ISO 27001:2022 Bilaga A 8.3 – Begränsning av informationsåtkomst

• Se ISO 27002:2022 Kontroll 8.3 för mer information.
• Se ISO 27001:2013 bilaga A 9.4.1 för mer information.

Syftet med ISO 27001:2022 bilaga A 8.3

En organisations informationssäkerhetspolicy är starkt beroende av intern och extern tillgång till information.

ISO 27001: 2022 Bilaga A 8.3 är en förebyggande åtgärd till hantera risker genom att fastställa regler och rutiner för att förhindra obehörig åtkomst/missbruk av en organisations information och IKT-tillgångar.

Äganderätt till bilaga A 8.3

ISO 27001:2022 Annex A 8.3 handlar om en organisations förmåga att reglera tillgången till information. Det säkerställer att information endast är tillgänglig för behörig personal.

Äganderätten till information och datasäkerhetspraxis bör ligga hos Chef för informationssäkerhet (eller deras organisatoriska motsvarighet). Denna person tar fullt ansvar för organisationens övergripande säkerhetssyn.

Allmän vägledning om ISO 27001:2022 bilaga A 8.3

För att upprätthålla effektiv kontroll över information och IKT-tillgångar bör organisationer ta ett ämnesspecifikt tillvägagångssätt för informationsåtkomst och stödja åtkomstbegränsningsåtgärder, såsom:

1. Blockera anonym åtkomst till information, inklusive bred allmän åtkomst:
• Organisationer bör se till att tillgång som ges till allmänheten eller tredje part inkluderar inte känsliga eller affärskritiska uppgifter.
2. Säkerställ korrekt underhåll av system för att reglera åtkomst och eventuella tillhörande affärsapplikationer eller procedurer.
3. Ställ in dataåtkomst på individuell nivå.
4. Beskriv dataåtkomsträttigheterna mellan grupper som validerar operationer, såsom läsa, skriva, ta bort och köra.
5. Behåll kapaciteten att dela upp viktiga processer och applikationer med en mängd olika fysiska och digitala åtkomstbegränsningar.

Vägledning om dynamisk åtkomsthantering

ISO 27001:2022 bilaga A 8.3 rekommenderar att man använder ett dynamiskt tillvägagångssätt för tillgång till information.

Dynamisk åtkomsthantering har många positiva effekter på organisatoriska aktiviteter som involverar delning eller utnyttjande av intern data med externa användare, vilket resulterar i snabbare incidentlösning.

Tekniker för dynamisk åtkomsthantering skyddar en mängd olika informationstyper, från vanliga dokument till e-postmeddelanden och databasinformation. Dessutom kan de appliceras på enskilda filer, vilket gör att organisationer kan ha en exakt kontroll över sina data.

Organisationer bör ta hänsyn till detta när:

• Granulär kontroll behövs för att avgöra vilka mänskliga och icke-mänskliga användare som kan komma åt informationen vid varje given tidpunkt.
• Det finns ett behov av att dela data med externa enheter (t.ex. leverantörer eller statliga myndigheter).
• En "realtids" strategi för datahantering och distribution innebär att övervaka och hantera dataanvändning när det händer.
• Skydda data mot obehöriga ändringar, distribution eller utskrift.
• Det är viktigt att övervaka tillgången till och ändringar av information, särskilt när den är känslig.

Dynamisk åtkomsthantering är särskilt fördelaktig för organisationer som kräver observation och bevarande av data från början till förstörelse, inklusive:

• Ett användningsfall eller en serie användningsfall kan beskrivas för att tillämpa regler för dataåtkomst baserat på variablerna nedan:
• Plats
• Ansökan
• Identitet
• Anordning
• Beskriv en process inklusive data drift och övervakning, samt upprättande av ett heltäckande rapporteringssystem baserat på en tillförlitlig teknisk infrastruktur.

Alla försök att skapa ett effektivt system för åtkomstkontroll bör resultera i att data skyddas av:

1. Att säkerställa dataåtkomst är resultatet av en framgångsrik autentisering.
2. En grad av begränsad åtkomst, beroende på typen av data och dess förmåga att påverka kontinuitet i verksamheten, måste sättas på plats.
3. Utskriftsbehörigheter.
4. Kryptering.
5. Omfattande revisionsloggar att register vem som har tillgång till uppgifter och syftet med uppgifternas användning ska föras.
6. En procedur för varningar som flaggar all olämplig användning av data, inklusive (men inte begränsat till) obehörig åtkomst, distribution och försök att radera.

Ändringar och skillnader från ISO 27001:2013

ISO 27001:2022 bilaga A 8.3 ersätter ISO 27001:2013 Bilaga A 9.4.1 (Information Access Restriction), representerar en stor förändring i hur ISO ser på informationsåtkomsthantering.

Detta dynamiska tillvägagångssätt, som inte nämndes i ISO 27001:2013 Annex A 9.4.1, tar hänsyn till informationssäkerhetens föränderliga karaktär.

ISO 27001:2022 bilaga 8.3 innehåller en mängd vägledningsnoteringar om dynamisk åtkomsthantering som inte finns i ISO 27001:2013-utgåvan. Följaktligen bör organisationer se över dessa förslag ämne för ämne när de söker certifiering.

Tabell över alla ISO 27001:2022 bilaga A kontroller

I tabellen nedan hittar du mer information om varje individ ISO 27001:2022 bilaga A Kontrollera.

Hur ISMS.online Hjälp

ISMS.Online är den främsta programvaran för ledningssystem för ISO 27001 som underlättar efterlevnaden av ISO 27001 och gör det möjligt för företag att anpassa sina säkerhetspolicyer och rutiner till standarden.

Denna molnbaserad plattform förser organisationer med en komplett uppsättning verktyg för att hjälpa dem att bygga ett Information Security Management System (ISMS) som är kompatibelt med ISO 27001:2022.

Vi har byggt vår plattform från grunden och samarbetat med internationella informationssäkerhetsspecialister. Vi har designat det för att vara intuitivt och enkelt för användare som saknar teknisk expertis inom Information Security Management System (ISMS).

Kontakta oss nu för att arrangera en demonstration.