ISO 27002:2022, Kontroll 8.3 – Begränsning av informationsåtkomst

Allmän vägledning om kontroll 8.3

För att upprätthålla effektiv kontroll över information och IKT-tillgångar, och till stöd för åtkomstbegränsningsåtgärder bör organisationer säkerställa följande i linje med a ämnesspecifikt tillvägagångssätt för tillgång till information:

1. Förhindra anonym tillgång till information, inklusive långtgående allmänhetens tillgång.
• Där offentlig eller tredje parts tillgång beviljas bör organisationer se till att åtkomsten inte omfattar känsliga eller affärskritiska data.

2. Arbeta med adekvata underhållsåtgärder som kontrollerar systemåtkomst och alla tillhörande affärsapplikationer eller processer.
3. Diktera dataåtkomst på en användare-för-användare-basis.
4. Ange dataåtkomsträttigheter mellan grupper som validerar specifika dataoperationer, till exempel läsa, skriva, ta bort och köra.
5. Behåll möjligheten att partitionera affärskritiska processer och applikationer med hjälp av en rad fysiska och digitala åtkomstkontroller.

Vägledning – Dynamisk åtkomsthantering

Kontroll 8.3 förespråkar en dynamisk inställning till informationstillgång.

Dynamisk åtkomsthantering har många kvarvarande fördelar för organisatoriska processer som har behovet av att dela eller använda intern data med externa användare, inklusive snabbare incidentlösningstider.

Dynamisk åtkomst hanteringstekniker skyddar ett brett utbud av information typer, från standarddokument till e-postmeddelanden och databasinformation, och har möjlighet att tillämpas på en detaljerad fil-för-fil-basis, vilket möjliggör en noggrann kontroll av data på organisationsnivå.

Organisationer bör överväga ett sådant tillvägagångssätt när:

1. Kräver granulär kontroll över vad mänskliga och icke-mänskliga användare kan komma åt sådan information vid varje given tidpunkt.
2. Behovet uppstår att dela information med externa parter (som leverantörer eller tillsynsorgan).
3. Överväger en "realtids"-strategi för datahantering och distribution som involverar övervakning och hantering av dataanvändning när den sker.
4. Skydda information mot obehöriga ändringar, delning eller utdata (utskrift etc).
5. Övervakning av tillgång till och ändring av information, särskilt när informationen i fråga är av känslig karaktär.

Dynamisk åtkomsthantering är särskilt användbar för organisationer som behöver övervaka och skydda data från skapande till radering, inklusive:

1. Beskriva ett användningsfall (eller en serie av användningsfall) som tillämpar dataåtkomstregler baserat på följande variabler:
• Identitet
• Anordning
• Plats
• Ansökan
2. Att beskriva en process som täcker av drift och övervakning av data, och upprättande av en noggrann rapporteringsprocess som i sin tur är informerad av en sund teknisk infrastruktur.

Alla ansträngningar för att formulera en dynamisk åtkomsthanteringsmetod bör resultera i data skyddas av:

1. Att säkerställa att åtkomst till data är slutresultatet av en framgångsrik autentiseringsprocess.
2. En grad av begränsad åtkomst, baserat på datatypen och dess påverkan på förmågan kontinuitet i verksamheten.
3. Kryptering.
4. Utskriftsbehörigheter.
5. Grundlig revisionsloggar som registrerar vem som har tillgång till data och hur denna data används.
6. En varningsprocedur som flaggar för olämplig dataanvändning, inklusive (men inte begränsat till) obehörig åtkomst och distribution, och försök till radering.

Ändringar och skillnader från ISO 27002:2013

27002:2022-8.3 replaces 27002:2013-9.4.1 (Informationsåtkomstbegränsning), och representerar ett stort skifte i hur ISO betraktar informationsåtkomsthantering i enlighet med det tidigare nämnda dynamiska tillvägagångssättet (en teknik som inte nämns i 27002:2013-9.4.1)

27002:2022-8.3 innehåller en stor mängd vägledningsnoteringar om dynamisk åtkomsthantering som saknas i dess motsvarighet från 2013, och organisationer rekommenderas att överväga dessa ämne för ämne när de söker certifiering.

Hur ISMS.online hjälper

ISMS.Online är den ledande programvaran för ledningssystem för ISO 27002 som stöder överensstämmelse med ISO 27002, och hjälper företag att anpassa sina säkerhetspolicyer och procedurer till standarden.

Den molnbaserade plattformen tillhandahåller en komplett uppsättning verktyg för att hjälpa organisationer att sätta upp en ledningssystem för informationssäkerhet (ISMS) enligt ISO 27002.

Vår plattform har designats från grunden med hjälp av informationssäkerhetsexperter från hela världen och vi har utvecklat det på ett sätt som gör det enkelt för personer utan någon teknisk kunskap om ledningssystem för informationssäkerhet (ISMS) att använda den.

Hör av dig idag för att boka en demo.