Slaan oor na inhoud

ISO 27001:2022 Beheer 5.17 Verduidelik: Beskerming van stawingdata

ISO 27001:2022 Bylae A Beheer 5.17 bepaal dat verifikasie-inligting veilig gehou moet word.

Dit beteken dat organisasies gepaste stappe moet neem om beskerm gebruiker geloofsbriewe, soos wagwoorde en sekuriteitsvrae, van ongemagtigde toegang. Hulle moet ook verseker dat gebruikers op 'n veilige manier toegang tot die stelsel kan kry met hul geloofsbriewe. Verder moet organisasies ook seker maak dat gebruikers hul geloofsbriewe kan terugstel wanneer nodig.

Stawingbesonderhede (wagwoorde, enkripsiesleutels en kaartskyfies) verskaf toegang tot inligtingstelsels wat sensitiewe data bevat.

Swak hantering van stawinginligting kan lei tot ongemagtigde toegang tot datastelsels en die verlies van vertroulikheid, beskikbaarheid en integriteit van sensitiewe data.

Wat is die doel van ISO 27001:2022 Bylae A Beheer 5.17?

Bylae A Beheer 5.17 stel organisasies in staat om verifikasie-inligting effektief toe te ken en te bestuur, om onderbrekings in die stawingsproses te vermy en te waak teen sekuriteitsbedreigings wat kan voortspruit uit die manipulasie van verifikasie-inligting.




ISMS.online gee jou 'n 81% voorsprong vanaf die oomblik dat jy aanmeld

ISO 27001 maklik gemaak

Ons het die harde werk vir jou gedoen, wat jou 'n voorsprong van 81% gee vanaf die oomblik dat jy aanmeld. Al wat jy hoef te doen is om die spasies in te vul.




Eienaarskap van Bylae A 5.17

ISO 27001:2022 Bylae A Beheer 5.17 vereis die daarstelling en implementering van organisasiewye reëls, prosedures en maatreëls vir die toekenning en bestuur van stawinginligting. Inligtingsveiligheidsbeamptes moet die nakoming van hierdie beheer verseker.

Bylae A 5.17 Riglyne oor die toekenning van stawinginligting

Organisasies moet aan hierdie ses vereistes voldoen vir die toekenning en administrasie van stawinginligting:

  • By die inskrywing van nuwe gebruikers, moet outomaties gegenereerde persoonlike wagwoorde en persoonlike identifikasienommers nie-raaibaar wees nie. Daarbenewens moet elke gebruiker 'n unieke wagwoord hê en dit is verpligtend om wagwoorde te verander na aanvanklike gebruik.
  • Organisasies moet soliede prosesse hê om 'n gebruiker se identiteit na te gaan voordat hulle nuwe of vervangende stawinginligting gegee word, of van tydelike inligting voorsien word.
  • Organisasies moet die veilige oordrag van verifikasiebesonderhede aan individue via veilige paaie waarborg, en moet nie sulke inligting oor onveilige elektroniese boodskappe (bv. gewone teks) stuur nie.
  • Gebruikers moet seker maak dat hulle die stawingbesonderhede ontvang het.
  • Organisasies moet vinnig optree nadat hulle nuwe IT-stelsels en sagteware geïnstalleer het, en die verstekstawingbesonderhede dadelik verander.
  • Organisasies behoort alle belangrike gebeurtenisse met betrekking tot die bestuur en toewysing van stawinginligting op te stel en aanhoudend rekords te hou. Hierdie rekords moet privaat gehou word en metodes van rekordhouding moet gemagtig word, bv met die gebruik van 'n gemagtigde wagwoordhulpmiddel.



klim

Integreer, brei uit en skaal jou nakoming, sonder die gemors. IO gee jou die veerkragtigheid en vertroue om veilig te groei.




