Säkerställa säker åtkomst: ISO 27002-kontroll 5.18 förklaras
Varje anställd inom din organisation kommer att behöva ha tillgång till vissa datorer, databaser, informationssystem och applikationer för att utföra sina uppgifter.
Till exempel, medan personal kan behöva tillgång till känsliga hälsodata om anställda, kan din ekonomiavdelning förlita sig på att få tillgång till och använda databaser som innehåller information om anställdas löner.
Dessa åtkomsträttigheter bör dock tillhandahållas, ändras och återkallas i enlighet med din organisations åtkomstkontrollpolicy och dess åtkomstkontroller så att du kan förhindra obehörig åtkomst till, modifiering av och förstörelse av informationstillgångar.
Om du till exempel misslyckas med att återkalla åtkomsträttigheterna för en tidigare anställd kan den anställde stjäla känslig information.
Kontroll 5.18 handlar om hur organisationer ska tilldela, ändra och återkalla åtkomsträttigheter med hänsyn till affärskrav.
Syfte med kontroll 5.18
Kontroll 5.18 gör det möjligt för en organisation att upprätta och implementera lämpliga procedurer och kontroller för att tilldela, modifiera och återkalla åtkomsträttigheter till informationssystem i enlighet med organisationens policy för åtkomstkontroll och dess åtkomstkontroller.
Kontrollattribut 5.18
Kontroll 5.18 är en förebyggande kontroll som kräver att organisationer eliminerar risken för obehörig åtkomst till informationssystem genom att införa robusta regler, procedurer och kontroller.
| Kontroll typ | Informationssäkerhetsegenskaper | Cybersäkerhetskoncept | Operativa förmågor | Säkerhetsdomäner |
|---|---|---|---|---|
| #Förebyggande | #Sekretess | #Skydda | #Identitets- och åtkomsthantering | #Skydd |
| #Integritet | ||||
| #Tillgänglighet |
ISO 27001 på ett enkelt sätt
Ett försprång på 81 % från dag ett
Vi har gjort det hårda arbetet åt dig, vilket ger dig ett försprång på 81 % från det ögonblick du loggar in. Allt du behöver göra är att fylla i tomrummen.
Äganderätt till kontroll 5.18
En informationssäkerhetsansvarig bör vara ansvarig för att upprätta, implementera och granska lämpliga regler, processer och kontroller för tillhandahållande, ändring och återkallande av åtkomsträttigheter till informationssystem.
Vid tilldelning, ändring och återkallande av åtkomsträttigheter bör informationssäkerhetsansvarig överväga affärsbehov och bör nära arbeta med informationstillgångsägare för att säkerställa att regler och processer följs.
Vägledning om beviljande och återkallande av nyttjanderätt
Organisationer bör införliva följande regler och kontroller i processen för tilldelning och återkallelse av åtkomsträttigheter till en autentiserad individ:
- Ägaren av informationstillgångar bör ge sitt tillstånd för tillgång till och användning av relevanta informationstillgångar. Dessutom bör organisationer också överväga att söka separat godkännande från ledningen för beviljande av åtkomsträttigheter.
- Organisationens affärsbehov och dess policy för åtkomstkontroll bör beaktas.
- Organisationer bör överväga att separera uppgifter. Till exempel kan godkännandeuppdraget och implementeringen av åtkomsträttigheter utföras av separata individer.
- När en individ inte längre behöver tillgång till informationstillgångar, särskilt när de inte längre är en del av organisationen, bör dennes åtkomsträtt omedelbart återkallas.
- Personal eller annan personal som tillfälligt arbetar för organisationen kan ges tillfälliga åtkomsträttigheter. Dessa rättigheter bör återkallas när de inte längre arbetar för organisationen.
- Den åtkomstnivå som ges till en individ bör vara i linje med organisationens policy för åtkomstkontroll och bör ses över och verifieras regelbundet. Dessutom bör den också vara i enlighet med andra informationssäkerhetskrav, såsom åtskillnad av arbetsuppgifter enligt kontroll 5.3.
