ISO 27001:2022 Bilaga A 5.17 – Autentiseringsinformation

Vad är syftet med ISO 27001:2022 bilaga A Kontroll 5.17?

Bilaga A Kontroll 5.17 tillåter organisationer att effektivt allokera och hantera autentiseringsinformation, undvika haverier i autentiseringsprocessen och skydda sig mot säkerhetshot som kan bli resultatet av manipulering av autentiseringsinformation.

Äganderätt till bilaga A 5.17

ISO 27001:2022 bilaga A Kontroll 5.17 kräver upprättande och implementering av organisationsomfattande regler, procedurer och åtgärder för tilldelning och hantering av autentiseringsinformation. Informationssäkerhetsansvariga bör säkerställa efterlevnaden av denna kontroll.

Bilaga A 5.17 Vägledning om tilldelning av autentiseringsinformation

Organisationer bör följa dessa sex krav för tilldelning och administration av autentiseringsinformation:

• Vid registrering av nya användare måste automatiskt genererade personliga lösenord och personliga identifieringsnummer vara omöjliga att gissa. Dessutom måste varje användare ha ett unikt lösenord och det är obligatoriskt att byta lösenord efter första användningen.
• Organisationer bör ha solida processer för att kontrollera en användares identitet innan de får ny eller ersättningsinformation om autentisering, eller förses med tillfällig information.
• Organisationer bör garantera säker överföring av autentiseringsdetaljer till individer via säkra vägar och får inte skicka sådan information via osäkra elektroniska meddelanden (t.ex. vanlig text).
• Användare måste se till att de har fått autentiseringsinformationen.
• Organisationer bör agera snabbt efter att ha installerat nya IT-system och programvara och ändra standardautentiseringsdetaljerna omedelbart.
• Organisationer bör upprätta och ständigt föra register över alla viktiga händelser i samband med hantering och tilldelning av autentiseringsinformation. Dessa register måste hållas privata och metoder för journalföring bör godkännas, t.ex. med hjälp av ett auktoriserat lösenordsverktyg.

Bilaga A 5.17 Vägledning om användaransvar

Användare med tillgång till autentiseringsinformation bör instrueras att följa följande:

• Användare måste hålla hemlig autentiseringsinformation såsom lösenord konfidentiell och får inte dela den med någon annan. När flera användare är inblandade i användningen av autentiseringsinformation eller informationen är kopplad till icke-personliga enheter, får de inte avslöja den för obehöriga personer.
• Användare måste byta lösenord omedelbart om sekretessen för deras lösenord har brutits.
• Användare bör välja svåra att gissa, starka lösenord i enlighet med industristandarder. Till exempel:
• Lösenord bör inte baseras på personlig information som lätt kan erhållas, såsom namn eller födelsedatum.
• Lösenord bör inte baseras på information som lätt kan gissas.
• Lösenord får inte bestå av ord eller sekvenser av ord som är vanliga.
• Använd alfanumeriska tecken och specialtecken i ditt lösenord.
• Lösenord bör ha en minimilängd.
• Användare får inte använda samma lösenord för olika tjänster.
• Organisationer bör låta sina anställda acceptera ansvaret för att skapa och använda lösenord i sina anställningsavtal.

Bilaga A 5.17 Vägledning om lösenordshanteringssystem

Organisationer bör observera följande när de konfigurerar ett lösenordshanteringssystem:

• Användare bör ha möjlighet att skapa och ändra sina lösenord, med en verifieringsprocedur på plats för att upptäcka och rätta till eventuella misstag vid inmatning av data.
• Organisationer bör följa branschens bästa praxis när de utvecklar en robust process för val av lösenord.
• Användare måste ändra sina standardlösenord vid första åtkomst till ett system.
• Det är viktigt att byta lösenord när det är lämpligt. Till exempel efter en säkerhetshändelse eller när en anställd lämnar sitt jobb och hade tillgång till lösenord, är ett lösenordsbyte nödvändigt.
• Tidigare lösenord ska inte återvinnas.
• Användning av lösenord som är allmänt kända, eller som har använts i ett säkerhetsbrott, bör inte tillåtas för åtkomst till hackade system.
• När lösenord matas in ska de visas på skärmen i klartext.
• Lösenord måste överföras och lagras via säkra kanaler i ett säkert format.

