (OTP).
27002:2022-8.5 asettaa kaiken tämän kontekstiin ja neuvoo organisaatioita tarkalleen, miten niiden tulisi hallita pääsyä ICT-järjestelmiinsä ja -resursseihinsa suojatun kirjautumisyhdyskäytävän kautta.
Control 8.5 on ennaltaehkäisevä kontrolli , joka ylläpitää riskiä ottamalla käyttöön teknologiaa ja luomalla aihekohtaisia turvallisia todennusmenettelyjä, jotka varmistavat, että sekä ihmis- että muut käyttäjät ja identiteetit käyvät läpi vankan ja turvallisen todennusmenettelyn yritettäessä käyttää ICT-resursseja.
Attribuuttien ohjaustaulukko 8.5
| Ohjaus | Tietoturvaominaisuudet | Kyberturvallisuuden käsitteet | Toiminnalliset valmiudet | Turvallisuus Domains |
|---|---|---|---|---|
| #Ennaltaehkäisevä | #Luottamuksellisuus | #Suojella | #Identiteetti- ja käyttöoikeushallinta | #Suojaus |
| #Integrity | ||||
| #Saatavuus |
Määräysvallan omistus 8.5
Ohjaus 8.5 käsittelee organisaation kykyä hallita pääsyä verkkoonsa (ja sen sisältämiin tietoihin ja dataan) kriittisissä risteyksissä, kuten kirjautumisyhdyskäytävässä.
Vaikka valvonta käsitteleekin tieto- ja tietoturvallisuutta laajempana käsitteenä, toimintaohje on ensisijaisesti teknistä.
Näin ollen omistajuuden tulisi olla IT-päälliköllä (tai organisaation vastaavalla henkilöllä), joka on vastuussa organisaation päivittäisistä IT-hallintotoiminnoista.
ISO 27001 helposti
81 %:n etumatka ensimmäisestä päivästä lähtien
Olemme tehneet kovan työn puolestasi ja antavat sinulle 81 % etumatkan kirjautuessasi sisään. Sinun tarvitsee vain täyttää tyhjät kohdat.
Yleiset valvontaohjeet 8.5
Ohjaus 8.5 pyytää organisaatioita harkitsemaan todennusohjaimia, jotka ovat olennaisia käytettävän datan ja verkon tyypin ja herkkyyden kannalta, mukaan lukien:
- Monivaiheinen todennus (MFA)
- Digitaaliset sertifikaatit
- Älykkäät kulunvalvontalaitteet (älykortit)
- Biometriset kirjautumiset
- Turvalliset merkit
Organisaation turvallisten todennusmenetelmien ensisijaisena tavoitteena tulisi olla estää ja/tai minimoida luvattoman pääsyn riski sen suojattuihin järjestelmiin.
Tämän saavuttamiseksi Control 8.5 hahmottelee 12 pääohjeistusta. Organisaatioiden tulee:
- Rajoita tietojen näyttämistä onnistuneen todennusyrityksen jälkeen.
- Näytä varoitus ennen sisäänkirjautumista, jossa todetaan selvästi, että vain valtuutettujen käyttäjien tulee päästä käsiksi tietoihin.
- Minimoi sen tarjoama apu todentamattomille käyttäjille, jotka yrittävät päästä järjestelmään, esim. organisaatioiden ei pitäisi paljastaa, mikä kirjautumisyrityksen tietty osa on virheellinen, kuten MFA-kirjautumisen biometrinen osa, vaan sen sijaan yksinkertaisesti ilmoittaa, että kirjautumisyritys on epäonnistunut. .
- Vahvista kirjautumisyritys vasta, kun kaikki tarvittavat tiedot on toimitettu kirjautumispalveluun turvallisuuden ylläpitämiseksi.
- Ota käyttöön alan standardien mukaisia suojaustoimenpiteitä, jotka suojaavat kirjautumisportaaleihin kohdistuvilta yleisiltä pääsyltä ja/tai raa'an voiman hyökkäyksiltä. Näitä toimenpiteitä voivat olla:
- CAPTCHA-säätimet
- Salasanan nollaus pakotetaan tietyn määrän epäonnistuneiden kirjautumisyritysten jälkeen
- Estää uudet kirjautumisyritykset ennalta määritetyn määrän epäonnistuneiden yritysten jälkeen
- Tallennetaan kaikki epäonnistuneet kirjautumisyritykset verkkotunnukselle auditointi- ja turvallisuustarkoituksiinmukaan lukien niiden käyttö rikos- ja/tai viranomaismenettelyissä.
- Aloittaminen a turvallisuusvälikohtaus aina kun havaitaan suuri kirjautumispoikkeama, kuten havaittu tunkeutuminen. Näissä tapauksissa tulee ilmoittaa kaikille asiaankuuluville sisäisille henkilöille, erityisesti niille, joilla on järjestelmänvalvojan käyttöoikeudet tai kyky torjua haitallisia kirjautumisyrityksiä.
- Kun olet vahvistanut kirjautumisen, välitä tietyt tiedot erilliseen tietolähteeseen, jossa luetellaan:
- Edellisen onnistuneen kirjautumisen päivämäärä ja kellonaika
- Luettelo kaikista kirjautumisyrityksistä viimeisen vahvistetun kirjautumisen jälkeen
- Näytä salasanat tähdinä (tai vastaavan abstrakteina symboleina), jos niitä ei tarvitse painaa, sitä ei tarvitse tehdä (esim. käyttäjän saavutettavuus).
- Estä ehdottomasti salasanojen jakaminen tai näyttäminen selkeänä, luettavana tekstinä.
