ISO 27002:2022- Beheer 5.16 – Identiteitsbestuur

Wat is die doel van beheer 5.16?

5.16 handel oor 'n organisasie se vermoë om te identifiseer wie (gebruikers, groepe gebruikers) of wat (toepassings, stelsels en toestelle) op enige gegewe tydstip toegang tot data of IT-bates verkry, en hoe aan daardie identiteite toegangsregte oor die netwerk toegestaan ​​word.

5.16 is 'n voorkomende beheer wat risiko handhaaf deur op te tree as die hoofomtrek vir alle geassosieerdes inligtingsekuriteit en kuberveiligheid bedrywighede, sowel as die primêre modusbestuur wat 'n organisasie se Identiteit- en Toegangsbestuurraamwerk dikteer.

Eienskappe van beheer 5.16

Eienaarskap

Aangesien 5.16 dien wat hoofsaaklik 'n instandhoudingsfunksie is, moet eienaarskap gerig word aan IT-personeel aan wie globale administrateurregte (of ekwivalent vir nie-Windows-gebaseerde infrastruktuur) toegeken is.

Alhoewel daar ander ingeboude rolle is wat gebruikers toelaat om identiteite te administreer (bv. Domeinadministrateur), behoort eienaarskap van 5.16 te berus by die individu wat uiteindelike verantwoordelikheid vir 'n organisasie se hele netwerk, insluitend alle subdomeine en Active Directory-huurders.

Algemene leiding

Voldoening aan beheer 5.16 word bereik deur 'n kombinasie van die versekering dat identiteitsgebaseerde prosedures duidelik in beleidsdokumente verwoord word, en die monitering van daaglikse nakoming onder personeel.

5.16 lys ses hoofprosedures wat 'n organisasie moet volg om aan die vereiste standaarde van infosec en kuberveiligheidsbestuur te voldoen:

• Waar identiteite aan 'n persoon toegeken word, word slegs daardie spesifieke persoon toegelaat om te verifieer met en/of daardie identiteit te gebruik wanneer toegang tot netwerkhulpbronne verkry word.

Compliance – IT-beleide moet duidelik stipuleer dat gebruikers nie aanmeldinligting mag deel nie, of toelaat dat ander gebruikers deur die netwerk rondswerf deur enige ander identiteit as die een wat aan hulle toegewys is, te gebruik.

• Soms mag dit nodig wees om 'n identiteit aan veelvuldige mense toe te ken – ook bekend as 'n 'gedeelde identiteit'. Hierdie benadering moet spaarsamig gebruik word, en slegs om aan 'n eksplisiete stel operasionele vereistes te voldoen.

Compliance – Organisasies moet die registrasie van gedeelde identiteite as 'n aparte prosedure vir enkelgebruikersidentiteite hanteer, met 'n toegewyde goedkeuringswerkvloei.

• Sogenaamde 'nie-menslike' entiteite (soos die naam aandui, enige identiteit wat nie aan 'n werklike gebruiker gekoppel is nie) moet anders as gebruikergebaseerde identiteite oorweeg word by die punt van registrasie.

Compliance – Soos met gedeelde identiteite, moet nie-menslike identiteite op hul beurt hul eie goedkeurings- en registrasieproses hê wat die onderliggende verskil erken tussen die toekenning van 'n identiteit aan 'n persoon, en die toestaan ​​van een aan 'n bate, toepassing of toestel.

• Identiteite wat nie meer benodig word nie (verlaters, oortollige bates ens.) moet deur 'n netwerkadministrateur gedeaktiveer word, of heeltemal verwyder word, soos vereis word.

Compliance – IT-personeel moet gereelde oudits uit te voer wat identiteite in volgorde van gebruik lys, en identifiseer watter entiteite (menslik of nie-menslik) geskors of uitgevee kan word. MH-personeel moet identiteitsbestuur by hul uitstapprosedures insluit, en IT-personeel betyds inlig oor verlaaters.

• Duplikaat identiteite moet ten alle koste vermy word. Maatskappye moet oor die algemeen by 'n 'een entiteit, een identiteit'-reël hou.

Compliance – IT-personeel moet waaksaam bly wanneer hulle rolle oor 'n netwerk toeken, en verseker dat entiteite nie toegangsregte op grond van veelvuldige identiteite kry nie.

