Skyddar PII med Robust System och Application Access Controls
Att lägga åtkomstbegränsningar på affärskritiska uppgifter, tillgångar och procedurer är en grundläggande aspekt av både att skydda PII och säkerställa att integritetsrelaterade applikationer och system är fria från korruption, missbruk eller radering.
ISO 27701 6.6.4 beskriver en mängd olika åtgärder – från autentiseringskontroller till källkodshantering och användning av privilegierade verktygsprogram – som gör det möjligt för organisationer att utöva detaljerad kontroll över vem och vad som får åtkomst till deras nätverk och med vilka medel.
Vad som omfattas av ISO 27701 klausul 6.6.4
ISO 27701 6.6.4 innehåller fem underklausuler som behandlar ovanstående ämnen. Varje underklausul innehåller vägledningsinformation från en olika underklausuler inom ISO 27002, men levereras inom ramen för PII-säkerhet och integritetsskydd:
- ISO 27701 6.6.4.1 – Restriktioner för informationstillgång (Referenser ISO 27002 kontroll 8.3).
- ISO 27701 6.6.4.2 – Säkra inloggningsprocedurer (Referenser ISO 27002 kontroll 8.5).
- ISO 27701 6.6.4.3 – Lösenordshanteringssystem (Referenser ISO 27002 kontroll 5.17).
- ISO 27701 6.6.4.4 – Användning av privilegierade verktygsprogram (Referenser ISO 27002 kontroll 8.18).
- ISO 27701 6.6.4.5 – Åtkomstkontroll till programkällkod (Referenser ISO 27002 kontroll 8.4).
Underklausul 6.6.4.2 innehåller ytterligare vägledning om tillämpliga artiklar inom brittisk GDPR-lagstiftning (Artikel 5 [1][f]).
Observera att GDPR-hänvisningar endast är i vägledande syfte. Organisationer bör granska lagstiftningen och göra en egen bedömning av vilka delar av lagen som gäller för dem.
ISO 27001 på ett enkelt sätt
Ett försprång på 81 % från dag ett
Vi har gjort det hårda arbetet åt dig, vilket ger dig ett försprång på 81 % från det ögonblick du loggar in. Allt du behöver göra är att fylla i tomrummen.
ISO 27701 klausul 6.6.4.1 – Borttagning eller justering av åtkomsträttigheter
Referenser ISO 27002 Kontroll 8.3
För att kontrollera PII och integritetsrelaterad information, och till stöd för åtkomstbegränsningsåtgärder, bör organisationer:
- Förhindra anonym åtkomst till PII, inklusive offentlig åtkomst.
- Underhåll integritetssystem och alla tillhörande affärsapplikationer eller processer.
- Administrera åtkomst till PII på en användare för användare.
- Hantera PII-åtkomsträttigheter på en detaljerad nivå (läs, skriv, radera och kör).
- Separera kritiska sekretessprocesser och applikationer med en kombination av fysiska och logiska åtkomstkontroller.
Dynamisk åtkomsthantering
ISO förespråkar en dynamisk tillvägagångssätt för informationsåtkomst, som sträcker sig till PII och integritetssystem.
Dynamisk åtkomsthantering tillåter organisationer att dela eller använda intern data med externa användare, för att påverka snabbare incidentlösningstider (ett nyckelkrav för PII-relaterade incidenter).
Organisationer bör överväga att implementera dynamisk åtkomsthantering när:
- Utöva granulär kontroll över vilken data mänskliga och icke-mänskliga användare har tillgång till.
- Dela information med leverantörer, brottsbekämpande organisationer eller tillsynsorgan.
- Anta en "realtids"-strategi för PII-hantering (övervaka och hantera PII-användning när den inträffar).
- Skydda PII mot obehöriga ändringar, delning eller utdata (utskrift etc).
- Övervakning/revision av åtkomst till och ändring av integritetsrelaterad information.
- Utveckla en process som styr drift och övervakning av data, inklusive en rapporteringsprocess.
Dynamisk åtkomsthantering bör skydda data genom att:
- Åtkomst uppnås genom en robust autentiseringsprocess.
- Aktiverar begränsad åtkomst.
- Kryptering.
- Säkra utskriftsbehörigheter.
- Loggar vem som kommer åt PII och hur PII-data används.
- Implementering av en varningsprocedur som flaggar för olämplig PII-användning.
ISO 27701 Klausul 6.6.4.2 – Säkra inloggningsprocedurer
Referenser ISO 27002 Kontroll 8.5
PII och integritetsrelaterade tillgångar måste lagras i ett nätverk som har en rad autentiseringskontroller, inklusive:
- Multi-factor authentication (MFA).
- Digitala certifikat.
- Smartkort/fobs.
- Biometrisk verifiering.
- Säkra tokens.
