ISO 27001:2022 Annex A 8.5 – Säker autentisering

• Se ISO 27002:2022 Kontroll 8.5 för mer information.
• Se ISO 27001:2013 bilaga A 9.4.2 för mer information.

Syftet med ISO 27001:2022 bilaga A 8.5

Säker autentisering är det huvudsakliga sättet för användare, både mänskliga och icke-mänskliga, åtkomst till en organisations IKT-resurser.

Under de senaste tio åren har autentiseringsteknologin genomgått en stor omvandling från klassisk användarnamn/lösenordsvalidering till en mängd olika kompletterande metoder som involverar biometriska data, logiska och fysiska åtkomstkontroller, extern enhetsautentisering, SMS-koder och engångslösenord (OTP) .

Bilaga A 8.5 ger organisationer ett ramverk för att kontrollera åtkomst till sina IKT-system och tillgångar via en säker inloggningsgateway. Den beskriver exakt hur detta ska göras.

ISO 27001: 2022 Bilaga A Kontroll 8.5 är en förebyggande åtgärd som upprätthåller risken nivåer genom att introducera teknik och införa säkra autentiseringsprocedurer, som säkerställer att mänskliga och icke-mänskliga användare och identiteter genomför en säker autentiseringsprocess när de försöker komma åt IKT-resurser.

Äganderätt till bilaga A 8.5

ISO 27001:2022 Annex A 8.5 behandlar en organisations kapacitet att kontrollera åtkomsten till sitt nätverk (och den data och information som finns däri) vid viktiga punkter, t.ex. en inloggningsportal.

Kontrollen omfattar informations- och datasäkerhet som helhet, med den operativa vägledningen främst inriktad på tekniska aspekter.

Smakämnen Chef för IT (eller motsvarande) bör ha ägarskap på grund av att ha ansvar för IT-administrativa uppgifter på en daglig basis.

Allmän vägledning om ISO 27001:2022 bilaga A 8.5

Organisationer bör ta hänsyn till typen och känsligheten hos data och nätverk som nås när de överväger autentiseringskontroller. Exempel på sådana kontroller inkluderar:

• Smarta åtkomstkontroller (smartkort).
• Biometriska inloggningar.
• Säkra tokens.
• Multi-factor authentication (MFA).
• Digitala certifikat.

Det primära syftet med ett företags säkra autentiseringsåtgärder bör vara att avskräcka och minska möjligheten för obehörig åtkomst till dess skyddade system.

För att uppnå detta anger ISO 27001:2022 Annex A 8.5 tolv främsta riktlinjer. Företag bör:

1. Se till att information endast visas efter en framgångsrik autentiseringsprocess.
2. Visa ett varningsmeddelande innan du loggar in som tydligt anger att endast behöriga användare kan komma åt data.
3. Minska den hjälp som ges till obehöriga som försöker ta sig in i systemet. Till exempel bör företag inte avslöja vilken del av inloggningen som har varit felaktig, till exempel en biometrisk faktor för en multifaktorautentiseringsinloggning – istället bara uppge att inloggningen inte har fungerat.
4. Verifiera inloggningsförsöket endast när all nödvändig information har tillhandahållits till inloggningstjänsten, för att upprätthålla säkerheten.
5. Implementera branschstandardiserade säkerhetsåtgärder för att skydda mot allmän åtkomst och brute force-attacker på inloggningsportaler. Dessa kan inkludera:
• CAPTCHA är en säkerhetsfunktion som kräver att du anger en sträng med tecken för att verifiera att du är en mänsklig användare.
• Genomför en återställning av ett lösenord efter ett bestämt antal misslyckade inloggningsförsök.
• Efter ett visst antal misslyckade försök hindras ytterligare inloggningar. För att förhindra detta, sätt en gräns.
6. För granskning och säkerhet ska varje misslyckat inloggningsförsök noteras, inklusive för straffrättsliga och/eller regulatoriska förfaranden.
7. I händelse av större inloggningsavvikelser, såsom ett misstänkt intrång, måste en säkerhetsincident omedelbart initieras. Intern personal, särskilt de som har åtkomst till systemadministratörer eller förmåga att förhindra skadliga inloggningsförsök, måste meddelas omedelbart.
8. När en lyckad inloggning har bekräftats måste vissa data överföras till ett annat arkiv med detaljer:
• Den senaste lyckade inloggningen skedde [datum] vid [tid].
• Registrering av alla försök till inloggning sedan den senaste autentiserade inloggningen.
9. Visa lösenord som asterisker eller andra liknande abstrakta symboler, om det inte finns en anledning att inte göra det (t.ex. användartillgänglighet).
10. Ingen tolerans för lösenord som ska delas eller visas i vanlig, läsbar text.
11. Se till att lediga inloggningssessioner avslutas efter en angiven tidsram. Detta är särskilt relevant för sessioner på högriskplatser (fjärrarbete situationer) eller på användarägda enheter, såsom personliga bärbara datorer eller mobiltelefoner.
12. Begränsa varaktigheten för vilken en autentiserad session kan vara öppen, även när den är aktiv, beroende på vilken data som nås (t.ex. viktig företagsinformation eller pengarrelaterade program).

Vägledning om biometriska inloggningar

International Organization for Standardization uppmanar till att biometriska inloggningsprocesser kombineras med åtminstone en annan inloggningsteknik, på grund av deras jämförande effektivitet och integritet jämfört med traditionella metoder som lösenord, MFA och tokens.

Ändringar och skillnader från ISO 27001:2013

ISO 27001:2022 bilaga A 8.5 ersätter ISO 27001:2013 Bilaga A 9.4.2 (Säkra inloggningsprotokoll).

ISO 27001:2022 bilaga A 8.5 är en revidering av 2013 års version, med små modifieringar av språket och samma säkerhetsprinciper som ligger till grund för den. Dokumentet innehåller fortfarande de 12 välbekanta vägledningspunkterna.

I linje med den ökade användningen av multifaktorautentisering och biometrisk inloggningsteknik under de senaste tio åren, ger ISO 27001:2022 Annex A 8.5 explicita instruktioner om hur organisationer bör införliva dessa tekniker när de formulerar sina egna inloggningskontroller.

Tabell över alla ISO 27001:2022 bilaga A kontroller

I tabellen nedan hittar du mer information om varje individ ISO 27001:2022 bilaga A Kontrollera.

Hur ISMS.online Hjälp

Vår molnbaserade plattform utrustar dig med ett starkt ramverk av informationssäkerhet kontroller för att underlätta ISMS-processen och säkerställa att den uppfyller ISO 27001:2022-kriterierna. Används på rätt sätt, ISMS.online kan hjälpa dig att uppnå certifiering med minimal tid och resurser.

Kontakta oss idag för att arrangera en demonstration.