- Organisationer bör se till att åtkomsträttigheter inte aktiveras förrän lämplig auktoriseringsprocedure har slutförts.
- Åtkomsträttigheter som ges till varje enskild identifierare, såsom ID eller fysisk, bör loggas in på ett centralt hanteringssystem för åtkomstkontroll och detta system bör underhållas.
- Om en individs roll eller plikter ändras, bör deras nivå av åtkomsträttigheter uppdateras.
- Borttagning eller modifiering av fysiska eller logiska åtkomsträttigheter kan utföras på följande sätt: Borttagning eller ersättning av nycklar, ID-kort eller autentiseringsinformation.
- Ändringar av en användares fysiska och logiska åtkomsträttigheter bör loggas in på ett system och bör underhållas.
Befria dig från ett berg av kalkylblad
Bädda in, utöka och skala upp er efterlevnad utan krångel. IO ger er motståndskraften och självförtroendet att växa säkert.
Kompletterande vägledning om granskning av åtkomsträttigheter
Fysiska och logiska åtkomsträttigheter bör genomgå periodiska granskningar med hänsyn till:
- Ändringar i varje användares åtkomsträttigheter efter att de har befordrats eller degraderats inom samma organisation, eller efter att deras anställning har avslutats.
- Auktoriseringsprocedur för beviljande av privilegierade åtkomsträttigheter.
Vägledning om byte eller uppsägning av anställning
Innan en anställd befordras eller degraderas inom samma organisation eller när hans/hennes anställning avslutas, bör hans/hennes åtkomsträttigheter till informationsbehandlingssystem utvärderas och modifieras genom att ta hänsyn till följande riskfaktorer:
- Huruvida uppsägningsprocessen initieras av den anställde eller av organisationen och orsaken till uppsägningen.
- Medarbetarens nuvarande ansvar inom organisationen.
- Kritiskhet och värde av informationstillgångar som är tillgängliga för medarbetaren.
Kompletterande vägledning
Organisationer bör överväga att etablera roller för användaråtkomst baserat på deras affärskrav. Dessa roller bör inkludera typerna och antalet åtkomsträttigheter som ska ges till varje användargrupp.
Genom att skapa sådana roller blir det lättare att hantera och granska åtkomstförfrågningar och rättigheter.
Organisationer bör inkludera avtalsbestämmelser för obehörigt tillträde och sanktioner för sådan tillgång i sina anställnings-/tjänsteavtal med sin personal. Detta bör vara i enlighet med kontrollerna 5.20, 6.2, 6.4 och 6.6.
Organisationer bör vara försiktiga mot missnöjda anställda som sägs upp av ledningen eftersom de kan skada informationssystem med avsikt.
Om organisationer bestämmer sig för att använda kloningsteknikerna för att bevilja åtkomsträttigheter, bör de utföra det på grundval av distinkta roller som fastställts av organisationen.
Det bör noteras att kloning kommer med den inneboende risken att ge överdrivna åtkomsträttigheter.
Hantera all din efterlevnad, allt på ett ställe
ISMS.online stöder över 100 standarder och föreskrifter, vilket ger dig en enda plattform för alla dina efterlevnadsbehov.
Ändringar och skillnader från ISO 27002:2013
27002:2022/5.18 ersätter 27002:2013/(9.2.2, 9.2.5, 9.2.6).
2022-versionen innehåller mer omfattande krav för beviljande och återkallande av åtkomsträttigheter
Även om Control 9.2.2 i 2013 års version listade sex krav för att tilldela och återkalla åtkomsträttigheter, introducerar Control 5.18 i 2022 version tre nya krav utöver dessa sex krav:
- Personal eller annan personal som tillfälligt arbetar för organisationen kan ges tillfälliga åtkomsträttigheter. Dessa rättigheter bör återkallas när de inte längre utför arbete för organisationen.
- Borttagning eller modifiering av fysiska eller logiska åtkomsträttigheter kan utföras på följande sätt: Borttagning eller ersättning av nycklar, ID-kort eller autentiseringsinformation.