Organisationer bör också implementera hash- och krypteringsprocedurer i linje med de godkända kryptografiska metoderna för lösenord som anges i bilaga A Kontrollera 8.24 av ISO 27001:2022.

Kompletterande vägledning om kontroll av bilaga A 5.17

Förutom lösenord, andra former av autentisering, såsom kryptografiska nycklar, smartkort och biometriska data som fingeravtryck.

Organisationer bör se till ISO/IEC 24760-serien för ytterligare råd om autentiseringsdata.

Med tanke på krånglet och irritationen med att regelbundet byta lösenord, kan organisationer överväga alternativ som enkel inloggning eller lösenordsvalv. Det bör dock noteras att dessa alternativ ökar risken för att konfidentiell autentiseringsinformation utsätts för obehöriga parter.

Ändringar och skillnader från ISO 27001:2013

ISO 27001: 2022 Bilaga A 5.17 ersätter ISO 27001:2013 Annex A 9.2.4, 9.3.1 och 9.4.3.

ISO 27001:2022 innehåller ett nytt krav för tilldelning och hantering av autentiseringsinformation

Under 2013 var kraven för tilldelning och hantering av autentiseringsinformation mycket lika. Men ISO 27001:2022 bilaga A Kontroll 5.17 införde ett krav som inte fanns 2013.

Organisationer måste skapa och underhålla register för alla viktiga händelser i samband med hantering och distribution av autentiseringsinformation. Dessa register bör hållas konfidentiella, med auktoriserade registreringstekniker, till exempel användning av ett accepterat lösenordsverktyg.

2022-versionen innehåller ytterligare ett krav för användning av autentiseringsinformation

ISO 27001:2022 bilaga A Kontroll 5.17 introducerar ett krav på användaransvar som inte specificerades i kontroll 9.3.1 i 2013 års version.

Organisationer bör inkludera lösenordskrav i sina kontrakt med anställda och personal. Sådana krav bör omfatta skapandet och användningen av lösenord.

ISO 27001:2013 innehöll ytterligare krav för användaransvar som inte ingick i 2022 års version

I jämförelse med 2022 års version innehöll kontroll 9.3.1 följande mandat för användning av autentiseringsdata:

Användare bör inte använda samma autentiseringsdetaljer, till exempel ett lösenord, för både arbete och icke-arbetsändamål.

ISO 27001:2013 innehöll ett ytterligare krav för lösenordshanteringssystem som inte ingick i 2022-versionen

Kontroll 9.4.3 av 2013 års version kräver att lösenordshanteringssystem måste:

Se till att filer med lösenord ska lagras på ett annat system än det som är värd för programdata.

ISO 27001:2022 bilaga A Kontroll 5.17 kräver inte detta.

Tabell över alla ISO 27001:2022 bilaga A kontroller

I tabellen nedan hittar du mer information om varje enskild ISO 27001:2022 Annex A-kontroll.

Hur ISMS.online Hjälp

ISMS.Online gör det möjligt för organisationer och företag att uppfylla kraven i ISO 27001:2022 genom att förse dem med en plattform som underlättar hantering, uppdatering, testning och övervakning av effektiviteten i deras policyer och procedurer för sekretess eller sekretess.

Vi erbjuder en molnbaserad plattform för att administrera Sekretess och Informationssäkerhetshanteringssystem, med klausuler om sekretess, riskhantering, policyer, planer och procedurer, allt på en bekväm plats. Det är enkelt att använda, med ett intuitivt gränssnitt som gör det enkelt att lära sig.

Kontakta oss idag för att arrangera en demonstration.