ISO 27002:2022, Kontroll 5.18 – Åtkomsträttigheter

Äganderätt till kontroll 5.18

En informationssäkerhetsansvarig bör vara ansvarig för att upprätta, implementera och granska lämpliga regler, processer och kontroller för tillhandahållande, ändring och återkallande av åtkomsträttigheter till informationssystem.

Vid tilldelning, ändring och återkallande av åtkomsträttigheter bör informationssäkerhetsansvarig överväga affärsbehov och bör nära arbeta med informationstillgångsägare för att säkerställa att regler och processer följs.

Vägledning om beviljande och återkallande av nyttjanderätt

Organisationer bör införliva följande regler och kontroller i processen för tilldelning och återkallelse av åtkomsträttigheter till en autentiserad individ:

• Ägaren av informationstillgångar bör ge sitt tillstånd för tillgång till och användning av relevanta informationstillgångar. Dessutom bör organisationer också överväga att söka separat godkännande från ledningen för beviljande av åtkomsträttigheter.
• Organisationens affärsbehov och dess policy för åtkomstkontroll bör beaktas.
• Organisationer bör överväga att separera uppgifter. Till exempel kan godkännandeuppdraget och implementeringen av åtkomsträttigheter utföras av separata individer.
• När en individ inte längre behöver tillgång till informationstillgångar, särskilt när de inte längre är en del av organisationen, bör dennes åtkomsträtt omedelbart återkallas.
• Personal eller annan personal som tillfälligt arbetar för organisationen kan ges tillfälliga åtkomsträttigheter. Dessa rättigheter bör återkallas när de inte längre arbetar för organisationen.
• Den åtkomstnivå som ges till en individ bör vara i linje med organisationens policy för åtkomstkontroll och bör ses över och verifieras regelbundet. Dessutom bör den också vara i enlighet med andra informationssäkerhetskrav, såsom åtskillnad av arbetsuppgifter enligt kontroll 5.3.
• Organisationer bör se till att åtkomsträttigheter inte aktiveras förrän lämplig auktoriseringsprocedure har slutförts.
• Åtkomsträttigheter som ges till varje enskild identifierare, såsom ID eller fysisk, bör loggas in på ett centralt hanteringssystem för åtkomstkontroll och detta system bör underhållas.
• Om en individs roll eller plikter ändras, bör deras nivå av åtkomsträttigheter uppdateras.
• Borttagning eller modifiering av fysiska eller logiska åtkomsträttigheter kan utföras på följande sätt: Borttagning eller ersättning av nycklar, ID-kort eller autentiseringsinformation.
• Ändringar av en användares fysiska och logiska åtkomsträttigheter bör loggas in på ett system och bör underhållas.

Kompletterande vägledning om granskning av åtkomsträttigheter

Fysiska och logiska åtkomsträttigheter bör genomgå periodiska granskningar med hänsyn till:

• Ändringar i varje användares åtkomsträttigheter efter att de har befordrats eller degraderats inom samma organisation, eller efter att deras anställning har avslutats.
• Auktoriseringsprocedur för beviljande av privilegierade åtkomsträttigheter.

Vägledning om byte eller uppsägning av anställning

Innan en anställd befordras eller degraderas inom samma organisation eller när hans/hennes anställning avslutas, bör hans/hennes åtkomsträttigheter till informationsbehandlingssystem utvärderas och modifieras genom att ta hänsyn till följande riskfaktorer:

• Huruvida uppsägningsprocessen initieras av den anställde eller av organisationen och orsaken till uppsägningen.
• Medarbetarens nuvarande ansvar inom organisationen.
• Kritiskhet och värde av informationstillgångar som är tillgängliga för medarbetaren.

Kompletterande vägledning

Organisationer bör överväga att etablera roller för användaråtkomst baserat på deras affärskrav. Dessa roller bör inkludera typerna och antalet åtkomsträttigheter som ska ges till varje användargrupp.

Genom att skapa sådana roller blir det lättare att hantera och granska åtkomstförfrågningar och rättigheter.

Organisationer bör inkludera avtalsbestämmelser för obehörigt tillträde och sanktioner för sådan tillgång i sina anställnings-/tjänsteavtal med sin personal. Detta bör vara i enlighet med kontrollerna 5.20, 6.2, 6.4 och 6.6.

Organisationer bör vara försiktiga mot missnöjda anställda som sägs upp av ledningen eftersom de kan skada informationssystem med avsikt.

Om organisationer bestämmer sig för att använda kloningsteknikerna för att bevilja åtkomsträttigheter, bör de utföra det på grundval av distinkta roller som fastställts av organisationen.

Det bör noteras att kloning kommer med den inneboende risken att ge överdrivna åtkomsträttigheter.

Ändringar och skillnader från ISO 27002:2013

27002:2022/5.18 ersätter 27002:2013/(9.2.2, 9.2.5, 9.2.6).

2022-versionen innehåller mer omfattande krav för beviljande och återkallande av åtkomsträttigheter

Även om Control 9.2.2 i 2013 års version listade sex krav för att tilldela och återkalla åtkomsträttigheter, introducerar Control 5.18 i 2022 version tre nya krav utöver dessa sex krav:

• Personal eller annan personal som tillfälligt arbetar för organisationen kan ges tillfälliga åtkomsträttigheter. Dessa rättigheter bör återkallas när de inte längre utför arbete för organisationen.
• Borttagning eller modifiering av fysiska eller logiska åtkomsträttigheter kan utföras på följande sätt: Borttagning eller ersättning av nycklar, ID-kort eller autentiseringsinformation.
• Ändringar av en användares fysiska och logiska åtkomsträttigheter bör loggas och underhållas.

2013-versionen innehåller mer detaljerade krav för privilegierade åtkomsträttigheter

Kontroll 9.5 i version 2013 angav uttryckligen att organisationer bör granska behörigheten för privilegierade åtkomsträttigheter med tätare intervall än andra åtkomsträttigheter. Kontroll 5.18 i version 2022 innehöll tvärtom inte detta krav.

Hur ISMS.online hjälper

ISMS.online är en molnbaserad plattform som erbjuder hjälp med att implementera ISO 2702-standarden effektivt och kostnadseffektivt.

Det ger organisationer enkel tillgång till uppdaterad information om deras efterlevnadsstatus hela tiden genom dess användarvänliga instrumentpanelsgränssnitt som gör det möjligt för chefer att övervaka deras framsteg mot att uppnå efterlevnad snabbt och enkelt.

Hör av dig idag för att boka en demo.