Bylae A 5.17 Riglyne oor Gebruikersverantwoordelikhede

Gebruikers met toegang tot stawinginligting moet opdrag gegee word om by die volgende te hou:

  • Gebruikers moet geheime stawinginligting soos wagwoorde vertroulik hou en moet dit nie met enigiemand anders deel nie. Wanneer veelvuldige gebruikers betrokke is by die gebruik van stawinginligting of die inligting aan nie-persoonlike entiteite gekoppel is, moet hulle dit nie aan ongemagtigde individue bekend maak nie.
  • Gebruikers moet hul wagwoorde dadelik verander as die geheimhouding van hul wagwoorde oortree is.
  • Gebruikers moet moeilik raaibare, sterk wagwoorde kies in ooreenstemming met industriestandaarde. Byvoorbeeld:
    • Wagwoorde moet nie gebaseer wees op persoonlike inligting wat maklik verkry kan word nie, soos name of geboortedatums.
    • Wagwoorde moet nie gegrond wees op inligting wat maklik geraai kan word nie.
    • Wagwoorde moet nie bestaan ​​uit woorde of rye van woorde wat algemeen is nie.
    • Gebruik alfanumerieke en spesiale karakters in jou wagwoord.
    • Wagwoorde moet 'n minimum lengtevereiste hê.
  • Gebruikers moet nie dieselfde wagwoord vir verskeie dienste gebruik nie.
  • Organisasies moet hul werknemers die verantwoordelikheid vir die skep en gebruik van wagwoorde in hul dienskontrakte laat aanvaar.

Bylae A 5.17 Riglyne oor wagwoordbestuurstelsels

Organisasies moet die volgende in ag neem wanneer hulle 'n wagwoordbestuurstelsel opstel:

  • Gebruikers moet die vermoë hê om hul wagwoorde te skep en te verander, met 'n verifikasieprosedure in plek om enige foute op te spoor en reg te stel wanneer data ingevoer word.
  • Organisasies moet by industrie se beste praktyke hou wanneer hulle 'n robuuste wagwoordkeuseproses ontwikkel.
  • Gebruikers moet hul verstekwagwoorde verander wanneer hulle eers toegang tot 'n stelsel verkry.
  • Dit is noodsaaklik om wagwoorde te verander wanneer toepaslik. Byvoorbeeld, na a veiligheidsvoorval of wanneer 'n werknemer hul werk verlaat en toegang tot wagwoorde gehad het, is 'n wagwoordverandering nodig.
  • Vorige wagwoorde moet nie herwin word nie.
  • Die gebruik van wagwoorde wat wyd bekend is, of waartoe toegang verkry is in 'n skending van sekuriteit, moet nie toegelaat word vir toegang tot enige gekapte stelsels nie.
  • Wanneer wagwoorde ingevoer word, moet dit in duidelike teks op die skerm vertoon word.
  • Wagwoorde moet deur veilige kanale in 'n veilige formaat versend en gestoor word.

Organisasies moet ook hashing- en enkripsieprosedures implementeer in ooreenstemming met die goedgekeurde kriptografiese metodes vir wagwoorde soos uiteengesit in Bylae A Beheer 8.24 van ISO 27001:2022.

Aanvullende leiding oor Bylae A Beheer 5.17

Benewens wagwoorde, ander vorme van verifikasie, soos kriptografiese sleutels, slimkaarte en biometriese data soos vingerafdrukke.

Organisasies moet na die ISO/IEC 24760-reeks kyk vir verdere advies oor verifikasiedata.

Met inagneming van die rompslomp en irritasie om wagwoorde gereeld te verander, kan organisasies alternatiewe soos enkelaanmelding of wagwoordkluise oorweeg. Daar moet egter op gelet word dat hierdie opsies die risiko verhoog dat vertroulike verifikasie-inligting aan ongemagtigde partye blootgestel word.




ISMS.online ondersteun meer as 100 standaarde en regulasies, wat jou 'n enkele platform bied vir al jou voldoeningsbehoeftes.

ISMS.online ondersteun meer as 100 standaarde en regulasies, wat jou 'n enkele platform bied vir al jou voldoeningsbehoeftes.




Veranderinge en verskille vanaf ISO 27001:2013

Die ISO 27001: 2022 Bylae A 5.17 is die vervanging vir ISO 27001:2013 Bylae A 9.2.4, 9.3.1 en 9.4.3.

ISO 27001:2022 bevat 'n nuwe vereiste vir die toekenning en bestuur van verifikasie-inligting

In 2013 was die vereistes vir die toekenning en bestuur van stawinginligting baie soortgelyk. ISO 27001:2022 Bylae A Beheer 5.17 'n vereiste ingestel wat nie in 2013 teenwoordig was nie.

