Doel van beheer 8.5
Veilige stawing is die primêre metode waarmee menslike en nie-menslike gebruikers betrokke raak wanneer hulle probeer om 'n organisasie se IKT-bates te benut.
Oor die afgelope dekade het verifikasietegnologie 'n fundamentele verskuiwing ondergaan van tradisionele gebruikersnaam/wagwoord-gebaseerde validasies na 'n verskeidenheid komplementerende tegnieke wat biometriese inligting, logiese en fisiese toegangskontroles, eksterne toestelverifikasies, SMS-kodes en eenmalige wagwoorde (OTP) behels.
27002:2022-8.5 plaas dit alles in konteks en adviseer organisasies oor presies hoe hulle moet wees toegang tot hul IKT-stelsels en bates te beheer via 'n veilige aanmeldpoort.
Beheer 8.5 is a voorkomende beheer Wat risiko handhaaf deur tegnologie te implementeer en onderwerpspesifieke veilige verifikasieprosedures daar te stel wat verseker dat menslike en nie-menslike gebruikers en identiteite 'n robuuste en veilige verifikasieprosedure ondergaan wanneer hulle probeer om toegang tot IKT-hulpbronne te verkry.
Eienskappe Tabel van beheer 8.5
| beheer Tipe | Eienskappe vir inligtingsekuriteit | Kuberveiligheidskonsepte | Operasionele vermoëns | Sekuriteitsdomeine |
|---|---|---|---|---|
| #Voorkomende | #Vertroulikheid | #Beskerm | # Identiteit en toegangsbestuur | #Beskerming |
| #Integriteit | ||||
| #Beskikbaarheid |
Eienaarskap van beheer 8.5
Beheer 8.5 handel oor 'n organisasie se vermoë om toegang tot sy netwerk (en die inligting en data daarin vervat) te beheer by kritieke aansluitings, soos 'n aanmeldpoort.
Terwyl die beheer oor inligting- en datasekuriteit as 'n breër konsep handel, is die operasionele leiding hoofsaaklik van 'n tegniese aard.
As sodanig moet eienaarskap berus by die IT-hoof (of organisatoriese ekwivalent), wat besit verantwoordelikheid vir die organisasie se daaglikse IT-administrasiefunksies.
Kry 'n voorsprong van 81%.
Ons het die harde werk vir jou gedoen, wat jou 'n voorsprong van 81% gee vanaf die oomblik dat jy aanmeld.
Al wat jy hoef te doen is om die spasies in te vul.
Algemene riglyne oor beheer 8.5
Beheer 8.5 vra organisasies om verifikasiekontroles te oorweeg wat relevant is vir die tipe en sensitiwiteit van die data en netwerk waartoe toegang verkry word, insluitend:
- Multi-faktor verifikasie (MFA)
- Digitale sertifikate
- Slim toegangskontroles (slimkaarte)
- Biometriese aanmeldings
- Veilige tekens
Die oorheersende doelwit van 'n organisasie se veilige verifikasiekontroles moet wees om voorkom en/of verminder die risiko van ongemagtigde toegang aan sy beskermde stelsels.
Om dit te bereik, skets Beheer 8.5 12 hoofriglyne. Organisasies moet:
- Beperk die vertoon van inligting tot na 'n suksesvolle stawingpoging.
- Vertoon 'n waarskuwing vooraf-aanmelding wat duidelik aandui dat inligting slegs deur gemagtigde gebruikers verkry moet word.
- Minimaliseer die bystand wat dit bied aan ongeverifieerde gebruikers wat probeer om toegang tot die stelsel te kry, bv. organisasies moet nie verklap watter spesifieke deel van 'n aanmeldpoging verkeerd is nie, soos 'n biometriese aspek van 'n MFA-aanmelding, en eerder bloot meld dat die aanmeldpoging misluk het .
- Valideer die aanmeldpoging slegs wanneer alle vereiste inligting aan die aanmelddiens verskaf is, om sekuriteit te handhaaf.
- Implementeer industriestandaard sekuriteitsmaatreëls wat beskerm teen komberse toegang en/of brute force-aanvalle op aanmeldportale. Hierdie maatreëls kan insluit:
- CAPTCHA kontroles
- Dwing 'n wagwoordterugstelling af na 'n vasgestelde aantal mislukte aanmeldpogings
- Voorkoming van verdere aanmeldpogings na 'n voorafbepaalde aantal mislukte pogings
- Teken alle mislukte aanmeldpogings op vir ouditerings- en sekuriteitsdoeleindes, insluitend die gebruik daarvan in kriminele en/of regulatoriese verrigtinge.
- Inisieer a veiligheidsvoorval wanneer 'n groot aanmelding-teenstrydigheid bespeur word, soos 'n waargenome inbraak. In hierdie gevalle moet alle relevante interne personeel in kennis gestel word, veral diegene met toegang tot stelseladministrateur of enige vermoë om kwaadwillige aanmeldpogings te bekamp.
- By die validering van 'n aanmelding, stuur sekere stukke inligting oor na 'n aparte databron wat lys:
- Die datum en tyd van die vorige suksesvolle aanmelding
- 'n Lys van alle aanmeldpogings sedert die laaste bekragtigde aanmelding
- Vertoon wagwoorde as sterretjies (of soortgelyke abstrakte simbole), waar dit nie nodig is om dit nie te doen nie (bv. gebruikerstoeganklikheid).
- Verbied die deel van of vertoon van wagwoorde as duidelike, leesbare teks streng.
