- Bekijk ISO 27002:2022 Controle 8.5 voor meer informatie.
- Bekijk ISO 27001:2013 Bijlage A 9.4.2 voor meer informatie.
Doel van ISO 27001:2022 Bijlage A 8.5
Veilige authenticatie is de belangrijkste manier waarop gebruikers, zowel menselijke als niet-menselijke, toegang krijgen tot de ICT-middelen van een organisatie.
In de afgelopen tien jaar heeft de authenticatietechnologie een grote transformatie ondergaan van klassieke gebruikersnaam-/wachtwoordvalidatie naar een verscheidenheid aan aanvullende methoden waarbij biometrische gegevens, logische en fysieke toegangscontroles, authenticatie van externe apparaten, sms-codes en eenmalige wachtwoorden (OTP) betrokken zijn. .
Bijlage A 8.5 biedt organisaties een raamwerk voor het controleren van de toegang tot hun ICT-systemen en -middelen via een beveiligde login-gateway. Er wordt precies beschreven hoe dit moet gebeuren.
ISO 27001:2022 Bijlage A Controle 8.5 is een preventieve maatregel welke houdt het risico in stand niveaus door technologie te introduceren en veilige authenticatieprocedures in te voeren, die ervoor zorgen dat menselijke en niet-menselijke gebruikers en identiteiten een veilig authenticatieproces doorlopen wanneer ze proberen toegang te krijgen tot ICT-bronnen.
Eigendom van bijlage A 8.5
ISO 27001:2022 bijlage A 8.5 gaat in op het vermogen van een organisatie om de toegang tot haar netwerk (en de gegevens en informatie die daarin zijn opgeslagen) op belangrijke punten te controleren, bijvoorbeeld een inlogportaal.
De controle heeft betrekking op de informatie- en gegevensbeveiliging als geheel, waarbij de operationele begeleiding zich vooral richt op technische aspecten.
De Hoofd IT (of gelijkwaardig) zou eigenaar moeten zijn vanwege de dagelijkse verantwoordelijkheid voor IT-beheertaken.
ISO 27001 eenvoudig gemaakt
Een voorsprong van 81% vanaf dag één
Wij hebben het harde werk voor u gedaan, waardoor u vanaf het moment dat u inlogt een voorsprong van 81% heeft. U hoeft alleen nog maar de lege plekken in te vullen.
Algemene richtlijn voor ISO 27001:2022 bijlage A 8.5
Organisaties moeten rekening houden met het type en de gevoeligheid van de gegevens en het netwerk waartoe toegang wordt verkregen bij het overwegen van authenticatiecontroles. Voorbeelden van dergelijke controles zijn onder meer:
- Slimme toegangscontroles (smartcards).
- Biometrische logins.
- Veilige tokens.
- Multi-factor authenticatie (MFA).
- Digitale certificaten.
Het primaire doel van de veilige authenticatiemaatregelen van een bedrijf moet het ontmoedigen en verminderen van de mogelijkheid van ongeoorloofde toegang tot de beveiligde systemen zijn.
Om dit te bereiken zet ISO 27001:2022 Annex A 8.5 twaalf belangrijkste richtlijnen uiteen. Bedrijven moeten:
- Zorg ervoor dat informatie alleen wordt weergegeven na een succesvol authenticatieproces.
- Toon vóór het inloggen een waarschuwingsbericht waarin duidelijk staat dat alleen geautoriseerde gebruikers toegang hebben tot de gegevens.
- Verminder de hulp die wordt gegeven aan onbevoegde mensen die proberen toegang te krijgen tot het systeem. Bedrijven mogen bijvoorbeeld niet onthullen welk deel van de login onjuist is, zoals een biometrische factor bij een login met meervoudige authenticatie, maar alleen vermelden dat de login niet heeft gewerkt.
- Verifieer de inlogpoging alleen als alle benodigde informatie aan de inlogservice is verstrekt, om de veiligheid te waarborgen.
- Implementeer industriestandaard beveiligingsmaatregelen ter bescherming tegen algemene toegang en brute force-aanvallen op inlogportals. Deze kunnen het volgende omvatten:
- CAPTCHA is een beveiligingsfunctie waarbij u een reeks tekens moet invoeren om te verifiëren dat u een menselijke gebruiker bent.
- Het afdwingen van een reset van een wachtwoord na een bepaald aantal mislukte inlogpogingen.
- Na een bepaald aantal mislukte pogingen worden verdere aanmeldingen verijdeld. Om dit te voorkomen, stelt u een limiet in.
- Voor controle en veiligheid wordt elke mislukte inlogpoging genoteerd, ook voor strafrechtelijke en/of regelgevende procedures.