Organisasies moet rekords skep en in stand hou vir alle belangrike gebeurtenisse wat verband hou met die bestuur en verspreiding van stawinginligting. Hierdie rekords moet vertroulik gehou word, met gemagtigde rekordhoudingstegnieke, byvoorbeeld die gebruik van 'n aanvaarde wagwoordhulpmiddel.

Die 2022-weergawe bevat 'n bykomende vereiste vir die gebruik van stawinginligting

ISO 27001:2022 Bylae A Beheer 5.17 stel 'n vereiste vir gebruikersverantwoordelikhede in wat nie in Beheer 9.3.1 van die 2013-weergawe gespesifiseer is nie.

Organisasies moet wagwoordvereistes in hul kontrakte met werknemers en personeel insluit. Sulke vereistes moet die skepping en gebruik van wagwoorde dek.

ISO 27001:2013 bevat 'n bykomende vereistes vir gebruikersverantwoordelikhede wat nie in die 2022-weergawe ingesluit is nie

In vergelyking met die 2022-weergawe, bevat Beheer 9.3.1 die volgende mandaat vir die gebruik van stawingsdata:

Gebruikers behoort nie dieselfde verifikasiebesonderhede, byvoorbeeld 'n wagwoord, vir beide werk- en nie-werkdoeleindes te gebruik nie.

ISO 27001:2013 bevat 'n bykomende vereiste vir wagwoordbestuurstelsels wat nie in die 2022-weergawe ingesluit is nie

Beheer 9.4.3 van die 2013-weergawe vereis dat wagwoordbestuurstelsels:

Maak seker dat lêers met wagwoorde op 'n ander stelsel gehou moet word as die een wat toepassingdata aanbied.

ISO 27001:2022 Bylae A Beheer 5.17 vereis dit nie.

Tabel van alle ISO 27001:2022 Bylae A-kontroles

In die tabel hieronder sal jy meer inligting oor elke individuele ISO 27001:2022 Bylae A Beheer vind.

