ISO 27001:2022 Bylae A Beheer 5.18

Toegangsregte – Riglyne oor Toekenning en Herroeping

Om toegangsregte vir alle tipe gebruikers aan alle stelsels en dienste toe te ken of te herroep, moet 'n proses geïmplementeer word (hoe eenvoudig en gedokumenteer dit ook al mag wees). Ideaal gesproke sou dit aansluit by die punte hierbo en die breër HR Security-inisiatief.

’n Inligtingstelsel of -diens moet voorsien of herroep word op grond van die volgende kriteria: Magtiging van die eienaar van die inligtingstelsel of diens, verifikasie dat toegang gepas is vir die rol wat verrig word, en beskerming teen voorsiening wat plaasvind voordat magtiging verkry is.

Gebruikers moet altyd toegang kry volgens besigheidsvereistes as deel van 'n besigheidsgeleide benadering. Alhoewel dit dalk burokraties klink, hoef dit nie te wees nie. Deur effektiewe prosedures met rolgebaseerde toegang tot stelsels en dienste te implementeer, kan hierdie probleem doeltreffend aangespreek word.

Hersiening van Gebruikerstoegangsregte

Bate-eienaars moet gebruikers se toegangsregte gereeld hersien tydens individuele veranderinge (by instap, rolveranderinge en uitgange) en tydens breër oudits van stelseltoegang.

Magtigings moet meer gereeld hersien word in die lig van die hoër risiko verbonde aan bevoorregte toegangsregte. Soos met 9.2, moet dit ten minste jaarliks ​​gedoen word of wanneer ook al beduidende veranderinge aangebring is.

Verwyder of pas toegangsregte aan

Dit is nodig om die toegangsregte van alle werknemers en eksterne partygebruikers tot inligting- en inligtingverwerkingsfasiliteite te verwyder by die beëindiging van hul diens, kontrak of ooreenkoms (of om hul toegangsregte aan te pas by verandering van rol indien nodig).

As uittreebeleide en -prosedures goed ontwerp en belyn is met A.7, sal dit ook bereik word en gedemonstreer vir ouditdoeleindes wanneer werknemers vertrek.

Vir die toewysing en herroeping van toegangsregte aan gewaarmerkte individue, moet organisasies die volgende reëls en kontroles inkorporeer:

• Om toegang tot relevante inligtingsbates te verkry en te gebruik, moet die eienaar van die inligtingsbate toegang en gebruik magtig. Boonop moet organisasies dit oorweeg om afsonderlike goedkeuring van bestuur te versoek voordat toegangsregte verleen word.
• Oorweging moet gegee word aan die besigheidsbehoeftes van die organisasie en sy beleid oor toegangsbeheer.
• Organisasies moet die skeiding van pligte oorweeg. As 'n voorbeeld kan goedkeuring en implementering van toegangsregte deur afsonderlike individue hanteer word.
• 'n Persoon se toegangsregte moet onmiddellik herroep word wanneer hulle nie meer toegang tot inligtingsbates benodig nie, veral as hulle die organisasie verlaat het.
• 'n Tydelike toegangsreg kan verleen word aan werknemers of ander personeel wat tydelik vir die organisasie werk. Wanneer hulle ophou om in diens van die organisasie te wees, moet hul regte herroep word.
• Die organisasie se toegangsbeheerbeleid moet 'n individu se toegangsvlak bepaal en gereeld hersien en geverifieer word. Verder moet dit voldoen aan ander inligtingsekuriteitsvereistes, soos ISO 27001:2022 Beheer 5.3, wat die skeiding van pligte spesifiseer.
• Die organisasie moet verseker dat toegangsregte geaktiveer word sodra die toepaslike magtigingsproses voltooi is.
• Die toegangsregte wat met elke identifikasie geassosieer word, soos 'n ID of fisiese, moet in 'n sentrale toegangsbeheerbestuurstelsel behou word.
• Dit is noodsaaklik om 'n individu se vlak van toegangsregte by te werk indien hul rol of pligte verander.
• Die volgende metodes kan gebruik word om fisiese of logiese toegangsregte te verwyder of te wysig: Verwydering of vervanging van sleutels, ID-kaarte of stawinginligting.
• Teken en onderhou veranderinge aan 'n gebruiker se fisiese en logiese toegangsregte is verpligtend.

Aanvullende riglyne vir die hersiening van toegangsregte

Periodieke hersiening van fisiese en logiese toegangsregte moet die volgende in ag neem:

• Wanneer 'n gebruiker bevorder of gedegradeer word binne dieselfde organisasie of wanneer hul diens eindig, kan hul toegangsregte verander.
• Prosedure vir magtiging vir voorregtetoegang.

