ISO 27002:2022 – Kontroll 8.2 – Privilegerade åtkomsträttigheter

Syfte med kontroll 8.2

Skadlig eller felaktig användning av förhöjda systemadministratörsprivilegier är en av de största orsakerna till störningar i IKT i kommersiella nätverk över hela världen.

Privilegerade åtkomsträttigheter tillåter organisationer att kontrollera åtkomsten till sin infrastruktur, applikationer, tillgångar och upprätthålla integriteten hos alla lagrade data och system.

Kontroll 8.2 är en förebyggande kontroll den där upprätthåller risken genom att upprätta ett tillstånd process som hanterar alla förfrågningar om åtkomst över en organisations IKT-nätverk och tillhörande tillgångar.

Attributtabell för kontroll 8.2

Äganderätt till kontroll 8.2

Kontroll 8.6 behandlar en organisationens förmåga att kontrollera åtkomst till data via användarkonton som åtnjuter utökade åtkomsträttigheter.

Som sådan bör ägandet ligga hos IT-chefen (eller motsvarande organisation), som innehar ansvar för organisationens förmåga att administrera och övervaka privilegierade domän- eller programanvändarkonton.

Allmän vägledning om kontroll 8.2

Kontroll 8.2 beskriver 12 huvudriktlinjer som organisationer behöver att följa, i enlighet med en "ämnesspecifik" policy för åtkomstkontroll (se Kontroll 5.15) som riktar sig till enskilda affärsfunktioner.

Organisationer bör:

1. Identifiera en lista över användare som kräver någon grad av privilegierad åtkomst – antingen för ett enskilt system – såsom en databas – applikation, eller underliggande OS.
2. Upprätthålla en policy som tilldelar privilegierade åtkomsträttigheter till användare på vad som kallas "händelse för händelse" – användare bör ges åtkomstnivåer baserat på det absoluta minimum som krävs för att de ska kunna utföra sin roll.
3. Att beskriva en tydlig auktoriseringsprocess som hanterar alla förfrågningar om privilegierad åtkomst, inklusive att hålla ett register över alla åtkomsträttigheter som har implementerats.
4. Se till att åtkomsträttigheter är föremål för relevanta utgångsdatum.
5. Vidta åtgärder för att säkerställa att användarna är det uttryckligen medveten av någon tidsperiod där de arbetar med privilegierad åtkomst till ett system.
6. Där det är relevant uppmanas användare att autentisera sig på nytt innan de använder privilegierade åtkomsträttigheter, för att påverka större informations-/datasäkerhet.
7. Utför periodiska revisioner av privilegierade åtkomsträttigheter, särskilt efter en period av organisationsförändringar. Användarnas åtkomsträttigheter bör ses över baserat på deras "plikter, roller, ansvar och kompetens" (se Kontroll 5.18).
8. Överväg att arbeta med en så kallad "krossglas"-procedur – det vill säga att säkerställa att privilegierade åtkomsträttigheter beviljas inom noggrant kontrollerade tidsfönster som uppfyller minimikraven för att en operation ska kunna utföras (kritiska förändringar, systemadministration etc).
9. Se till att alla aktiviteter med privilegierad åtkomst loggas i enlighet med detta.
10. Förhindra användningen av generisk systeminloggningsinformation (särskilt standardiserade användarnamn och lösenord) (se Kontroll 5.17).
11. Håll dig till en policy att tilldela användare en separat identitet, som möjliggör strängare kontroll över privilegierade åtkomsträttigheter. Sådana identiteter kan sedan grupperas tillsammans, varvid den associerade gruppen ges olika nivåer av åtkomsträttigheter.
12. Se till att privilegierade åtkomsträttigheter endast reserveras för kritiska uppgifter, som relaterar till den fortsatta driften av ett fungerande IKT-nätverk – såsom systemadministration och nätverksunderhåll.

Stödkontroller

• 5.15

Ändringar och skillnader från ISO 27002:2013

Kontroll 27002:2022-8.2 ersätter 27002:2013-9.2.3 (Hantering av privilegierade åtkomsträttigheter).

27002:2022-8.2 innehåller 5 viktiga vägledningspunkter som inte är explicita i dess motsvarighet från 2013:

• 27002:2022-8.2 kräver inte uttryckligen ett annat användar-ID för privilegierade åtkomsträttigheter.
• 27002:2022-8.2 betonar behovet av att autentisera på nytt innan man får privilegierade åtkomsträttigheter.
• 27002:2022-8.2 förespråkar ett tillvägagångssätt med krossat glas när man utför kritiska underhållsuppgifter, baserat på noggrant kontrollerade tidsfönster.
• 27002:2022-8.2 ber organisationer att föra noggranna loggar för privilegierad åtkomst, för revisionsändamål.
• 27002:2022-8.2 uppmanar organisationer att begränsa användningen av privilegierade åtkomsträttigheter till administrativa uppgifter.

Nya ISO 27002 kontroller

Hur ISMS.online hjälper

ISO 27002, Kontroll 6.6, täcker behovet för organisationer att förhindra läckage av konfidentiell information genom att etablera sekretessavtal med berörda parter och personal.

Vår molnbaserade plattform tillhandahåller en komplett uppsättning verktyg för att hjälpa organisationer att sätta upp en ledningssystem för informationssäkerhet (ISMS) enligt ISO 27002 .

Dessa verktyg inkluderar:

• Ett bibliotek med mallar för vanliga företagsdokument.
• En uppsättning fördefinierade policyer och procedurer.
• Ett revisionsverktyg för att stödja interna revisioner.
• Ett konfigurationsgränssnitt för anpassning ISMS-policyer och procedurer.
• Ett godkännande arbetsflöde för alla ändringar som görs i policyer och procedurer.
• En checklista för att se till att dina policyer och informationssäkerhetsprocesser följer godkända internationella standarder.

ISMS.Online tillåter också användare att:

• Hantera alla aspekter av ISMS livscykel med lätthet.
• Få insikter i realtid om deras säkerhetsställning och brister i efterlevnad.
• Integrera med andra system som HR, ekonomi och projektledning.
• Visa efterlevnad av deras ISMS med ISO 27001 standarder.

Verktyget ISMS.Online ger också vägledning om hur du bäst implementerar ditt ISMS genom att ge tips om hur du skapar policyer och procedurer relaterade till aspekter som riskhantering, utbildning i personalsäkerhetsmedvetenhet och incidenthanteringsplanering.