ISO 27001:2022 Organisatoriese beheermaatreëls
Bylae A Beheertipe ISO/IEC 27001:2022 Bylae A Identifiseerder ISO/IEC 27001:2013 Bylae A Identifiseerder Bylae A Naam
Organisatoriese kontroles Bylae A 5.1 Bylae A 5.1.1
Bylae A 5.1.2
Beleide vir inligtingsekuriteit
Organisatoriese kontroles Bylae A 5.2 Bylae A 6.1.1 Rolle en verantwoordelikhede vir inligtingsekuriteit
Organisatoriese kontroles Bylae A 5.3 Bylae A 6.1.2 Skeiding van pligte
Organisatoriese kontroles Bylae A 5.4 Bylae A 7.2.1 Bestuursverantwoordelikhede
Organisatoriese kontroles Bylae A 5.5 Bylae A 6.1.3 Kontak met owerhede
Organisatoriese kontroles Bylae A 5.6 Bylae A 6.1.4 Kontak met spesiale belangegroepe
Organisatoriese kontroles Bylae A 5.7 NUWE Bedreiging Intelligensie
Organisatoriese kontroles Bylae A 5.8 Bylae A 6.1.5
Bylae A 14.1.1
Inligtingsekuriteit in projekbestuur
Organisatoriese kontroles Bylae A 5.9 Bylae A 8.1.1
Bylae A 8.1.2
Inventaris van inligting en ander geassosieerde bates
Organisatoriese kontroles Bylae A 5.10 Bylae A 8.1.3
Bylae A 8.2.3
Aanvaarbare gebruik van inligting en ander geassosieerde bates
Organisatoriese kontroles Bylae A 5.11 Bylae A 8.1.4 Teruggawe van bates
Organisatoriese kontroles Bylae A 5.12 Bylae A 8.2.1 Klassifikasie van inligting
Organisatoriese kontroles Bylae A 5.13 Bylae A 8.2.2 Etikettering van inligting
Organisatoriese kontroles Bylae A 5.14 Bylae A 13.2.1
Bylae A 13.2.2
Bylae A 13.2.3
Inligtingsoordrag
Organisatoriese kontroles Bylae A 5.15 Bylae A 9.1.1
Bylae A 9.1.2
Toegangsbeheer
Organisatoriese kontroles Bylae A 5.16 Bylae A 9.2.1 Identiteitsbestuur
Organisatoriese kontroles Bylae A 5.17 Bylae A 9.2.4
Bylae A 9.3.1
Bylae A 9.4.3
Verifikasie inligting
Organisatoriese kontroles Bylae A 5.18 Bylae A 9.2.2
Bylae A 9.2.5
Bylae A 9.2.6
Toegangsregte
Organisatoriese kontroles Bylae A 5.19 Bylae A 15.1.1 Inligtingsekuriteit in Verskaffersverhoudings
Organisatoriese kontroles Bylae A 5.20 Bylae A 15.1.2 Aanspreek van inligtingsekuriteit binne verskaffersooreenkomste
Organisatoriese kontroles Bylae A 5.21 Bylae A 15.1.3 Bestuur van inligtingsekuriteit in die IKT-voorsieningsketting
Organisatoriese kontroles Bylae A 5.22 Bylae A 15.2.1
Bylae A 15.2.2
Monitering, hersiening en veranderingsbestuur van verskafferdienste
Organisatoriese kontroles Bylae A 5.23 NUWE Inligtingsekuriteit vir gebruik van wolkdienste
Organisatoriese kontroles Bylae A 5.24 Bylae A 16.1.1 Beplanning en voorbereiding van inligtingsekuriteitsinsidentbestuur
Organisatoriese kontroles Bylae A 5.25 Bylae A 16.1.4 Assessering en besluit oor inligtingsekuriteitsgebeurtenisse
Organisatoriese kontroles Bylae A 5.26 Bylae A 16.1.5 Reaksie op inligtingsekuriteitsinsidente
Organisatoriese kontroles Bylae A 5.27 Bylae A 16.1.6 Leer uit inligtingsekuriteitsinsidente
Organisatoriese kontroles Bylae A 5.28 Bylae A 16.1.7 Versameling van bewyse
Organisatoriese kontroles Bylae A 5.29 Bylae A 17.1.1
Bylae A 17.1.2
Bylae A 17.1.3
Inligtingsekuriteit tydens ontwrigting
Organisatoriese kontroles Bylae A 5.30 NUWE IKT-gereedheid vir besigheidskontinuïteit
Organisatoriese kontroles Bylae A 5.31 Bylae A 18.1.1
Bylae A 18.1.5
Wetlike, statutêre, regulatoriese en kontraktuele vereistes
Organisatoriese kontroles Bylae A 5.32 Bylae A 18.1.2 Intellektuele eiendomsregte
Organisatoriese kontroles Bylae A 5.33 Bylae A 18.1.3 Beskerming van rekords
Organisatoriese kontroles Bylae A 5.34 Bylae A 18.1.4 Privaatheid en beskerming van PII
Organisatoriese kontroles Bylae A 5.35 Bylae A 18.2.1 Onafhanklike oorsig van inligtingsekuriteit
Organisatoriese kontroles Bylae A 5.36 Bylae A 18.2.2
Bylae A 18.2.3
Voldoening aan beleide, reëls en standaarde vir inligtingsekuriteit
Organisatoriese kontroles Bylae A 5.37 Bylae A 12.1.1 Gedokumenteerde bedryfsprosedures
ISO 27001:2022 Mensekontroles
Bylae A Beheertipe ISO/IEC 27001:2022 Bylae A Identifiseerder ISO/IEC 27001:2013 Bylae A Identifiseerder Bylae A Naam
Mense beheer Bylae A 6.1 Bylae A 7.1.1 Screening
Mense beheer Bylae A 6.2 Bylae A 7.1.2 Terme en diensvoorwaardes
Mense beheer Bylae A 6.3 Bylae A 7.2.2 Bewusmaking, onderwys en opleiding van inligtingsekuriteit
Mense beheer Bylae A 6.4 Bylae A 7.2.3 Dissiplinêre Proses
Mense beheer Bylae A 6.5 Bylae A 7.3.1 Verantwoordelikhede na beëindiging of verandering van diens
Mense beheer Bylae A 6.6 Bylae A 13.2.4 Vertroulikheid of nie-openbaarmakingsooreenkomste