För att förhindra och minimera risken för obehörig åtkomst till PII bör organisationer:
- Förhindra visning av PII på en monitor eller slutpunktsenhet tills en användare har autentiserats.
- Ge blivande användare en tydlig varning – innan någon inloggningsförsök görs – som beskriver den känsliga karaktären hos den data de är på väg att komma åt.
- Var försiktig med att ge för mycket hjälp under hela autentiseringsprocessen (dvs. förklara vilken del av ett misslyckat inloggningsförsök som är ogiltigt).
- Implementera bästa praxis säkerhetsåtgärder, inklusive:
- CAPTCHA-teknik.
- Tvinga lösenordsåterställning och/eller tillfälligt förhindra inloggningar efter flera misslyckade försök.
- Logga misslyckade inloggningsförsök för vidare analys och/eller spridning till brottsbekämpande myndigheter.
- Initiera en säkerhetsincident närhelst en större inloggningsavvikelse upptäcks eller organisationen upptäcker en autentiseringsavvikelse som har potential att påverka PII.
- Relä autentiseringsloggar – som innehåller senaste inloggningsförsök och misslyckad inloggningsinformation – till en separat datakälla.
- Mata bara ut lösenordsdata som abstrakta symboler), såvida inte användaren har problem med tillgänglighet/syn.
- Förhindra delning av all autentiseringsdata.
- Döda vilande inloggningssessioner, särskilt där PII används i fjärrarbetsmiljöer eller på BYOD-tillgångar.
- Sätt en tidsgräns för autentiserade sessioner, särskilt de som aktivt använder PII.
Tillämpliga GDPR-artiklar
- Artikel 5 – (1)(f)
Befria dig från ett berg av kalkylblad
Bädda in, utöka och skala upp er efterlevnad utan krångel. IO ger er motståndskraften och självförtroendet att växa säkert.
ISO 27701 Klausul 6.6.4.3 – Lösenordshanteringssystem
Referenser ISO 27002 Kontroll 5.17
Autentiseringsinformation bör distribueras och hanteras så att:
- Automatiskt genererad autentiseringsinformation (lösenord etc.) hålls hemlig för alla som inte har behörighet att använda dem, är inte gissa och hanteras på ett sätt som tvingar en användare att ändra dem efter första inloggningen.
- Innan autentiseringsdetaljer utfärdas eller ersätts, införs procedurer för att verifiera identiteten på den person som behöver dem.
- De korrekta säkra kanalerna används för att överföra autentiseringsdetaljer (dvs inte via e-post).
- Efter att uppgifterna framgångsrikt har kommunicerats till den som behöver dem, bekräftar användaren/användarna mottagandet i tid.
- All autentiseringsinformation som tillhandahålls av leverantören (som standardanvändarnamn och lösenord för routrar och brandväggar) ändras vid mottagandet.
- Register förs över relevanta autentiseringshändelser – särskilt när det gäller den initiala tilldelningen och efterföljande administration av autentiseringsdetaljer.
All personal som använder organisationsautentiseringsinformation bör se till att:
- Alla autentiseringsuppgifter hålls strikt konfidentiella.
- Om autentiseringsdetaljer antingen äventyras, visas eller delas av någon annan än den ursprungliga ägaren, ändras sådana detaljer blir omedelbart.
- Eventuella lösenord skapas och/eller genereras i enlighet med organisationens lösenordspolicy, och lösenord är unika på olika plattformar (dvs. domänlösenord är inte detsamma som lösenord för molntjänster).
- Anställningsavtal innehåller ett uttryckligt krav att följa företagets lösenordspolicy (se ISO 27002 6.2).
Lösenordshanteringssystem
Organisationer bör implementera ett lösenordshanteringssystem som:
- Tillgodoser användare som behöver ändra något lösenord som de använder.
- Är programmerad att avvisa lösenord som faller utanför riktlinjerna för bästa praxis.
- Tvingar användare att ändra sitt systemgenererade lösenord efter att de använt det för första gången.
- Tillåter inte fortsatt användning av gamla lösenord eller liknande fraser och alfanumeriska kombinationer.
- Döljer lösenord medan de matas in.
- Lagrar och skickar lösenordsinformation på ett säkert sätt.
- Tillgodoser lösenordskryptering och liknande krypteringstekniker (se ISO 27002 8.24).
För att skydda PII och förbättra organisationens integritetsskydd bör lösenord följa fyra vägledande principer:
- Lösenord bör inte konstrueras kring gissbar eller biografisk information.
- Lösenord bör inte innehålla några igenkännbara ord, istället för slumpmässiga alfanumeriska tecken.
- Specialtecken bör användas för att öka lösenordets komplexitet.
- Alla lösenord bör ha en minsta längd (helst 12 tecken).
Organisationer bör också överväga användningen av autentiseringsprotokoll som Single Sign-On (SSO) för att förbättra lösenordssäkerheten, men sådana åtgärder bör endast övervägas tillsammans med organisationens unika tekniska och operativa krav.