- Noudata käytäntöä, jonka mukaan lepotilassa olevat kirjautumisistunnot lopetetaan tietyn ajan kuluttua. Tämä on erityisen tärkeää istunnoissa, jotka ovat aktiivisia korkean riskin paikoissa (etätyöympäristöt) tai käyttäjien toimittamissa resursseissa, kuten henkilökohtaisissa kannettavissa tietokoneissa tai matkapuhelimissa.
- Rajoittaa aikaa, jonka todennettu istunto voi pysyä auki – vaikka se olisi aktiivinen – suhteessa käytettävissä oleviin tietoihin (eli liiketoiminnan kannalta kriittisiin tietoihin tai taloudellisesti arkaluonteisiin sovelluksiin).
Ohjeet – Biometriset kirjautumiset
ISO suosittelee, että biometristen kirjautumisprosessien tehokkuuteen ja eheyteen perinteisiin menetelmiin (salasanat, monitoimitunnistus, tunnukset jne.) verrattuna liittyvien useiden tekijöiden vuoksi biometrisiä todennusmenetelmiä ei tulisi käyttää erillään , vaan niitä tulisi käyttää yhdessä ainakin yhden muun kirjautumistekniikan kanssa.
Hallitse kaikkea vaatimustenmukaisuuttasi yhdessä paikassa
ISMS.online tukee yli 100 standardia ja sääntöä, mikä tarjoaa sinulle yhden alustan kaikkiin vaatimustenmukaisuustarpeisiisi.
Muutokset ja erot standardista ISO 27002:2013
27002:2022-8.5 korvaa 27002:2014-9.4.2 (Suojatut kirjautumistoimenpiteet).
27002:2022-8.5 sisältää samat 12 ohjeistuskohtaa kuin vuoden 2013 vastineensa , pienin sanamuotomuutoksin, ja noudattaa samoja taustalla olevia turvallisuusperiaatteita.
Viime vuosikymmenen aikana lisääntyneen MFA- ja biometristen kirjautumistekniikoiden myötä 27002:2022-8.5 sisältää selkeät ohjeet molempien tekniikoiden käytöstä, jotka organisaatioiden tulee ottaa huomioon laatiessaan omia kirjautumissäätimiä.
Uudet ISO 27002 -säätimet
| ISO/IEC 27002:2022 Control Identifier | ISO/IEC 27002:2013 Control Identifier | Ohjausnimi |
|---|---|---|
| 5.7 | UUSI | Uhan älykkyys |
| 5.23 | UUSI | Tietoturva pilvipalvelujen käyttöön |
| 5.30 | UUSI | ICT-valmius liiketoiminnan jatkuvuuteen |
| 7.4 | UUSI | Fyysisen turvallisuuden valvonta |
| 8.9 | UUSI | Kokoonpanonhallinta |
| 8.10 | UUSI | Tietojen poistaminen |
| 8.11 | UUSI | Tietojen peittäminen |
| 8.12 | UUSI | Tietovuotojen esto |
| 8.16 | UUSI | Toimien seuranta |
| 8.23 | UUSI | Web-suodatus |
| 8.28 | UUSI | Turvallinen koodaus |
| ISO/IEC 27002:2022 Control Identifier | ISO/IEC 27002:2013 Control Identifier | Ohjausnimi |
|---|---|---|
| 6.1 | 07.1.1 | Seulonta |
| 6.2 | 07.1.2 | Työsuhteen ehdot |
| 6.3 | 07.2.2 | Tietoturvatietoisuus, koulutus ja koulutus |
| 6.4 | 07.2.3 | Kurinpitoprosessi |
| 6.5 | 07.3.1 | Vastuut työsuhteen päättymisen tai muutoksen jälkeen |
| 6.6 | 13.2.4 | Luottamuksellisuus- tai salassapitosopimukset |
| 6.7 | 06.2.2 | Etätyö |
| 6.8 | 16.1.2, 16.1.3 | Tietoturvatapahtumaraportointi |
| ISO/IEC 27002:2022 Control Identifier | ISO/IEC 27002:2013 Control Identifier | Ohjausnimi |
|---|---|---|
| 7.1 | 11.1.1 | Fyysisen turvallisuuden rajat |
| 7.2 | 11.1.2, 11.1.6 | Fyysinen sisääntulo |
| 7.3 | 11.1.3 | Toimistojen, huoneiden ja tilojen turvaaminen |
| 7.4 | UUSI | Fyysisen turvallisuuden valvonta |
| 7.5 | 11.1.4 | Suojautuminen fyysisiltä ja ympäristöuhkilta |
| 7.6 | 11.1.5 | Työskentely turvallisilla alueilla |
| 7.7 | 11.2.9 | Selkeä pöytä ja selkeä näyttö |
| 7.8 | 11.2.1 | Laitteiden sijoitus ja suojaus |
| 7.9 | 11.2.6 | Omaisuuden turvallisuus muualla kuin toimitiloissa |
| 7.10 | 08.3.1, 08.3.2, 08.3.3, 11.2.5 | Tallennusvälineet |
| 7.11 | 11.2.2 | Apuohjelmia tukevat |
| 7.12 | 11.2.3 | Kaapeloinnin turvallisuus |
| 7.13 | 11.2.4 | Laitehuolto |
| 7.14 | 11.2.7 | Laitteiden turvallinen hävittäminen tai uudelleenkäyttö |
Miten ISMS.online auttaa
Pilvipohjainen alustamme tarjoaa sinulle vankan tietoturvallisuuden hallintakehyksen, jotta voit tarkistaa ISMS-prosessisi prosessin edetessä varmistaaksesi, että se täyttää ISO 27000k -standardin vaatimukset. Oikein käytettynä ISMS.online voi auttaa sinua saavuttamaan sertifioinnin minimaalisella ajan ja resurssien käytöllä.
Ota yhteyttä jo tänään varataksesi demon.