Mense beheer Bylae A 6.7 Bylae A 6.2.2 Afstand werk
Mense beheer Bylae A 6.8 Bylae A 16.1.2
Bylae A 16.1.3
Rapportering van inligtingsekuriteitsgebeurtenisse
ISO 27001:2022 Fisiese kontroles
Bylae A Beheertipe ISO/IEC 27001:2022 Bylae A Identifiseerder ISO/IEC 27001:2013 Bylae A Identifiseerder Bylae A Naam
Fisiese beheer Bylae A 7.1 Bylae A 11.1.1 Fisiese sekuriteitsgrense
Fisiese beheer Bylae A 7.2 Bylae A 11.1.2
Bylae A 11.1.6
Fisiese toegang
Fisiese beheer Bylae A 7.3 Bylae A 11.1.3 Beveiliging van kantore, kamers en fasiliteite
Fisiese beheer Bylae A 7.4 NUWE Fisiese sekuriteitsmonitering
Fisiese beheer Bylae A 7.5 Bylae A 11.1.4 Beskerming teen fisiese en omgewingsbedreigings
Fisiese beheer Bylae A 7.6 Bylae A 11.1.5 Werk in veilige gebiede
Fisiese beheer Bylae A 7.7 Bylae A 11.2.9 Duidelike lessenaar en duidelike skerm
Fisiese beheer Bylae A 7.8 Bylae A 11.2.1 Toerustingopstelling en beskerming
Fisiese beheer Bylae A 7.9 Bylae A 11.2.6 Sekuriteit van bates buite die perseel
Fisiese beheer Bylae A 7.10 Bylae A 8.3.1
Bylae A 8.3.2
Bylae A 8.3.3
Bylae A 11.2.5
Berging media
Fisiese beheer Bylae A 7.11 Bylae A 11.2.2 Ondersteunende nutsprogramme
Fisiese beheer Bylae A 7.12 Bylae A 11.2.3 Bekabeling sekuriteit
Fisiese beheer Bylae A 7.13 Bylae A 11.2.4 Onderhoud van toerusting
Fisiese beheer Bylae A 7.14 Bylae A 11.2.7 Veilige wegdoening of hergebruik van toerusting
ISO 27001:2022 Tegnologiese beheermaatreëls
Bylae A Beheertipe ISO/IEC 27001:2022 Bylae A Identifiseerder ISO/IEC 27001:2013 Bylae A Identifiseerder Bylae A Naam
Tegnologiese kontroles Bylae A 8.1 Bylae A 6.2.1
Bylae A 11.2.8
Gebruikerseindpunttoestelle
Tegnologiese kontroles Bylae A 8.2 Bylae A 9.2.3 Bevoorregte toegangsregte
Tegnologiese kontroles Bylae A 8.3 Bylae A 9.4.1 Inligtingtoegangbeperking
Tegnologiese kontroles Bylae A 8.4 Bylae A 9.4.5 Toegang tot bronkode
Tegnologiese kontroles Bylae A 8.5 Bylae A 9.4.2 Veilige verifikasie
Tegnologiese kontroles Bylae A 8.6 Bylae A 12.1.3 Kapasiteitsbestuur
Tegnologiese kontroles Bylae A 8.7 Bylae A 12.2.1 Beskerming teen wanware
Tegnologiese kontroles Bylae A 8.8 Bylae A 12.6.1
Bylae A 18.2.3
Bestuur van Tegniese Kwesbaarhede
Tegnologiese kontroles Bylae A 8.9 NUWE Konfigurasiebestuur
Tegnologiese kontroles Bylae A 8.10 NUWE Inligting skrap
Tegnologiese kontroles Bylae A 8.11 NUWE Datamaskering
Tegnologiese kontroles Bylae A 8.12 NUWE Voorkoming van datalekkasies
Tegnologiese kontroles Bylae A 8.13 Bylae A 12.3.1 Inligting rugsteun
Tegnologiese kontroles Bylae A 8.14 Bylae A 17.2.1 Oortolligheid van inligtingsverwerkingsfasiliteite
Tegnologiese kontroles Bylae A 8.15 Bylae A 12.4.1
Bylae A 12.4.2
Bylae A 12.4.3
Logging
Tegnologiese kontroles Bylae A 8.16 NUWE Moniteringsaktiwiteite
Tegnologiese kontroles Bylae A 8.17 Bylae A 12.4.4 Kloksynchronisasie
Tegnologiese kontroles Bylae A 8.18 Bylae A 9.4.4 Gebruik van Bevoorregte Nutsdiensteprogramme Toegangsregte
Tegnologiese kontroles Bylae A 8.19 Bylae A 12.5.1
Bylae A 12.6.2
Installering van sagteware op bedryfstelsels
Tegnologiese kontroles Bylae A 8.20 Bylae A 13.1.1 Netwerksekuriteit
Tegnologiese kontroles Bylae A 8.21 Bylae A 13.1.2 Sekuriteit van netwerkdienste
Tegnologiese kontroles Bylae A 8.22 Bylae A 13.1.3 Skeiding van netwerke
Tegnologiese kontroles Bylae A 8.23 NUWE Webfiltrering
Tegnologiese kontroles Bylae A 8.24 Bylae A 10.1.1
Bylae A 10.1.2
Gebruik van kriptografie
Tegnologiese kontroles Bylae A 8.25 Bylae A 14.2.1 Veilige ontwikkelingslewensiklus
Tegnologiese kontroles Bylae A 8.26 Bylae A 14.1.2
Bylae A 14.1.3
Toepassingsekuriteitsvereistes
Tegnologiese kontroles Bylae A 8.27 Bylae A 14.2.5 Veilige Stelselargitektuur en IngenieursbeginselsLeer uit Inligtingsekuriteitsvoorvalle
Tegnologiese kontroles Bylae A 8.28 NUWE Veilige kodering
Tegnologiese kontroles Bylae A 8.29 Bylae A 14.2.8
Bylae A 14.2.9
Sekuriteitstoetsing in ontwikkeling en aanvaarding
Tegnologiese kontroles Bylae A 8.30 Bylae A 14.2.7 Uitgekontrakteerde Ontwikkeling
Tegnologiese kontroles Bylae A 8.31 Bylae A 12.1.4
Bylae A 14.2.6
Skeiding van ontwikkeling-, toets- en produksie-omgewings
Tegnologiese kontroles Bylae A 8.32 Bylae A 12.1.2
Bylae A 14.2.2
Bylae A 14.2.3
Bylae A 14.2.4
Veranderings bestuur
Tegnologiese kontroles Bylae A 8.33 Bylae A 14.3.1 Toets inligting
Tegnologiese kontroles Bylae A 8.34 Bylae A 12.7.1 Beskerming van inligtingstelsels tydens oudittoetsing




