ISO 27002:2022, Control 8.5 – Secure Authentication

Määräysvallan omistus 8.5

Ohjaus 8.5 käsittelee organisaation kykyä hallita pääsyä verkkoonsa (ja sen sisältämiin tietoihin ja dataan) kriittisissä risteyksissä, kuten kirjautumisyhdyskäytävässä.

Vaikka valvonta käsitteleekin tieto- ja tietoturvallisuutta laajempana käsitteenä, toimintaohje on ensisijaisesti teknistä.

Sellaisenaan omistusoikeuden tulisi olla IT-päälliköllä (tai vastaavalla organisaatiolla), joka omistaa vastaa organisaation päivittäisistä IT-hallinnon toiminnoista.

Yleiset valvontaohjeet 8.5

Ohjaus 8.5 pyytää organisaatioita harkitsemaan todennusohjaimia, jotka ovat olennaisia ​​käytettävän datan ja verkon tyypin ja herkkyyden kannalta, mukaan lukien:

• Monivaiheinen todennus (MFA)
• Digitaaliset sertifikaatit
• Älykkäät kulunvalvontalaitteet (älykortit)
• Biometriset kirjautumiset
• Turvalliset merkit

Organisaation suojatun todennusohjauksen päätavoitteena tulisi olla estää ja/tai minimoida luvattoman käytön riskin suojattuihin järjestelmiinsä.

Tämän saavuttamiseksi Control 8.5 hahmottelee 12 pääohjeistusta. Organisaatioiden tulee:

1. Rajoita tietojen näyttämistä onnistuneen todennusyrityksen jälkeen.
2. Näytä varoitus ennen sisäänkirjautumista, jossa todetaan selvästi, että vain valtuutettujen käyttäjien tulee päästä käsiksi tietoihin.
3. Minimoi sen tarjoama apu todentamattomille käyttäjille, jotka yrittävät päästä järjestelmään, esim. organisaatioiden ei pitäisi paljastaa, mikä kirjautumisyrityksen tietty osa on virheellinen, kuten MFA-kirjautumisen biometrinen osa, vaan sen sijaan yksinkertaisesti ilmoittaa, että kirjautumisyritys on epäonnistunut. .
4. Vahvista kirjautumisyritys vasta, kun kaikki tarvittavat tiedot on toimitettu kirjautumispalveluun turvallisuuden ylläpitämiseksi.
5. Ota käyttöön alan standardien mukaisia ​​suojaustoimenpiteitä, jotka suojaavat kirjautumisportaaleihin kohdistuvilta yleisiltä pääsyltä ja/tai raa'an voiman hyökkäyksiltä. Näitä toimenpiteitä voivat olla:
• CAPTCHA-säätimet
• Salasanan nollaus pakotetaan tietyn määrän epäonnistuneiden kirjautumisyritysten jälkeen
• Estää uudet kirjautumisyritykset ennalta määritetyn määrän epäonnistuneiden yritysten jälkeen
6. Tallennetaan kaikki epäonnistuneet kirjautumisyritykset verkkotunnukselle auditointi- ja turvallisuustarkoituksiinmukaan lukien niiden käyttö rikos- ja/tai viranomaismenettelyissä.
7. Aloittaminen a turvallisuusvälikohtaus aina kun havaitaan suuri kirjautumispoikkeama, kuten havaittu tunkeutuminen. Näissä tapauksissa tulee ilmoittaa kaikille asiaankuuluville sisäisille henkilöille, erityisesti niille, joilla on järjestelmänvalvojan käyttöoikeudet tai kyky torjua haitallisia kirjautumisyrityksiä.
8. Kun olet vahvistanut kirjautumisen, välitä tietyt tiedot erilliseen tietolähteeseen, jossa luetellaan:
• Edellisen onnistuneen kirjautumisen päivämäärä ja kellonaika
• Luettelo kaikista kirjautumisyrityksistä viimeisen vahvistetun kirjautumisen jälkeen
9. Näytä salasanat tähdinä (tai vastaavan abstrakteina symboleina), jos niitä ei tarvitse painaa, sitä ei tarvitse tehdä (esim. käyttäjän saavutettavuus).
10. Estä ehdottomasti salasanojen jakaminen tai näyttäminen selkeänä, luettavana tekstinä.
11. Noudata käytäntöä, jonka mukaan lepotilassa olevat kirjautumisistunnot lopetetaan tietyn ajan kuluttua. Tämä on erityisen tärkeää istunnoissa, jotka ovat aktiivisia korkean riskin paikoissa (etätyöympäristöt) tai käyttäjien toimittamissa resursseissa, kuten henkilökohtaisissa kannettavissa tietokoneissa tai matkapuhelimissa.
12. Rajoittaa aikaa, jonka todennettu istunto voi pysyä auki – vaikka se olisi aktiivinen – suhteessa käytettävissä oleviin tietoihin (eli liiketoiminnan kannalta kriittisiin tietoihin tai taloudellisesti arkaluonteisiin sovelluksiin).

Ohjeet – Biometriset kirjautumiset

ISO suosittelee, että johtuen useista biometristen kirjautumisprosessien tehokkuuteen ja eheyteen liittyvistä tekijöistä perinteisiin mittareihin (salasanat, MFA, tunnukset jne.) verrattuna, biometriset todennusmenetelmät ei pidä käyttää erikseen, ja mukana on vähintään yksi muu kirjautumistekniikka.

Muutokset ja erot standardista ISO 27002:2013

27002:2022-8.5 korvaa 27002:2014-9.4.2 (Suojatut kirjautumistoimenpiteet).

27002:2022-8.5 sisältää samat 12 ohjepistettä kuin vuoden 2013 vastineensa, jossa on pieniä muutoksia sanamuotoon, ja se noudattaa samoja taustalla olevia turvallisuusperiaatteita.

Viime vuosikymmenen aikana lisääntyneen MFA- ja biometristen kirjautumistekniikoiden myötä 27002:2022-8.5 sisältää selkeät ohjeet molempien tekniikoiden käytöstä, jotka organisaatioiden tulee ottaa huomioon laatiessaan omia kirjautumissäätimiä.

Miten ISMS.online auttaa

Pilvipohjainen alustamme tarjoaa sinulle vankan tietoturvavalvontakehyksen, jotta voit tarkistuslista ISMS-prosessistasi kun menet varmistaaksesi, että se täyttää ISO 27000k vaatimukset. Oikein käytettynä, ISMS. online voi auttaa sinua sertifioinnin saavuttaminen mahdollisimman vähän aikaa ja resursseja.

Ota yhteyttä jo tänään varaa esittely.