Identiteite word deur rekenaarnetwerke gebruik om 'n entiteit ('n gebruiker, groep gebruikers, toestel of IT-bate) se onderliggende vermoë om toegang tot 'n voorafbepaalde stel hardeware- en sagtewarehulpbronne te identifiseer.
Beheer 5.16 handel oor die goedkeuring, registrasie en administrasie – gedefinieer as die 'volle lewensiklus' – van menslike en nie-menslike identiteite op enige gegewe netwerk.
5.16 handel oor 'n organisasie se vermoë om te identifiseer wie (gebruikers, groepe gebruikers) of wat (toepassings, stelsels en toestelle) op enige gegewe tydstip toegang tot data of IT-bates verkry, en hoe aan daardie identiteite toegangsregte oor die netwerk toegestaan word.
5.16 is 'n voorkomende beheer wat risiko handhaaf deur op te tree as die hoofomtrek vir alle geassosieerdes inligtingsekuriteit en kuberveiligheid bedrywighede, sowel as die primêre modusbestuur wat 'n organisasie se Identiteit- en Toegangsbestuurraamwerk dikteer.
Beheer tipe | Inligting sekuriteit eienskappe | Kuberveiligheidskonsepte | Operasionele vermoëns | Sekuriteitsdomeine |
---|---|---|---|---|
#Voorkomende | #Vertroulikheid #Integriteit #Beskikbaarheid | #Beskerm | # Identiteit en toegangsbestuur | #Beskerming |
Aangesien 5.16 dien wat hoofsaaklik 'n instandhoudingsfunksie is, moet eienaarskap gerig word aan IT-personeel aan wie globale administrateurregte (of ekwivalent vir nie-Windows-gebaseerde infrastruktuur) toegeken is.
Alhoewel daar ander ingeboude rolle is wat gebruikers toelaat om identiteite te administreer (bv. Domeinadministrateur), behoort eienaarskap van 5.16 te berus by die individu wat uiteindelike verantwoordelikheid vir 'n organisasie se hele netwerk, insluitend alle subdomeine en Active Directory-huurders.
Voldoening aan beheer 5.16 word bereik deur 'n kombinasie van die versekering dat identiteitsgebaseerde prosedures duidelik in beleidsdokumente verwoord word, en die monitering van daaglikse nakoming onder personeel.
5.16 lys ses hoofprosedures wat 'n organisasie moet volg om aan die vereiste standaarde van infosec en kuberveiligheidsbestuur te voldoen:
Compliance – IT-beleide moet duidelik stipuleer dat gebruikers nie aanmeldinligting mag deel nie, of toelaat dat ander gebruikers deur die netwerk rondswerf deur enige ander identiteit as die een wat aan hulle toegewys is, te gebruik.
Compliance – Organisasies moet die registrasie van gedeelde identiteite as 'n aparte prosedure vir enkelgebruikersidentiteite hanteer, met 'n toegewyde goedkeuringswerkvloei.
Compliance – Soos met gedeelde identiteite, moet nie-menslike identiteite op hul beurt hul eie goedkeurings- en registrasieproses hê wat die onderliggende verskil erken tussen die toekenning van 'n identiteit aan 'n persoon, en die toestaan van een aan 'n bate, toepassing of toestel.
Compliance – IT-personeel moet gereelde oudits uit te voer wat identiteite in volgorde van gebruik lys, en identifiseer watter entiteite (menslik of nie-menslik) geskors of uitgevee kan word. MH-personeel moet identiteitsbestuur by hul uitstapprosedures insluit, en IT-personeel betyds inlig oor verlaaters.
Compliance – IT-personeel moet waaksaam bly wanneer hulle rolle oor 'n netwerk toeken, en verseker dat entiteite nie toegangsregte op grond van veelvuldige identiteite kry nie.
Compliance – Die term 'beduidende gebeurtenis' kan op verskeie maniere geïnterpreteer word, maar op 'n basiese vlak organisasies nodig het om te verseker dat hul bestuursprosedures identiteitsregistrasiedokumentasie, robuuste veranderingsversoekprotokolle met 'n toepaslike goedkeuringsprosedure insluit, en die vermoë om 'n omvattende lys van toegewysde identiteite op enige gegewe tydstip te produseer.
Ons sal jou 'n voorsprong van 81% gee
vanaf die oomblik dat jy inteken
Bespreek jou demo
Sowel as die ses hoof operasionele oorwegings, lys 5.16 ook vier stappe wat organisasies moet volg wanneer hulle 'n identiteit skep en dit toestaan toegang tot netwerkhulpbronne (wysiging of verwydering van toegangsregte word in beheer 5.18 hanteer):
Compliance – Dit is belangrik om te erken dat identiteitsbestuur eksponensieel moeiliker word met elke nuwe identiteit wat geskep word. Organisasies moet slegs nuwe identiteite skep wanneer daar 'n duidelike behoefte is om dit te doen.
Compliance – Sodra 'n besigheidsaak goedgekeur is, behoort Identiteits- en Toegangsbestuurprosedures stappe te bevat om te verseker dat die persoon of bate wat 'n nuwe identiteit ontvang die nodige magtiging het om dit te doen, voordat 'n identiteit geskep word.