- Bij grote inlogverschillen, zoals een vermoedelijke inbraak, moet onmiddellijk een beveiligingsincident worden gestart. Intern personeel, met name degenen met systeembeheerderstoegang of de mogelijkheid kwaadwillige inlogpogingen te dwarsbomen, moet onmiddellijk op de hoogte worden gesteld.
- Zodra een succesvolle login is bevestigd, moeten bepaalde gegevens naar een andere repository worden verzonden, met details over:
- De laatste succesvolle aanmelding vond plaats op [datum] om [tijd].
- Registratie van alle inlogpogingen sinds de laatste geverifieerde aanmelding.
- Geef wachtwoorden weer als asterisken of andere soortgelijke abstracte symbolen, tenzij er een reden is om dit niet te doen (bijvoorbeeld toegankelijkheid voor gebruikers).
- Er wordt niet getolereerd dat wachtwoorden worden gedeeld of weergegeven in gewone, leesbare tekst.
- Zorg ervoor dat inactieve inlogsessies na een bepaald tijdsbestek worden beëindigd. Dit is vooral relevant voor sessies op locaties met een hoog risico (afstandswerk situaties) of op apparaten die eigendom zijn van de gebruiker, zoals persoonlijke laptops of mobiele telefoons.
- Beperk de duur gedurende welke een geauthenticeerde sessie open mag blijven, zelfs als deze actief is, afhankelijk van de gegevens waartoe toegang wordt verkregen (bijvoorbeeld essentiële bedrijfsinformatie of geldgerelateerde programma's).
Bevrijd jezelf van een berg spreadsheets
Integreer, breid uit en schaal uw compliance, zonder rommel. IO geeft u de veerkracht en het vertrouwen om veilig te groeien.
Richtlijnen voor biometrische logins
De Internationale Organisatie voor Standaardisatie dringt erop aan dat biometrische inlogprocessen op zijn minst worden gecombineerd nog een andere inlogtechniek, vanwege hun relatieve effectiviteit en integriteit in vergelijking met traditionele methoden zoals wachtwoorden, MFA en tokens.
Wijzigingen en verschillen ten opzichte van ISO 27001:2013
ISO 27001:2022 bijlage A 8.5 vervangt ISO 27001:2013 Bijlage A 9.4.2 (Beveiligde inlogprotocollen).
ISO 27001:2022 Bijlage A 8.5 is een herziening van de versie uit 2013, met kleine wijzigingen in de taal en dezelfde beveiligingsprincipes die eraan ten grondslag liggen. Het document bevat nog steeds de 12 bekende richtpunten.
In lijn met het toegenomen gebruik van multi-factor authenticatie en biometrische login-technologieën in de afgelopen tien jaar, biedt ISO 27001:2022 Annex A 8.5 expliciete instructies over hoe organisaties deze technieken moeten integreren bij het formuleren van hun eigen login-controles.
Tabel met alle ISO 27001:2022 bijlage A-controles
In de onderstaande tabel vindt u meer informatie over elk individu ISO 27001:2022 bijlage A Controle.
| Bijlage A Controletype | ISO/IEC 27001:2022 bijlage A-identificatie | ISO/IEC 27001:2013 bijlage A-identificatie | Bijlage A Naam |
|---|---|---|---|
| Organisatorische controles | Bijlage A 5.1 |
Bijlage A 5.1.1 Bijlage A 5.1.2 |
Beleid voor informatiebeveiliging |
| Organisatorische controles | Bijlage A 5.2 | Bijlage A 6.1.1 | Rollen en verantwoordelijkheden op het gebied van informatiebeveiliging |
| Organisatorische controles | Bijlage A 5.3 | Bijlage A 6.1.2 | Scheiding van taken |
| Organisatorische controles | Bijlage A 5.4 | Bijlage A 7.2.1 | Directie verantwoordelijkheden |
| Organisatorische controles | Bijlage A 5.5 | Bijlage A 6.1.3 | Contact met autoriteiten |
| Organisatorische controles | Bijlage A 5.6 | Bijlage A 6.1.4 | Contact met speciale interessegroepen |
| Organisatorische controles | Bijlage A 5.7 | NIEUW | Bedreiging Intelligentie |
| Organisatorische controles | Bijlage A 5.8 |
Bijlage A 6.1.5 Bijlage A 14.1.1 |
Informatiebeveiliging in projectmanagement |
