ISO 27002:2022, Beheer 5.18 – Toegangsregte

Eienaarskap van beheer 5.18

'n Inligtingsekuriteitsbeampte moet verantwoordelik wees om toepaslike reëls, prosesse en kontroles vir die voorsiening, wysiging en herroeping van toegangsregte tot inligtingstelsels daar te stel, te implementeer en te hersien.

Wanneer toegangsregte toegeken, gewysig en herroep word, moet die inligtingsekuriteitsbeampte besigheidsbehoeftes in ag neem en moet nou saamwerk met inligtingsbate-eienaars om te verseker dat reëls en prosesse nagekom word.

Riglyne oor die toekenning en herroeping van toegangsregte

Organisasies moet die volgende reëls en kontroles in die proses vir die toewysing en herroeping van toegangsregte aan 'n geverifieerde individu insluit:

• Inligtingsbate-eienaar moet sy magtiging verskaf vir toegang tot en gebruik van relevante inligtingsbates. Verder moet organisasies dit ook oorweeg om afsonderlike goedkeuring van die bestuur te soek vir die toekenning van toegangsregte.
• Besigheidsbehoeftes van die organisasie en sy beleid oor toegangsbeheer moet in ag geneem word.
• Organisasies moet dit oorweeg om pligte te skei. Die goedkeuringstaak en die implementering van toegangsregte kan byvoorbeeld deur afsonderlike individue uitgevoer word.
• Wanneer 'n individu nie meer toegang tot inligtingsbates benodig nie, veral wanneer hulle nie meer deel van die organisasie is nie, moet hul toegangsregte onmiddellik herroep word.
• Personeel of ander personeel wat tydelik vir die organisasie werk, kan van tydelike toegangsregte voorsien word. Hierdie regte moet herroep word wanneer hulle nie meer vir die organisasie werk nie.
• Vlak van toegang wat aan 'n individu verskaf word, moet in lyn wees met die organisasie se toegangsbeheerbeleid en moet gereeld hersien en geverifieer word. Verder moet dit ook in ooreenstemming wees met ander inligtingsekuriteitsvereistes soos skeiding van pligte soos uiteengesit in Beheer 5.3.
• Organisasies moet verseker dat toegangsregte nie geaktiveer word totdat die toepaslike magtigingsprosedure voltooi is nie.
• Toegangsregte wat aan elke individuele identifiseerder verskaf word, soos ID of fisies, moet op 'n sentrale toegangsbeheerbestuurstelsel aangemeld word en hierdie stelsel moet in stand gehou word.
• As 'n individu se rol of pligte verander, moet hul vlak van toegangsregte opgedateer word.
• Verwydering of wysiging van fisiese of logiese toegangsregte kan deur die volgende metodes uitgevoer word: Verwydering of vervanging van sleutels, ID-kaarte of stawinginligting.
• Veranderinge aan 'n gebruiker se fisiese en logiese toegangsregte moet op 'n stelsel aangemeld word en moet in stand gehou word.

Aanvullende leiding oor hersiening van toegangsregte

Fisiese en logiese toegangsregte moet periodieke hersiening deurgaan met inagneming van:

• Veranderinge in elke gebruiker se toegangsregte nadat hulle bevorder of gedegradeer is binne dieselfde organisasie, of nadat hul diens beëindig is.
• Magtigingsprosedure vir die toekenning van bevoorregte toegangsregte.

Riglyne oor verandering of beëindiging van diens

Voordat 'n werknemer bevorder of gedegradeer word binne dieselfde organisasie of wanneer sy/haar diens beëindig word, moet sy/haar toegangsregte tot inligtingverwerkingstelsels geëvalueer en gewysig word deur die volgende risikofaktore in ag te neem:

• Of die beëindigingsproses deur die werknemer of deur die organisasie geïnisieer word en die rede vir beëindiging.
• Huidige verantwoordelikhede van die werknemer binne die organisasie.
• Kritiek en waarde van inligtingsbates wat vir die werknemer toeganklik is.

Aanvullende leiding

Organisasies moet dit oorweeg om gebruikerstoegangsrolle te vestig op grond van hul besigheidsvereistes. Hierdie rolle moet die tipes en aantal toegangsregte insluit wat aan elke gebruikergroep toegeken moet word.

Die skep van sulke rolle sal dit makliker maak om toegangsversoeke en regte te bestuur en te hersien.

Organisasies moet kontraktuele bepalings vir ongemagtigde toegang en sanksies vir sodanige toegang in hul diens-/dienskontrakte met hul personeel insluit. Dit moet in ooreenstemming met die kontroles 5.20, 6.2, 6.4 en 6.6 wees.

Organisasies moet versigtig wees teen ontevrede werknemers wat deur die bestuur afgelê word omdat hulle inligtingstelsels doelbewus kan beskadig.

Indien organisasies besluit om die kloningstegnieke te gebruik om toegangsregte toe te ken, moet hulle dit uitvoer op grond van afsonderlike rolle wat deur die organisasie vasgestel is.

Daar moet kennis geneem word dat kloning die inherente risiko inhou om buitensporige toegangsregte toe te staan.

Veranderinge en verskille vanaf ISO 27002:2013

27002:2022/5.18 vervang 27002:2013/(9.2.2, 9.2.5, 9.2.6).

2022-weergawe bevat meer omvattende vereistes vir die toekenning en herroeping van toegangsregte

Alhoewel Beheer 9.2.2 in die 2013-weergawe ses vereistes gelys het vir die toekenning en herroeping van toegangsregte, stel Beheer 5.18 in 2022-weergawe drie nuwe vereistes in bykomend tot hierdie ses vereistes:

• Personeel of ander personeel wat tydelik vir die organisasie werk, kan van tydelike toegangsregte voorsien word. Hierdie regte moet herroep word wanneer hulle nie meer werk vir die organisasie verrig nie.
• Verwydering of wysiging van fisiese of logiese toegangsregte kan deur die volgende metodes uitgevoer word: Verwydering of vervanging van sleutels, ID-kaarte of stawinginligting.
• Veranderinge aan 'n gebruiker se fisiese en logiese toegangsregte moet aangeteken en in stand gehou word.

2013-weergawe bevat meer gedetailleerde vereistes vir bevoorregte toegangsregte

Beheer 9.5 in weergawe 2013 het uitdruklik gestel dat organisasies die magtiging vir bevoorregte toegangsregte met meer gereelde tussenposes as ander toegangsregte moet hersien. Beheer 5.18 in Weergawe 2022 het inteendeel nie hierdie vereiste bevat nie.

Hoe ISMS.online help

ISMS.online is 'n wolk-gebaseerde platform wat hulp bied om die ISO 2702-standaard doeltreffend en koste-effektief te implementeer.

Dit bied organisasies te alle tye maklike toegang tot bygewerkte inligting oor hul voldoeningstatus deur middel van sy gebruikersvriendelike dashboard-koppelvlak wat bestuurders in staat stel om hul vordering met die bereiking van voldoening vinnig en maklik te monitor.

Kontak vandag nog om bespreek 'n demo.