Sodra die entiteit geverifieer is, moet IT-personeel 'n identiteit skep wat in lyn is met die besigheidsgevalvereistes, en beperk is tot wat in enige veranderingsversoekdokumentasie gestipuleer word.
27002:2022 / 5.16 vervang 27002:2013/9.2.1 (Gebruikersregistrasie en De-registrasie) – wat self deel gevorm het van 27002:2013 se Gebruikerstoegangsbestuur-beheerstel. Alhoewel daar 'n paar ooreenkomste tussen die twee kontroles is - meestal in instandhoudingsprotokolle, en deaktivering van oortollige ID's - bevat 5.16 'n veel meer omvattende stel riglyne wat poog om Identiteit- en Toegangsbestuur as 'n end-tot-end-konsep aan te spreek.
Die belangrikste verskil tussen die 2022-beheer en sy 2013-voorganger is die erkenning dat hoewel daar verskille in die registrasieproses is, menslike en nie-menslike identiteite nie meer vir algemene netwerkadministrasiedoeleindes as onderskeibaar van mekaar hanteer word nie.
Met die aanvang van moderne identiteits- en toegangsbestuur en Windows-gebaseerde RBAC-protokolle, praat IT-bestuur en beste praktykriglyne min of meer uitruilbaar van menslike en nie-menslike identiteite. 27002:2013/9.2.1 bevat geen riglyne oor hoe om nie-menslike identiteite te administreer nie, en bemoei hom uitsluitlik met die bestuur van waarna dit verwys as 'Gebruiker ID's' (dws aanmeldinligting wat gebruik word om toegang tot 'n netwerk te verkry, tesame met 'n wagwoord).
Soos ons gesien het, bevat 27002:2013/5.16 eksplisiete leiding oor nie net die algemene sekuriteitsimplikasies van identiteitsbestuur nie, maar ook hoe organisasies inligting moet opneem en verwerk voordat 'n identiteit toegeken word, en regdeur sy lewensiklus. Ter vergelyking noem 27002:2013/9.2.1 slegs kortliks die gepaardgaande rol wat IT-bestuur speel, en beperk hom tot die fisiese praktyk van identiteitsadministrasie, soos uitgevoer deur IT-personeel.
ISO/IEC 27002:2022 Beheeridentifiseerder | ISO/IEC 27002:2013 Beheeridentifiseerder | Beheer naam |
---|---|---|
5.7 | Nuut | Bedreigingsintelligensie |
5.23 | Nuut | Inligtingsekuriteit vir die gebruik van wolkdienste |
5.30 | Nuut | IKT-gereedheid vir besigheidskontinuïteit |
7.4 | Nuut | Fisiese sekuriteitsmonitering |
8.9 | Nuut | Konfigurasiebestuur |
8.10 | Nuut | Inligting verwydering |
8.11 | Nuut | Datamaskering |
8.12 | Nuut | Voorkoming van datalekkasies |
8.16 | Nuut | Moniteringsaktiwiteite |
8.23 | Nuut | Webfiltrering |
8.28 | Nuut | Veilige kodering |
ISO/IEC 27002:2022 Beheeridentifiseerder | ISO/IEC 27002:2013 Beheeridentifiseerder | Beheer naam |
---|---|---|
6.1 | 07.1.1 | Screening |
6.2 | 07.1.2 | Terme en diensvoorwaardes |
6.3 | 07.2.2 | Bewustheid, onderwys en opleiding van inligtingsekuriteit |
6.4 | 07.2.3 | Dissiplinêre proses |
6.5 | 07.3.1 | Verantwoordelikhede na beëindiging of verandering van diens |
6.6 | 13.2.4 | Vertroulikheids- of nie-openbaarmakingsooreenkomste |
6.7 | 06.2.2 | Afstand werk |
6.8 | 16.1.2, 16.1.3 | Rapportering van inligtingsekuriteitsgebeurtenisse |
ISO/IEC 27002:2022 Beheeridentifiseerder | ISO/IEC 27002:2013 Beheeridentifiseerder | Beheer naam |
---|---|---|
7.1 | 11.1.1 | Fisiese sekuriteit omtrek |
7.2 | 11.1.2, 11.1.6 | Fisiese toegang |
7.3 | 11.1.3 | Beveiliging van kantore, kamers en fasiliteite |
7.4 | Nuut | Fisiese sekuriteitsmonitering |
7.5 | 11.1.4 | Beskerming teen fisiese en omgewingsbedreigings |
7.6 | 11.1.5 | Werk in veilige areas |
7.7 | 11.2.9 | Duidelike lessenaar en duidelike skerm |
7.8 | 11.2.1 | Toerusting plaas en beskerming |
7.9 | 11.2.6 | Sekuriteit van bates buite die perseel |
7.10 | 08.3.1, 08.3.2, 08.3.3, 11.2.5 | Berging media |
7.11 | 11.2.2 | Ondersteunende nutsprogramme |
7.12 | 11.2.3 | Bekabeling sekuriteit |
7.13 | 11.2.4 | Onderhoud van toerusting |
7.14 | 11.2.7 | Veilige wegdoening of hergebruik van toerusting |
ISMS.online sal jou tyd en geld bespaar
Kry jou kwotasie