| Organisatorische controles | Bijlage A 5.9 |
Bijlage A 8.1.1 Bijlage A 8.1.2 |
Inventarisatie van informatie en andere bijbehorende activa |
| Organisatorische controles | Bijlage A 5.10 |
Bijlage A 8.1.3 Bijlage A 8.2.3 |
Aanvaardbaar gebruik van informatie en andere bijbehorende activa |
| Organisatorische controles | Bijlage A 5.11 | Bijlage A 8.1.4 | Teruggave van activa |
| Organisatorische controles | Bijlage A 5.12 | Bijlage A 8.2.1 | Classificatie van informatie |
| Organisatorische controles | Bijlage A 5.13 | Bijlage A 8.2.2 | Etikettering van informatie |
| Organisatorische controles | Bijlage A 5.14 |
Bijlage A 13.2.1 Bijlage A 13.2.2 Bijlage A 13.2.3 |
Informatieoverdracht |
| Organisatorische controles | Bijlage A 5.15 |
Bijlage A 9.1.1 Bijlage A 9.1.2 |
Access Controle |
| Organisatorische controles | Bijlage A 5.16 | Bijlage A 9.2.1 | Identiteitsbeheer |
| Organisatorische controles | Bijlage A 5.17 |
Bijlage A 9.2.4 Bijlage A 9.3.1 Bijlage A 9.4.3 |
Authenticatie-informatie |
| Organisatorische controles | Bijlage A 5.18 |
Bijlage A 9.2.2 Bijlage A 9.2.5 Bijlage A 9.2.6 |
Toegangsrechten |
| Organisatorische controles | Bijlage A 5.19 | Bijlage A 15.1.1 | Informatiebeveiliging in leveranciersrelaties |
| Organisatorische controles | Bijlage A 5.20 | Bijlage A 15.1.2 | Het aanpakken van informatiebeveiliging binnen leveranciersovereenkomsten |
| Organisatorische controles | Bijlage A 5.21 | Bijlage A 15.1.3 | Beheer van informatiebeveiliging in de ICT-toeleveringsketen |
| Organisatorische controles | Bijlage A 5.22 |
Bijlage A 15.2.1 Bijlage A 15.2.2 |
Monitoring, beoordeling en wijzigingsbeheer van leveranciersdiensten |
| Organisatorische controles | Bijlage A 5.23 | NIEUW | Informatiebeveiliging voor gebruik van cloudservices |
| Organisatorische controles | Bijlage A 5.24 | Bijlage A 16.1.1 | Planning en voorbereiding van informatiebeveiligingsincidentbeheer |
| Organisatorische controles | Bijlage A 5.25 | Bijlage A 16.1.4 | Beoordeling en beslissing over informatiebeveiligingsgebeurtenissen |
| Organisatorische controles | Bijlage A 5.26 | Bijlage A 16.1.5 | Reactie op informatiebeveiligingsincidenten |
| Organisatorische controles | Bijlage A 5.27 | Bijlage A 16.1.6 | Leren van informatiebeveiligingsincidenten |
| Organisatorische controles | Bijlage A 5.28 | Bijlage A 16.1.7 | Verzameling van bewijsmateriaal |
| Organisatorische controles | Bijlage A 5.29 |
Bijlage A 17.1.1 Bijlage A 17.1.2 Bijlage A 17.1.3 |
Informatiebeveiliging tijdens disruptie |
| Organisatorische controles | Bijlage A 5.30 | NIEUW | ICT-gereedheid voor bedrijfscontinuïteit |
| Organisatorische controles | Bijlage A 5.31 |
Bijlage A 18.1.1 Bijlage A 18.1.5 |
Wettelijke, statutaire, regelgevende en contractuele vereisten |
| Organisatorische controles | Bijlage A 5.32 | Bijlage A 18.1.2 | Intellectuele eigendomsrechten |
| Organisatorische controles | Bijlage A 5.33 | Bijlage A 18.1.3 | Bescherming van records |
| Organisatorische controles | Bijlage A 5.34 | Bijlage A 18.1.4 | Privacy en bescherming van PII |
| Organisatorische controles | Bijlage A 5.35 | Bijlage A 18.2.1 | Onafhankelijke beoordeling van informatiebeveiliging |
| Organisatorische controles | Bijlage A 5.36 |
Bijlage A 18.2.2 Bijlage A 18.2.3 |
Naleving van beleid, regels en normen voor informatiebeveiliging |
| Organisatorische controles | Bijlage A 5.37 | Bijlage A 12.1.1 | Gedocumenteerde operationele procedures |
| Bijlage A Controletype | ISO/IEC 27001:2022 bijlage A-identificatie | ISO/IEC 27001:2013 bijlage A-identificatie | Bijlage A Naam |
|---|---|---|---|
| Mensencontroles | Bijlage A 6.1 | Bijlage A 7.1.1 | Doorlichting |
