ISO 27002:2022, Beheer 8.2 – Bevoorregte toegangsregte

Algemene riglyne oor beheer 8.2

Beheer 8.2 skets 12 hoofriglyne wat organisasies nodig het te volg, in ooreenstemming met 'n "onderwerpspesifieke" beleid oor toegangsbeheer (sien Beheer 5.15) wat individuele besigheidsfunksies teiken.

Organisasies moet:

1. Identifiseer 'n lys gebruikers wat enige mate van bevoorregte toegang benodig - hetsy vir 'n individuele stelsel - soos 'n databasis - toepassing, of onderliggende bedryfstelsel.
2. Handhaaf 'n beleid wat bevoorregte toegangsregte aan gebruikers toeken op wat bekend staan ​​as 'n "gebeurtenis-vir-gebeurtenis-basis" - gebruikers moet toegangsvlakke kry gebaseer op die minimum wat nodig is vir hulle om hul rol uit te voer.
3. Om 'n duidelike magtigingsproses uiteen te sit wat handel oor alle versoeke vir bevoorregte toegang, insluitend die hou van rekord van alle toegangsregte wat geïmplementeer is.
4. Maak seker dat toegangsregte onderhewig is aan relevante vervaldatums.
5. Neem stappe om te verseker dat gebruikers is uitdruklik bewus van enige tydperk waar hulle met bevoorregte toegang tot 'n stelsel werk.
6. Waar relevant, word gebruikers gevra om weer te verifieer voordat hulle bevoorregte toegangsregte gebruik, om groter inligting/datasekuriteit te beïnvloed.
7. Voer periodieke oudits van bevoorregte toegangsregte uit, veral na 'n tydperk van organisatoriese verandering. Gebruikers se toegangsregte moet hersien word op grond van hul “pligte, rolle, verantwoordelikhede en bevoegdheid” (sien Beheer 5.18).
8. Oorweeg om te werk met wat bekend staan ​​as 'n “breekglas”-prosedure – maw om te verseker dat bevoorregte toegangsregte toegestaan ​​word binne streng beheerde tydvensters wat voldoen aan die minimum vereistes vir 'n operasie om uitgevoer te word (kritieke veranderinge, stelseladministrasie, ens.).
9. Maak seker dat alle bevoorregte toegang aktiwiteite dienooreenkomstig aangeteken word.
10. Voorkom die gebruik van generiese stelselaanmeldinligting (veral gestandaardiseerde gebruikersname en wagwoorde) (sien Beheer 5.17).
11. Hou by 'n beleid om gebruikers met 'n aparte identiteit toe te ken, wat voorsiening maak vir strenger beheer van bevoorregte toegangsregte. Sulke identiteite kan dan saam gegroepeer word, met verskillende vlakke van toegangsregte aan die geassosieerde groep.
12. Verseker dat bevoorregte toegangsregte slegs vir kritieke take gereserveer word, wat verband hou met die voortgesette bedryf van 'n funksionerende IKT-netwerk – soos stelseladministrasie en netwerkinstandhouding.

Ondersteunende kontroles

• 5.15

Veranderinge en verskille vanaf ISO 27002:2013

Beheer 27002:2022-8.2 vervang 27002:2013-9.2.3 (Bestuur van bevoorregte toegangsregte).

27002:2022-8.2 bevat 5 belangrike riglyne wat nie eksplisiet in sy 2013-eweknie is nie:

1. 27002:2022-8.2 vereis nie uitdruklik 'n ander gebruiker-ID vir bevoorregte toegangsregte nie.
2. 27002:2022-8.2 beklemtoon die behoefte om weer te verifieer voordat bevoorregte toegangsregte ontvang word.
3. 27002:2022-8.2 bepleit 'n breekglasbenadering wanneer kritieke instandhoudingspligte uitgevoer word, gebaseer op streng beheerde tydvensters.
4. 27002:2022-8.2 vra organisasies om deeglike bevoorregte toegang logs te hou, vir ouditdoeleindes.
5. 27002:2022-8.2 vra organisasies om die gebruik van bevoorregte toegangsregte tot administratiewe take te beperk.

Hoe ISMS.online help

ISO 27002, Beheer 6.6, dek die behoefte vir organisasies om die lekkasie van vertroulike inligting te voorkom deur vas te stel vertroulikheidsooreenkomste met belanghebbende partye en personeel.

Ons wolk-gebaseerde platform bied 'n volledige stel gereedskap om organisasies te help met die opstel van 'n inligtingsekuriteitbestuurstelsel (ISMS) volgens ISO 27002.

Hierdie instrumente sluit in:

• 'n Biblioteek van sjablone vir algemene korporatiewe dokumente.
• 'n Stel voorafbepaalde beleide en prosedures.
• 'n Ouditinstrument om interne oudits te ondersteun.
• 'n Konfigurasie-koppelvlak om aan te pas ISMS-beleide en prosedures.
• 'n Goedkeuringswerkvloei vir alle veranderinge aan beleide en prosedures.
• 'n Kontrolelys om seker te maak dat jou beleide en inligtingsekuriteitsprosesse die goedgekeurde internasionale standaarde volg.

ISMS.Online laat gebruikers ook toe om:

• Bestuur alle aspekte van die ISMS lewensiklus met gemak.
• Kry intydse insigte in hul sekuriteitsposisie en voldoeningsgapings.
• Integreer met ander stelsels soos HR, finansies en projekbestuur.
• Demonstreer nakoming van hul ISMS met ISO 27001 standaarde.

Die ISMS.Online-nutsding verskaf ook leiding oor hoe om jou ISMS die beste te implementeer deur wenke te verskaf oor hoe om beleide en prosedures te skep wat verband hou met aspekte soos risikobestuur, opleiding vir personeelsekuriteitsbewustheid en insidentreaksiebeplanning.