• Voldoende rekords moet gehou word van alle 'beduidende gebeurtenisse' rakende identiteitsbestuur en stawinginligting.

Compliance – Die term 'beduidende gebeurtenis' kan op verskeie maniere geïnterpreteer word, maar op 'n basiese vlak organisasies nodig het om te verseker dat hul bestuursprosedures identiteitsregistrasiedokumentasie, robuuste veranderingsversoekprotokolle met 'n toepaslike goedkeuringsprosedure insluit, en die vermoë om 'n omvattende lys van toegewysde identiteite op enige gegewe tydstip te produseer.

Aanvullende leiding

Sowel as die ses hoof operasionele oorwegings, lys 5.16 ook vier stappe wat organisasies moet volg wanneer hulle 'n identiteit skep en dit toestaan toegang tot netwerkhulpbronne (wysiging of verwydering van toegangsregte word in beheer 5.18 hanteer):

• Stel 'n besigheidsaak op voordat 'n identiteit geskep word

Compliance – Dit is belangrik om te erken dat identiteitsbestuur eksponensieel moeiliker word met elke nuwe identiteit wat geskep word. Organisasies moet slegs nuwe identiteite skep wanneer daar 'n duidelike behoefte is om dit te doen.

• Maak seker dat die entiteit aan wie die identiteit toegeken word (menslik of nie-menslik) onafhanklik geverifieer is.

Compliance – Sodra 'n besigheidsaak goedgekeur is, behoort Identiteits- en Toegangsbestuurprosedures stappe te bevat om te verseker dat die persoon of bate wat 'n nuwe identiteit ontvang die nodige magtiging het om dit te doen, voordat 'n identiteit geskep word.

• Die vestiging van 'n identiteit

Sodra die entiteit geverifieer is, moet IT-personeel 'n identiteit skep wat in lyn is met die besigheidsgevalvereistes, en beperk is tot wat in enige veranderingsversoekdokumentasie gestipuleer word.

• Finale konfigurasie en aktivering

Die finale stap in die proses behels die toekenning van 'n identiteit aan sy verskillende toegangsgebaseerde toestemmings en rolle (RBAC), en enige gepaardgaande verifikasiedienste wat vereis word.

Veranderinge vanaf ISO 27002:2013

algemene

27002:2022 / 5.16 vervang 27002:2013/9.2.1 (Gebruikersregistrasie en De-registrasie) – wat self deel gevorm het van 27002:2013 se Gebruikerstoegangsbestuur-beheerstel. Alhoewel daar 'n paar ooreenkomste tussen die twee kontroles is - meestal in instandhoudingsprotokolle, en deaktivering van oortollige ID's - bevat 5.16 'n veel meer omvattende stel riglyne wat poog om Identiteit- en Toegangsbestuur as 'n end-tot-end-konsep aan te spreek.

Menslike vs. Nie-menslike identiteite

Die belangrikste verskil tussen die 2022-beheer en sy 2013-voorganger is die erkenning dat hoewel daar verskille in die registrasieproses is, menslike en nie-menslike identiteite nie meer vir algemene netwerkadministrasiedoeleindes as onderskeibaar van mekaar hanteer word nie.

Met die aanvang van moderne identiteits- en toegangsbestuur en Windows-gebaseerde RBAC-protokolle, praat IT-bestuur en beste praktykriglyne min of meer uitruilbaar van menslike en nie-menslike identiteite. 27002:2013/9.2.1 bevat geen riglyne oor hoe om nie-menslike identiteite te administreer nie, en bemoei hom uitsluitlik met die bestuur van waarna dit verwys as 'Gebruiker ID's' (dws aanmeldinligting wat gebruik word om toegang tot 'n netwerk te verkry, tesame met 'n wagwoord).

dokumentasie

Soos ons gesien het, bevat 27002:2013/5.16 eksplisiete leiding oor nie net die algemene sekuriteitsimplikasies van identiteitsbestuur nie, maar ook hoe organisasies inligting moet opneem en verwerk voordat 'n identiteit toegeken word, en regdeur sy lewensiklus. Ter vergelyking noem 27002:2013/9.2.1 slegs kortliks die gepaardgaande rol wat IT-bestuur speel, en beperk hom tot die fisiese praktyk van identiteitsadministrasie, soos uitgevoer deur IT-personeel.

Nuwe ISO 27002-kontroles