ISO 27002:2022, Kontroll 5.16 – Identitetshantering

Allmän vägledning

Överensstämmelse med kontroll 5.16 uppnås genom en kombination av att säkerställa att identitetsbaserade förfaranden är tydligt formulerade i policydokument och övervaka den dagliga efterlevnaden bland personalen.

5.16 listar sex huvudprocedurer som en organisation måste följa för att uppfylla de erforderliga standarderna för styrning av infosec och cybersäkerhet:

• När identiteter tilldelas en person är det bara den specifika personen som tillåts autentisera med och/eller använda den identiteten vid åtkomst till nätverksresurser.
  
  

  Compliance – IT-policyer måste tydligt ange att användare inte får dela inloggningsinformation, eller tillåta andra användare att roama nätverket med någon annan identitet än den de har tilldelats.

• Ibland kan det vara nödvändigt att tilldela en identitet till flera personer – även känd som en "delad identitet". Detta tillvägagångssätt bör användas sparsamt och endast för att tillgodose en explicit uppsättning operativa krav.
  
  

  Compliance – Organisationer bör behandla registreringen av delade identiteter som en separat procedur för enanvändaridentiteter, med ett särskilt arbetsflöde för godkännande.

• Så kallade "icke-mänskliga" enheter (som namnet antyder, alla identiteter som inte är kopplade till en faktisk användare) bör betraktas annorlunda än användarbaserade identiteter vid registreringstillfället.
  
  

  Compliance – Precis som med delade identiteter bör icke-mänskliga identiteter i sin tur ha sin egen godkännande- och registreringsprocess som erkänner den underliggande skillnaden mellan att tilldela en identitet till en person och att bevilja en till en tillgång, applikation eller enhet.

• Identiteter som inte längre krävs (lämnare, redundanta tillgångar etc.) bör inaktiveras av en nätverksadministratör eller tas bort helt efter behov.
  
  

  Compliance – IT-personal borde genomföra regelbundna revisioner som listar identiteter i användningsordning och identifierar vilka enheter (mänskliga eller icke-mänskliga) som kan stängas av eller raderas. HR-personal bör inkludera identitetshantering i sina offboardprocedurer och informera IT-personal om avhoppade i tid.

• Dubbletter av identiteter bör undvikas till varje pris. Företag bör följa regeln "en enhet, en identitet" över hela linjen.
  
  

  Compliance – IT-personal bör vara vaksam när de tilldelar roller över ett nätverk och se till att enheter inte beviljas åtkomsträttigheter baserat på flera identiteter.

• Adekvata register bör föras över alla "väsentliga händelser" angående identitetshantering och autentiseringsinformation.
  
  

  Compliance – Begreppet "väsentlig händelse" kan tolkas på olika sätt, men på en grundläggande nivå organisationer behöver för att säkerställa att deras förvaltningsprocedurer inkluderar identitetsregistreringsdokumentation, robusta protokoll för ändringsförfrågningar med ett lämpligt godkännandeförfarande och möjligheten att skapa en omfattande lista över tilldelade identiteter vid varje given tidpunkt.

Kompletterande vägledning

Förutom de sex huvudsakliga operativa övervägandena listar 5.16 också fyra steg som organisationer måste följa när de skapar en identitet och beviljar den tillgång till nätverksresurser (ändra eller ta bort åtkomsträttigheter behandlas i kontroll 5.18):

• Upprätta ett affärscase innan en identitet skapas
  
  

  Compliance – Det är viktigt att erkänna att identitetshantering blir exponentiellt svårare för varje ny identitet som skapas. Organisationer bör skapa nya identiteter endast när det finns ett tydligt behov av att göra det.

• Se till att den enhet som tilldelas identiteten (mänsklig eller icke-mänsklig) har verifierats oberoende.
  
  

  Compliance – När ett affärscase har godkänts bör rutinerna för identitets- och åtkomsthantering innehålla steg för att säkerställa att den person eller tillgång som tar emot en ny identitet har erforderlig behörighet att göra det innan en identitet skapas.

• Att etablera en identitet
  
  

  När enheten har verifierats bör IT-personal skapa en identitet som är i linje med kraven för affärsfall och är begränsad till vad som anges i eventuella ändringsförfrågningar.

• Slutlig konfiguration och aktivering
  
  Den slutliga steg i processen innebär tilldela en identitet till dess olika åtkomstbaserade behörigheter och roller (RBAC), och eventuella associerade autentiseringstjänster som krävs.

Ändringar från ISO 27002:2013

Allmänt

27002:2022 / 5.16 ersätter 27002:2013/9.2.1 (användarregistrering och avregistrering) – som i sig utgjorde en del av 27002:2013:s kontrolluppsättning för användaråtkomsthantering. Även om det finns vissa likheter mellan de två kontrollerna – mestadels i underhållsprotokoll och inaktiverande redundanta ID – innehåller 5.16 en mycket mer omfattande uppsättning riktlinjer som syftar till att hantera identitets- och åtkomsthantering som ett heltäckande koncept.

Mänskliga vs. icke-mänskliga identiteter

Den största skillnaden mellan 2022-kontrollen och dess föregångare från 2013 är erkännandet att även om det finns skillnader i registreringsprocessen, behandlas mänskliga och icke-mänskliga identiteter inte längre som åtskilda från varandra, för allmänna nätverksadministrationsändamål.

Med uppkomsten av modern identitets- och åtkomsthantering och Windows-baserade RBAC-protokoll talar IT-styrning och riktlinjer för bästa praxis om mänskliga och icke-mänskliga identiteter mer eller mindre utbytbara. 27002:2013/9.2.1 innehåller ingen vägledning om hur man administrerar icke-mänskliga identiteter, och berör sig enbart med hanteringen av vad den refererar till som "användar-ID:n" (dvs. inloggningsinformation som används för att komma åt ett nätverk, tillsammans med en Lösenord).

Dokumentation

Som vi har sett innehåller 27002:2013/5.16 explicit vägledning om inte bara de allmänna säkerhetskonsekvenserna av identitetsstyrning, utan också hur organisationer bör registrera och bearbeta information innan en identitet tilldelas, och under hela dess livscykel. Som jämförelse nämner 27002:2013/9.2.1 endast kortfattat den medföljande roll som IT-styrning spelar, och begränsar sig till den fysiska utövandet av identitetsadministration, som utförs av IT-personal.