ISO 27002:2022, Kontroll 5.17 – Autentiseringsinformation

Äganderätt till kontroll 5.17

Med tanke på att kontroll 5.17 innebär upprättande och implementering av organisationsövergripande regler, procedurer och åtgärder för tilldelning och hantering av autentiseringsinformation, bör informationssäkerhetsansvariga ansvara för efterlevnaden av kontroll 5.17.

Vägledning om tilldelning av autentiseringsinformation

Organisationer bör uppfylla följande sex krav för tilldelning och hantering av autentiseringsinformation:

• När personliga lösenord eller personliga identifikationsnummer genereras automatiskt för registrering av nya användare, bör de vara omöjliga att gissa. Dessutom bör lösenord vara unika för varje användare och det måste vara obligatoriskt att byta lösenord efter första användningen.
• Organisationer bör upprätta robusta procedurer för att autentisera en användares identitet innan han/hon beviljas en ny eller ersättningsinformation om autentisering eller han/hon förses med tillfällig information.
• Organisationer bör säkerställa säker överföring av autentiseringsinformation till individer via säkra kanaler och de bör inte skicka denna information via osäkra elektroniska meddelanden (t.ex. klartext).
• Användare bör bekräfta mottagandet av autentiseringsinformationen.
• Efter att nya IT-system och program har installerats bör organisationer omedelbart ändra standardautentiseringsinformationen.
• Organisationer bör upprätta och underhålla register över alla viktiga händelser relaterade till hantering och tilldelning av autentiseringsinformation. Dessutom bör dessa register hållas konfidentiella och registreringsmetoder bör tillåtas, t.ex. genom att använda ett godkänt lösenordsverktyg.

Vägledning om användaransvar

Användare som kan komma åt och använda autentiseringsinformation bör instrueras att följa följande:

1. Användare måste upprätthålla konfidentialitet för hemlig autentiseringsinformation såsom lösenord och bör inte dela sådan hemlig information med någon annan. När flera användare är inblandade i användningen av autentiseringsinformation eller informationen är kopplad till icke-personliga enheter, bör autentiseringsinformationen inte lämnas ut till obehöriga.
2. Användare måste ändra sina lösenord omedelbart om konfidentialiteten för deras lösenord äventyras.
3. Användare bör välja svåra att gissa starka lösenord genom att följa branschens bästa praxis. Till exempel:
• Lösenord bör inte väljas baserat på personlig information som är lätt att få tag på, såsom namn eller födelsedatum.
• Lösenord bör inte skapas baserat på något som lätt kan gissas.
• Lösenord bör inte innehålla ordbok eller kombinationer av dessa ord.
• Alfanumeriska och specialtecken ska användas i lösenordet.
• Det bör finnas en minsta längd för lösenord.
4. Användare ska inte använda samma lösenord för olika tjänster.
5. Organisationer bör inkludera kraven för att skapa och använda lösenord i sina anställningsavtal med sina anställda.

Vägledning om lösenordshanteringssystem

Organisationer bör följa följande när de upprättar ett lösenordshanteringssystem:

• Användare bör tillåtas skapa och ändra sina lösenord och det bör finnas en bekräftelseprocedur för att säkerställa att inmatningsfel identifieras och åtgärdas.
• Organisationer bör implementera en stark process för val av lösenord, med hänsyn till branschens bästa praxis för val av lösenord.
• Användare bör tvingas ändra sina standardlösenord efter att de första gången kommit åt ett system.
• Lösenordsändringar bör implementeras när det är nödvändigt. Till exempel kommer lösenordsbyte vara nödvändigt efter en säkerhetsincident eller efter uppsägning av en anställning hos en användare om den användaren har tillgång till lösenord.
• Tidigare lösenord ska inte återanvändas.
• Användning av mycket vanliga lösenord eller komprometterade lösenord eller användarnamn som används för åtkomst till hackade system bör förbjudas.
• När lösenord skrivs in ska de synas på skärmen i vanlig text.
• Lösenord bör lagras och överföras via skyddade kanaler och i ett säkert format.

Dessutom bör organisationer utföra hash- och krypteringstekniker i enlighet med de auktoriserade kryptografimetoderna för lösenord som anges i Kontroll 8.24.

Kompletterande vägledning om kontroll 5.17

Förutom lösenord finns det andra typer av autentiseringsinformation som kryptografiska nycklar, smartkort och biometriska data som fingeravtryck.

Organisationer rekommenderas att hänvisa till ISO/IEC 24760-serien för mer detaljerad vägledning om autentiseringsinformation.

Med tanke på att frekventa byten av lösenord kan vara besvärligt och irriterande för användare, kan organisationer överväga att implementera alternativa metoder som enkel inloggning eller lösenordsvalv. Det bör dock noteras att dessa alternativa metoder kan utsätta autentiseringsinformation för högre risk för obehörigt avslöjande.

Ändringar och skillnader från ISO 27002:2013

27002:2022/5.17 ersätter 27002:2013/(9.2.4, 9.3.1 9.4.3)

2022-versionen innehåller ett nytt krav för tilldelning och hantering av autentiseringsinformation

Även om 2013- och 2022-versionen är mycket lika när det gäller kraven för tilldelning och hantering av autentiseringsinformation, introducerar Control 5.17 i 2022-versionen följande krav, som inte ingick i 2013-versionen:

• Organisationer bör upprätta och underhålla register över alla viktiga händelser relaterade till hantering och tilldelning av autentiseringsinformation. Dessutom bör dessa register hållas konfidentiella och registreringsmetoder bör tillåtas, t.ex. genom att använda ett godkänt lösenordsverktyg.

Kontroll 5.17 i 2022 års version innehåller ett ytterligare krav på användning av autentiseringsinformation

Kontroll 5.17 introducerar följande krav för användaransvar som inte hänvisades till i Kontroll 9.3.1 i 2013 års version.

• Organisationer bör inkludera kraven för att skapa och använda lösenord i sina anställningsavtal med sina anställda och personal.

2013-versionen innehöll ytterligare krav för användaransvar som inte ingick i 2022-versionen

Till skillnad från 2022 års version innehöll kontroll 9.3.1 följande krav för användning av autentiseringsinformation:

• Användare bör inte använda samma autentiseringsinformation som ett lösenord för både affärs- och icke-affärsändamål.

2013-versionen innehöll ett ytterligare krav för lösenordshanteringssystem som inte ingick i 2022-versionen

Kontroll 9.4.3 i 2013 års version inkluderade följande krav för lösenordshanteringssystem.

• Filer som innehåller lösenord bör lagras i ett separat system från applikationssystemdata.

Kontroll 5.17 i 2022 års version innehöll tvärtom inte detta krav.

Hur ISMS.online hjälper

ISMS.Online hjälper organisationer och företag att uppfylla kraven i ISO 27002 genom att förse dem med en plattform som gör det enkelt att hantera deras policyer och procedurer för sekretess eller sekretess, uppdatera dem vid behov, testa dem och övervaka deras effektivitet.

Vi tillhandahåller en molnbaserad plattform för hantering av ledningssystem för konfidentialitet och informationssäkerhet, inklusive klausuler om sekretess, riskhantering, policyer, planer och procedurer, på en central plats. Plattformen är lätt att använda och har ett intuitivt gränssnitt som gör det enkelt att lära sig att använda.

Kontakta oss idag för att schema en demo.