ISO 27002:2022, Beheer 8.5 – Veilige verifikasie

Eienaarskap van beheer 8.5

Beheer 8.5 handel oor 'n organisasie se vermoë om toegang tot sy netwerk (en die inligting en data daarin vervat) te beheer by kritieke aansluitings, soos 'n aanmeldpoort.

Terwyl die beheer oor inligting- en datasekuriteit as 'n breër konsep handel, is die operasionele leiding hoofsaaklik van 'n tegniese aard.

As sodanig moet eienaarskap berus by die IT-hoof (of organisatoriese ekwivalent), wat besit verantwoordelikheid vir die organisasie se daaglikse IT-administrasiefunksies.

Algemene riglyne oor beheer 8.5

Beheer 8.5 vra organisasies om verifikasiekontroles te oorweeg wat relevant is vir die tipe en sensitiwiteit van die data en netwerk waartoe toegang verkry word, insluitend:

• Multi-faktor verifikasie (MFA)
• Digitale sertifikate
• Slim toegangskontroles (slimkaarte)
• Biometriese aanmeldings
• Veilige tekens

Die oorheersende doelwit van 'n organisasie se veilige verifikasiekontroles moet wees om voorkom en/of verminder die risiko van ongemagtigde toegang aan sy beskermde stelsels.

Om dit te bereik, skets Beheer 8.5 12 hoofriglyne. Organisasies moet:

1. Beperk die vertoon van inligting tot na 'n suksesvolle stawingpoging.
2. Vertoon 'n waarskuwing vooraf-aanmelding wat duidelik aandui dat inligting slegs deur gemagtigde gebruikers verkry moet word.
3. Minimaliseer die bystand wat dit bied aan ongeverifieerde gebruikers wat probeer om toegang tot die stelsel te kry, bv. organisasies moet nie verklap watter spesifieke deel van 'n aanmeldpoging verkeerd is nie, soos 'n biometriese aspek van 'n MFA-aanmelding, en eerder bloot meld dat die aanmeldpoging misluk het .
4. Valideer die aanmeldpoging slegs wanneer alle vereiste inligting aan die aanmelddiens verskaf is, om sekuriteit te handhaaf.
5. Implementeer industriestandaard sekuriteitsmaatreëls wat beskerm teen komberse toegang en/of brute force-aanvalle op aanmeldportale. Hierdie maatreëls kan insluit:
• CAPTCHA kontroles
• Dwing 'n wagwoordterugstelling af na 'n vasgestelde aantal mislukte aanmeldpogings
• Voorkoming van verdere aanmeldpogings na 'n voorafbepaalde aantal mislukte pogings
6. Teken alle mislukte aanmeldpogings op vir ouditerings- en sekuriteitsdoeleindes, insluitend die gebruik daarvan in kriminele en/of regulatoriese verrigtinge.
7. Inisieer a veiligheidsvoorval wanneer 'n groot aanmelding-teenstrydigheid bespeur word, soos 'n waargenome inbraak. In hierdie gevalle moet alle relevante interne personeel in kennis gestel word, veral diegene met toegang tot stelseladministrateur of enige vermoë om kwaadwillige aanmeldpogings te bekamp.
8. By die validering van 'n aanmelding, stuur sekere stukke inligting oor na 'n aparte databron wat lys:
• Die datum en tyd van die vorige suksesvolle aanmelding
• 'n Lys van alle aanmeldpogings sedert die laaste bekragtigde aanmelding
9. Vertoon wagwoorde as sterretjies (of soortgelyke abstrakte simbole), waar dit nie nodig is om dit nie te doen nie (bv. gebruikerstoeganklikheid).
10. Verbied die deel van of vertoon van wagwoorde as duidelike, leesbare teks streng.
11. Handhaaf 'n beleid om dormante aanmeldsessies na 'n spesifieke tydperk te beëindig. Dit is veral relevant vir sessies wat aktief is in hoërisiko-liggings (afgeleë werksomgewings) of op bates wat deur die gebruiker verskaf word, soos persoonlike skootrekenaars of selfone.
12. Beperk die hoeveelheid tyd wat 'n geverifieerde sessie oop kan bly – selfs wanneer dit aktief is – relatief tot die inligting waartoe toegang verkry word (dws besigheidskritiese inligting of finansieel sensitiewe toepassings).

Leiding – Biometriese aanmeldings

ISO beveel aan dat as gevolg van 'n aantal faktore wat verband hou met die doeltreffendheid en integriteit van biometriese aanmeldprosesse oor tradisionele maatreëls (wagwoorde, MFA, tekens, ens.), biometriese verifikasiemetodes moet nie in isolasie gebruik word nie, en vergesel van ten minste een ander aanmeldtegniek.

Veranderinge en verskille vanaf ISO 27002:2013

27002:2022-8.5 vervang 27002:2014-9.4.2 (Veilige aanmeldprosedures).

27002:2022-8.5 bevat die dieselfde 12 riglyne as sy 2013 eweknie, met geringe aanpassings aan die bewoording, en volg dieselfde stel onderliggende sekuriteitsbeginsels.

In lyn met die opkoms van MFA en biometriese aanmeldtegnologieë oor die afgelope dekade, bevat 27002:2022-8.5 eksplisiete leiding oor die gebruik van beide tegnieke wat organisasies moet oorweeg wanneer hulle hul eie stel aanmeldkontroles formuleer.

Hoe ISMS.online help

Ons wolkgebaseerde platform bied jou 'n robuuste raamwerk van inligtingsekuriteitkontroles sodat jy kan kontrolelys jou ISMS-proses soos jy gaan om te verseker dat dit aan die vereistes vir ISO 27000k voldoen. Reg gebruik, ISMS. aanlyn kan jou help om sertifisering te behaal met die minimum tyd en hulpbronne.

Kontak vandag nog om bespreek 'n demo.