Riglyne oor veranderinge in diens of diensbeëindiging

Risikofaktore moet in ag geneem word wanneer 'n werknemer se toegangsregte tot inligtingverwerkingstelsels evalueer en gewysig word. Dit is voordat hulle bevorder of gedegradeer word binne dieselfde organisasie:

• Dit sluit in om te bepaal of die werknemer die beëindigingsproses geïnisieer het of die organisasie dit geïnisieer het en die rede vir beëindiging.
• 'n Beskrywing van die werknemer se huidige verantwoordelikhede binne die organisasie.
• Werknemers se toegang tot inligtingsbates en hul belangrikheid en waarde.

Verdere Aanvulling Leiding

Dit word aanbeveel dat organisasies gebruikerstoegangsrolle in ooreenstemming met hul besigheidsvereistes vestig. Benewens die tipes en nommers toegangsregte wat aan elke gebruikergroep toegeken moet word, moet hierdie rolle die tipe toegangsregte spesifiseer.

Die skep van sulke rolle sal maak toegangsversoeke en regte om makliker bestuur en hersien te word.

Dit word aanbeveel dat organisasies bepalings in hul diens-/dienskontrakte met hul personeel insluit wat ongemagtigde toegang tot hul stelsels en sanksies vir sodanige toegang aanspreek. Bylae A kontroles 5.20, 6.2, 6.4 en 6.6 moet gevolg word.

Organisasies moet versigtig wees wanneer hulle te doen het met ontevrede werknemers wat deur bestuur afgedank is, aangesien hulle inligtingstelsels doelbewus kan beskadig.

Organisasies wat besluit om kloningtegnieke te gebruik om toegangsregte te verleen, moet dit doen op grond van die rolle wat die organisasie gedefinieer het.

Daar is 'n risiko verbonde aan kloning deurdat buitensporige toegangsregte toegestaan ​​kan word.

Wat is die veranderinge en verskille vanaf ISO 27001:2013?

ISO 27001:2022 Bylae A 5.18 vervang ISO 27001:2013 Bylae A Kontroles 9.2.2, 9.2.5 en 9.2.6.

Die 2022-weergawe bevat meer omvattende vereistes vir die toekenning en herroeping van toegangsregte

Die 2013-weergawe van Bylae A Beheer 9.2.2 het ses vereistes uiteengesit vir die toekenning en herroeping van toegangsregte; Bylae A Beheer 5.18 stel egter drie bykomende vereistes bykomend tot hierdie ses in:

1. Tydelike toegangsregte kan tydelik verleen word aan werknemers of ander personeel wat vir die organisasie werk. Sodra hulle ophou om vir die organisasie te werk, moet hierdie regte herroep word.
2. Die verwydering of wysiging van fisiese of logiese toegangsregte kan op die volgende maniere bewerkstellig word: Verwydering of vervanging van sleutels, identifikasiekaarte of stawinginligting.
3. Die verandering van 'n gebruiker se fisiese of logiese toegangsregte moet aangeteken en gedokumenteer word.

Bevoorregte toegangsregte-vereistes is meer gedetailleerd in die 2013-weergawe

Volgens ISO 27001:2013 stel Bylae A Beheer 9.5 uitdruklik dat organisasies die magtiging vir bevoorregte toegangsregte meer gereeld as ander toegangsregte moet hersien. Hierdie vereiste is nie in Bylae A Beheer 5.18 in Weergawe 2022 ingesluit nie.

Tabel van alle ISO 27001:2022 Bylae A-kontroles

In die tabel hieronder sal jy meer inligting oor elke individu vind ISO 27001:2022 Bylae A Beheer.

Hoe ISMS.online Help

ISO 27001:2022, Bylae A 5.18, is een van die klousules wat die meeste bespreek word. Baie redeneer dat dit die belangrikste klousule in die hele dokument is.

Dit is omdat die hele Inligtingsekuriteitbestuurstelsel (ISMS) is gebaseer op die versekering van die toepaslike mense het toegang tot die korrekte inligting op die regte tyd. Om sukses te behaal, vereis om dit reg te kry, maar dit kan jou besigheid ernstig beïnvloed.

Stel jou byvoorbeeld voor as jy per ongeluk vertroulike werknemerinligting aan die verkeerde persoon bekend gemaak het, soos elke werknemer se salaris.

'n Fout hier kan aansienlike gevolge hê, so dit is die moeite werd om die tyd te neem om dit deeglik deur te dink.

ons platform kan uiters nuttig wees in hierdie verband. As gevolg hiervan, dit voldoen aan die hele struktuur van ISO 27001 en laat jou toe om die inhoud wat ons verskaf aan te neem, aan te pas en by te voeg. Dit gee jou 'n aansienlike voordeel. Hoekom nie skeduleer 'n demo om meer te wete te kom?