[case_study_slider ids=”88859,101932,92016″ outospeel=”waar” outospeelspoed=”5000″]


Hoe ISMS.online Help

ISMS.Online stel organisasies en besighede in staat om aan ISO 27001:2022-behoeftes te voldoen deur aan hulle 'n platform te voorsien wat die bestuur, opdatering, toetsing en monitering van die doeltreffendheid van hul vertroulikheids- of nie-openbaarmakingsbeleide en -prosedures vergemaklik.

Ons bied 'n wolk-gebaseerde platform vir die administrasie van vertroulikheid en Bestuurstelsels vir inligtingsekuriteit, met nie-openbaarmakingsklousules, risikobestuur, beleide, planne en prosedures, alles op een gerieflike plek. Dit is eenvoudig om te gebruik, met 'n intuïtiewe koppelvlak wat dit maklik maak om te leer.

Kontak ons ​​vandag nog om reël 'n demonstrasie.


David Holloway

Hoofbemarkingsbeampte

David Holloway is die Hoofbemarkingsbeampte by ISMS.online, met meer as vier jaar ondervinding in voldoening en inligtingsekuriteit. As deel van die leierskapspan fokus David daarop om organisasies te bemagtig om komplekse regulatoriese landskappe met selfvertroue te navigeer, en strategieë te dryf wat besigheidsdoelwitte met impakvolle oplossings in lyn bring. Hy is ook die mede-aanbieder van die Phishing For Trouble-podsending, waar hy delf in hoëprofiel-kuberveiligheidsvoorvalle en waardevolle lesse deel om besighede te help om hul sekuriteits- en voldoeningspraktyke te versterk.

ISO 27001:2022 Bylae A Kontroles

Organisatoriese kontroles