- Handhaaf 'n beleid om dormante aanmeldsessies na 'n spesifieke tydperk te beëindig. Dit is veral relevant vir sessies wat aktief is in hoërisiko-liggings (afgeleë werksomgewings) of op bates wat deur die gebruiker verskaf word, soos persoonlike skootrekenaars of selfone.
- Beperk die hoeveelheid tyd wat 'n geverifieerde sessie oop kan bly – selfs wanneer dit aktief is – relatief tot die inligting waartoe toegang verkry word (dws besigheidskritiese inligting of finansieel sensitiewe toepassings).
Leiding – Biometriese aanmeldings
ISO beveel aan dat as gevolg van 'n aantal faktore wat verband hou met die doeltreffendheid en integriteit van biometriese aanmeldprosesse oor tradisionele maatreëls (wagwoorde, MFA, tekens, ens.), biometriese verifikasiemetodes moet nie in isolasie gebruik word nie, en vergesel van ten minste een ander aanmeldtegniek.
Bestuur al jou nakoming op een plek
ISMS.online ondersteun meer as 100 standaarde
en regulasies, gee jou 'n enkele
platform vir al jou voldoeningsbehoeftes.
Veranderinge en verskille vanaf ISO 27002:2013
27002:2022-8.5 vervang 27002:2014-9.4.2 (Veilige aanmeldprosedures).
27002:2022-8.5 bevat die dieselfde 12 riglyne as sy 2013 eweknie, met geringe aanpassings aan die bewoording, en volg dieselfde stel onderliggende sekuriteitsbeginsels.
In lyn met die opkoms van MFA en biometriese aanmeldtegnologieë oor die afgelope dekade, bevat 27002:2022-8.5 eksplisiete leiding oor die gebruik van beide tegnieke wat organisasies moet oorweeg wanneer hulle hul eie stel aanmeldkontroles formuleer.
Nuwe ISO 27002-kontroles
Nuwe kontroles
| ISO/IEC 27002:2022 Beheeridentifiseerder | ISO/IEC 27002:2013 Beheeridentifiseerder | Beheer naam |
|---|---|---|
| 5.7 | Nuut | Bedreigingsintelligensie |
| 5.23 | Nuut | Inligtingsekuriteit vir die gebruik van wolkdienste |
| 5.30 | Nuut | IKT-gereedheid vir besigheidskontinuïteit |
| 7.4 | Nuut | Fisiese sekuriteitsmonitering |
| 8.9 | Nuut | Konfigurasiebestuur |
| 8.10 | Nuut | Inligting verwydering |
| 8.11 | Nuut | Datamaskering |
| 8.12 | Nuut | Voorkoming van datalekkasies |
| 8.16 | Nuut | Moniteringsaktiwiteite |
| 8.23 | Nuut | Webfiltrering |
| 8.28 | Nuut | Veilige kodering |
Organisatoriese kontroles
Mense beheer
| ISO/IEC 27002:2022 Beheeridentifiseerder | ISO/IEC 27002:2013 Beheeridentifiseerder | Beheer naam |
|---|---|---|
| 6.1 | 07.1.1 | Screening |
| 6.2 | 07.1.2 | Terme en diensvoorwaardes |
| 6.3 | 07.2.2 | Bewustheid, onderwys en opleiding van inligtingsekuriteit |
| 6.4 | 07.2.3 | Dissiplinêre proses |
| 6.5 | 07.3.1 | Verantwoordelikhede na beëindiging of verandering van diens |
| 6.6 | 13.2.4 | Vertroulikheids- of nie-openbaarmakingsooreenkomste |
| 6.7 | 06.2.2 | Afstand werk |
| 6.8 | 16.1.2, 16.1.3 | Rapportering van inligtingsekuriteitsgebeurtenisse |
Fisiese beheer
| ISO/IEC 27002:2022 Beheeridentifiseerder | ISO/IEC 27002:2013 Beheeridentifiseerder | Beheer naam |
|---|---|---|
| 7.1 | 11.1.1 | Fisiese sekuriteit omtrek |
| 7.2 | 11.1.2, 11.1.6 | Fisiese toegang |
| 7.3 | 11.1.3 | Beveiliging van kantore, kamers en fasiliteite |
| 7.4 | Nuut | Fisiese sekuriteitsmonitering |
| 7.5 | 11.1.4 | Beskerming teen fisiese en omgewingsbedreigings |
| 7.6 | 11.1.5 | Werk in veilige areas |
| 7.7 | 11.2.9 | Duidelike lessenaar en duidelike skerm |
| 7.8 | 11.2.1 | Toerusting plaas en beskerming |
| 7.9 | 11.2.6 | Sekuriteit van bates buite die perseel |
| 7.10 | 08.3.1, 08.3.2, 08.3.3, 11.2.5 | Berging media |
| 7.11 | 11.2.2 | Ondersteunende nutsprogramme |
| 7.12 | 11.2.3 | Bekabeling sekuriteit |
| 7.13 | 11.2.4 | Onderhoud van toerusting |
| 7.14 | 11.2.7 | Veilige wegdoening of hergebruik van toerusting |
Tegnologiese kontroles
Hoe ISMS.online help
Ons wolkgebaseerde platform bied jou 'n robuuste raamwerk van inligtingsekuriteitkontroles sodat jy kan kontrolelys jou ISMS-proses soos jy gaan om te verseker dat dit aan die vereistes vir ISO 27000k voldoen. Reg gebruik, ISMS. aanlyn kan jou help om sertifisering te behaal met die minimum tyd en hulpbronne.
Kontak vandag nog om bespreek 'n demo.
Spring na onderwerp
