ISO 27002:2022 – Kontroll 8.5 – Säker autentisering

Syfte med kontroll 8.5

Säker autentisering är den primära metod som mänskliga och icke-mänskliga användare använder när de försöker använda en organisations IKT-tillgångar.

Under det senaste decenniet har autentiseringstekniken genomgått en grundläggande förändring från traditionella användarnamn/lösenordsbaserade valideringar till en olika kompletterande tekniker inbegriper biometrisk information, logiska och fysiska åtkomstkontroller, extern enhetsautentisering, SMS-koder och engångslösenord (OTP).

27002:2022-8.5 sätter allt detta i sitt sammanhang och ger organisationer råd om exakt hur de bör vara kontrollera tillgången till sina IKT-system och tillgångar via en säker inloggningsgateway.

Kontroll 8.5 är en förebyggande kontroll den där upprätthåller risken genom att implementera teknik och upprätta ämnesspecifika säkra autentiseringsprocedurer som säkerställer att mänskliga och icke-mänskliga användare och identiteter genomgår en robust och säker autentiseringsprocedur när de försöker komma åt IKT-resurser.

Attributtabell för kontroll 8.5

Äganderätt till kontroll 8.5

Kontroll 8.5 handlar om en organisations förmåga att kontrollera åtkomsten till sitt nätverk (och informationen och data som finns i) vid kritiska korsningar, såsom en inloggningsgateway.

Även om kontrollen behandlar informations- och datasäkerhet som ett bredare begrepp, är den operativa vägledningen i första hand av teknisk karaktär.

Som sådan bör ägandet ligga hos IT-chefen (eller motsvarande organisation), som innehar ansvar för organisationens dagliga IT-administrativa funktioner.

Allmän vägledning om kontroll 8.5

Kontroll 8.5 ber organisationer att överväga autentiseringskontroller som är relevanta för typen och känsligheten hos data och nätverk som nås, inklusive:

• Multifaktorautentisering (MFA)
• Digitala certifikat
• Smarta åtkomstkontroller (smartkort)
• Biometriska inloggningar
• Säkra tokens

Det överordnade målet för en organisations säkra autentiseringskontroller bör vara att förhindra och/eller minimera risken för obehörig åtkomst till sina skyddade system.

För att uppnå detta beskriver Control 8.5 12 huvudriktlinjer. Organisationer bör:

1. Begränsa visningen av information tills efter ett lyckat autentiseringsförsök.
2. Visa en varningsförinloggning som tydligt anger att information endast ska nås av behöriga användare.
3. Minimera hjälpen det ger till oautentiserade användare som försöker komma åt systemet, t.ex. organisationer bör inte avslöja vilken specifik del av ett inloggningsförsök som är felaktig, till exempel en biometrisk aspekt av en MFA-inloggning, och istället bara ange att inloggningsförsöket har misslyckats .
4. Validera inloggningsförsöket endast när all nödvändig information har lämnats till inloggningstjänsten, för att upprätthålla säkerheten.
5. Implementera säkerhetsåtgärder av branschstandard som skyddar mot allmän åtkomst och/eller brute force-attacker på inloggningsportaler. Dessa åtgärder kan inkludera:
• CAPTCHA-kontroller
• Genomför en återställning av lösenordet efter ett visst antal misslyckade inloggningsförsök
• Förhindrar ytterligare inloggningsförsök efter ett fördefinierat antal misslyckade försök
6. Registrerar alla misslyckade inloggningsförsök för revisions- och säkerhetsändamål, inklusive deras användning i straffrättsliga och/eller reglerande förfaranden.
7. Initiera en säkerhetshändelse när en större inloggningsavvikelse upptäcks, till exempel ett upplevt intrång. I dessa fall bör all relevant intern personal meddelas, särskilt de med systemadministratörsbehörighet eller någon förmåga att bekämpa skadliga inloggningsförsök.
8. När du har validerat en inloggning, vidarebefordra vissa delar av information till en separat datakälla som listar:
• Datum och tid för den tidigare lyckade inloggningen
• En lista över alla inloggningsförsök sedan den senaste validerade inloggningen
9. Visa lösenord som asterisker (eller liknande abstrakta symboler), där det inte finns något pressande behov av att inte göra det (t.ex. användartillgänglighet).
10. Förbjud strängt delning av eller visning av lösenord som tydlig, läsbar text.
11. Upprätthåll en policy för att avsluta vilande inloggningssessioner efter en viss tidsperiod. Detta är särskilt relevant för sessioner som är aktiva på högriskplatser (fjärrarbetsmiljöer) eller på tillgångar som tillhandahålls av användaren som personliga bärbara datorer eller mobiltelefoner.
12. Begränsa den tid som en autentiserad session kan förbli öppen – även när den är aktiv – i förhållande till den information som nås (dvs. affärskritisk information eller ekonomiskt känsliga applikationer).

Vägledning – Biometriska inloggningar

ISO rekommenderar att på grund av ett antal faktorer relaterade till effektiviteten och integriteten hos biometriska inloggningsprocesser jämfört med traditionella åtgärder (lösenord, MFA, tokens etc.), biometriska autentiseringsmetoder bör inte användas isolerat, och åtföljs av minst en annan inloggningsteknik.

Ändringar och skillnader från ISO 27002:2013

27002:2022-8.5 ersätter 27002:2014-9.4.2 (Säker inloggningsprocedurer).

27002:2022-8.5 innehåller samma 12 vägledningspunkter som 2013 års motsvarighet, med smärre justeringar av ordalydelsen, och följer samma uppsättning underliggande säkerhetsprinciper.

I linje med ökningen av MFA och biometriska inloggningstekniker under det senaste decenniet, innehåller 27002:2022-8.5 explicit vägledning om användningen av båda teknikerna som organisationer bör överväga när de formulerar sin egen uppsättning inloggningskontroller.

Nya ISO 27002 kontroller

Hur ISMS.online hjälper

Vår molnbaserade plattform ger dig ett robust ramverk av informationssäkerhetskontroller så att du kan checklista din ISMS-process när du går för att säkerställa att den uppfyller kraven för ISO 27000k. Används på rätt sätt, ISMS. online kan hjälpa dig att uppnå certifiering med ett minimum av tid och resurser.

Hör av dig idag för att boka en demo.