Relevanta ISO 27002-kontroller
- ISO 27002 6.2
- ISO 27002 8.24
ISO 27701 Klausul 6.6.4.4 – Användning av Privileged Utility Programs
Referenser ISO 27002 Kontroll 8.18
För att skydda PII och integritetsrelaterade tillgångar – och samtidigt förbättra nätverkets integritet – bör organisationer:
- Begränsa användningen av verktygsprogram till underhållspersonal och/eller entreprenörer som har till uppgift att administrera organisationens nätverk.
- Se till att användningen av ett enskilt verktygsprogram är auktoriserat av ledningen, inklusive att upprätthålla en lista över personal som behöver använda verktygsprogram som en del av deras tilldelade ansvar.
- Förhindra användningen av verktygsprogram på områden i nätverket som har segregerade uppgifter.
- Se regelbundet över användningen av verktygsprogram, ta bort eller lägg till något som organisationen finner lämpligt.
- Partitionera verktygsprogram till skillnad från standardapplikationer.
- Logga användningen av verktygsprogram, inklusive lagrad information om tidsstämplar och auktoriserade användare.
Hantera all din efterlevnad, allt på ett ställe
ISMS.online stöder över 100 standarder och föreskrifter, vilket ger dig en enda plattform för alla dina efterlevnadsbehov.
ISO 27701 Klausul 6.6.4.5 – Åtkomstkontroll till programkällkod
Referenser ISO 27002 Kontroll 8.4
Tillgång till källkod och utvecklingsverktyg bör kontrolleras noggrant, så att integritetsrelaterade applikationer inte äventyras, och PII inte utsätts för allmänheten eller någon form av obehörig åtkomst.
Källkod och "associerade artiklar" inkluderar:
- Designs.
- Specifikationer.
- Verifieringsplaner.
- Valideringsplaner.
Utvecklingsverktyg inkluderar:
- Kompilatorer.
- Byggare.
- Integrationsverktyg.
- Testa plattformar.
- Miljöer.
ISO rekommenderar att organisationer lagrar och hanterar källkod via ett dedikerat "källkodshanteringssystem" som skyddar IP, kod och utvecklingsverktyg och hanterar åtkomst till begränsat material. Källkod bör hanteras med varierande grad av läs- och skrivåtkomst, baserat på en individs jobbroll.
För att förhindra korruption och skydda PIMS, PII och integritetsrelaterad information och tillgångar bör organisationer:
- Hantera noggrant åtkomst till källkod och eventuella tillhörande bibliotek.
- Begränsa tillhandahållandet av källkodsåtkomst på basis av "behöver veta" och "behöver använda".
- Observera organisationsomfattande ändringshanteringsprocedurer, när du uppdaterar/ändrar källkod eller gör några ändringar åtkomsträttigheter (se ISO 27002 8.32).
- Förbud mot direkt tillgång källkod av utvecklare, och istället tillhandahålla åtkomst genom specialiserade utvecklarverktyg.
- Lagra programlistor på ett säkert sätt, med relevanta nivåer av läs- och skrivåtkomst.
Relevanta ISO 27002-kontroller
- Se ISO 27002 8.32
Stödjande kontroller från ISO 27002 och GDPR
| ISO 27701 Klausulidentifierare | ISO 27701 Klausulnamn | ISO 27002-krav | Tillhörande GDPR-artiklar |
|---|---|---|---|
| 6.6.4.1 | 8.3 |
8.3 – Begränsning av informationsåtkomst för ISO 27002 |
Ingen |
| 6.6.4.2 | 8.5 |
8.5 – Säker autentisering för ISO 27002 |
Artikeln Lagring |
| 6.6.4.3 | 5.17 |
5.17 – Autentiseringsinformation för ISO 27002 |
Ingen |
| 6.6.4.4 | 8.18 |
8.18 – Användning av Privileged Utility Programs för ISO 27002 |
Ingen |
| 6.6.4.5 | 8.4 |
8.4 – Tillgång till källkod för ISO 27002 |
Ingen |
Hur ISMS.online hjälper
ISO 27701 visar hur du bygger ett integritetsinformationshanteringssystem som följer de flesta integritetsbestämmelser, inklusive EU:s GDPR, BS 10012 och Sydafrikas POPIA.
Vår förenklade, säkra och hållbara mjukvara hjälper dig att enkelt följa det tillvägagångssätt som beskrivs av den internationellt erkända standarden.
Vår allt-i-ett-plattform säkerställer att ditt integritetsarbete överensstämmer med och uppfyller behoven för varje del av ISO 27701-standarden. Och eftersom det är regleringsagnostisk kan du mappa det till vilken reglering du behöver.
Ta reda på mer av boka en praktisk demo.