- Ändringar av en användares fysiska och logiska åtkomsträttigheter bör loggas och underhållas.
2013-versionen innehåller mer detaljerade krav för privilegierade åtkomsträttigheter
Kontroll 9.5 i version 2013 angav uttryckligen att organisationer bör granska behörigheten för privilegierade åtkomsträttigheter med tätare intervall än andra åtkomsträttigheter. Kontroll 5.18 i version 2022 innehöll tvärtom inte detta krav.
Nya ISO 27002 kontroller
| ISO/IEC 27002:2022 Kontrollidentifierare | ISO/IEC 27002:2013 Kontrollidentifierare | Kontrollnamn |
|---|---|---|
| 5.7 | NYA | Hot intelligens |
| 5.23 | NYA | Informationssäkerhet för användning av molntjänster |
| 5.30 | NYA | ICT-beredskap för kontinuitet i verksamheten |
| 7.4 | NYA | Fysisk säkerhetsövervakning |
| 8.9 | NYA | Konfigurationshantering |
| 8.10 | NYA | Radering av information |
| 8.11 | NYA | Datamaskering |
| 8.12 | NYA | Förebyggande av dataläckage |
| 8.16 | NYA | Övervakningsaktiviteter |
| 8.23 | NYA | Webbfiltrering |
| 8.28 | NYA | Säker kodning |
| ISO/IEC 27002:2022 Kontrollidentifierare | ISO/IEC 27002:2013 Kontrollidentifierare | Kontrollnamn |
|---|---|---|
| 6.1 | 07.1.1 | Screening |
| 6.2 | 07.1.2 | Anställningsvillkor |
| 6.3 | 07.2.2 | Informationssäkerhetsmedvetenhet, utbildning och träning |
| 6.4 | 07.2.3 | Disciplinär process |
| 6.5 | 07.3.1 | Ansvar efter uppsägning eller byte av anställning |
| 6.6 | 13.2.4 | Sekretess- eller sekretessavtal |
| 6.7 | 06.2.2 | Fjärrbearbetning |
| 6.8 | 16.1.2, 16.1.3 | Händelserapportering för informationssäkerhet |
| ISO/IEC 27002:2022 Kontrollidentifierare | ISO/IEC 27002:2013 Kontrollidentifierare | Kontrollnamn |
|---|---|---|
| 7.1 | 11.1.1 | Fysiska säkerhetsområden |
| 7.2 | 11.1.2, 11.1.6 | Fysiskt inträde |
| 7.3 | 11.1.3 | Säkra kontor, rum och lokaler |
| 7.4 | NYA | Fysisk säkerhetsövervakning |
| 7.5 | 11.1.4 | Skydd mot fysiska och miljömässiga hot |
| 7.6 | 11.1.5 | Arbeta i säkra områden |
| 7.7 | 11.2.9 | Tydligt skrivbord och tydlig skärm |
| 7.8 | 11.2.1 | Utrustningsplacering och skydd |
| 7.9 | 11.2.6 | Säkerhet av tillgångar utanför lokaler |
| 7.10 | 08.3.1, 08.3.2, 08.3.3, 11.2.5 | Lagringsmedia |
| 7.11 | 11.2.2 | Stöd till verktyg |
| 7.12 | 11.2.3 | Kabelsäkerhet |
| 7.13 | 11.2.4 | Utrustningsunderhåll |
| 7.14 | 11.2.7 | Säker kassering eller återanvändning av utrustning |
Hur ISMS.online hjälper
ISMS.online är en molnbaserad plattform som erbjuder hjälp med att implementera ISO 2702-standarden effektivt och kostnadseffektivt.
Det ger organisationer enkel tillgång till uppdaterad information om deras efterlevnadsstatus hela tiden genom dess användarvänliga instrumentpanelsgränssnitt som gör det möjligt för chefer att övervaka deras framsteg mot att uppnå efterlevnad snabbt och enkelt.
Hör av dig idag för att boka en demo.