| Mensencontroles | Bijlage A 6.2 | Bijlage A 7.1.2 | Arbeidsvoorwaarden |
| Mensencontroles | Bijlage A 6.3 | Bijlage A 7.2.2 | Informatiebeveiligingsbewustzijn, onderwijs en training |
| Mensencontroles | Bijlage A 6.4 | Bijlage A 7.2.3 | Disciplinair proces |
| Mensencontroles | Bijlage A 6.5 | Bijlage A 7.3.1 | Verantwoordelijkheden na beëindiging of verandering van dienstverband |
| Mensencontroles | Bijlage A 6.6 | Bijlage A 13.2.4 | Vertrouwelijkheids- of geheimhoudingsovereenkomsten |
| Mensencontroles | Bijlage A 6.7 | Bijlage A 6.2.2 | Werken op afstand |
| Mensencontroles | Bijlage A 6.8 |
Bijlage A 16.1.2 Bijlage A 16.1.3 |
Rapportage van informatiebeveiligingsgebeurtenissen |
| Bijlage A Controletype | ISO/IEC 27001:2022 bijlage A-identificatie | ISO/IEC 27001:2013 bijlage A-identificatie | Bijlage A Naam |
|---|---|---|---|
| Fysieke controles | Bijlage A 7.1 | Bijlage A 11.1.1 | Fysieke beveiligingsperimeters |
| Fysieke controles | Bijlage A 7.2 |
Bijlage A 11.1.2 Bijlage A 11.1.6 |
Fysieke toegang |
| Fysieke controles | Bijlage A 7.3 | Bijlage A 11.1.3 | Beveiliging van kantoren, kamers en faciliteiten |
| Fysieke controles | Bijlage A 7.4 | NIEUW | Fysieke beveiligingsmonitoring |
| Fysieke controles | Bijlage A 7.5 | Bijlage A 11.1.4 | Bescherming tegen fysieke en ecologische bedreigingen |
| Fysieke controles | Bijlage A 7.6 | Bijlage A 11.1.5 | Werken in beveiligde gebieden |
| Fysieke controles | Bijlage A 7.7 | Bijlage A 11.2.9 | Duidelijk bureau en helder scherm |
| Fysieke controles | Bijlage A 7.8 | Bijlage A 11.2.1 | Apparatuurlocatie en bescherming |
| Fysieke controles | Bijlage A 7.9 | Bijlage A 11.2.6 | Beveiliging van activa buiten gebouwen |
| Fysieke controles | Bijlage A 7.10 |
Bijlage A 8.3.1 Bijlage A 8.3.2 Bijlage A 8.3.3 Bijlage A 11.2.5 |
Opslag media |
| Fysieke controles | Bijlage A 7.11 | Bijlage A 11.2.2 | Ondersteunende nutsvoorzieningen |
| Fysieke controles | Bijlage A 7.12 | Bijlage A 11.2.3 | Beveiliging van bekabeling |
| Fysieke controles | Bijlage A 7.13 | Bijlage A 11.2.4 | Equipment Maintenance |
| Fysieke controles | Bijlage A 7.14 | Bijlage A 11.2.7 | Veilige verwijdering of hergebruik van apparatuur |
| Bijlage A Controletype | ISO/IEC 27001:2022 bijlage A-identificatie | ISO/IEC 27001:2013 bijlage A-identificatie | Bijlage A Naam |
|---|---|---|---|
| Technologische controles | Bijlage A 8.1 |
Bijlage A 6.2.1 Bijlage A 11.2.8 |
Eindpuntapparaten van gebruikers |
| Technologische controles | Bijlage A 8.2 | Bijlage A 9.2.3 | Bevoorrechte toegangsrechten |
| Technologische controles | Bijlage A 8.3 | Bijlage A 9.4.1 | Beperking van toegang tot informatie |
| Technologische controles | Bijlage A 8.4 | Bijlage A 9.4.5 | Toegang tot broncode |
| Technologische controles | Bijlage A 8.5 | Bijlage A 9.4.2 | Veilige authenticatie |
| Technologische controles | Bijlage A 8.6 | Bijlage A 12.1.3 | Capaciteitsmanagement |
| Technologische controles | Bijlage A 8.7 | Bijlage A 12.2.1 | Bescherming tegen malware |
| Technologische controles | Bijlage A 8.8 |
Bijlage A 12.6.1 Bijlage A 18.2.3 |
Beheer van technische kwetsbaarheden |
| Technologische controles | Bijlage A 8.9 | NIEUW | Configuration Management |
| Technologische controles | Bijlage A 8.10 | NIEUW | Informatie verwijderen |
| Technologische controles | Bijlage A 8.11 | NIEUW | Gegevensmaskering |
| Technologische controles | Bijlage A 8.12 | NIEUW | Preventie van gegevenslekken |
| Technologische controles | Bijlage A 8.13 | Bijlage A 12.3.1 | Informatieback-up |
| Technologische controles | Bijlage A 8.14 | Bijlage A 17.2.1 | Redundantie van informatieverwerkingsfaciliteiten |
| Technologische controles | Bijlage A 8.15 |
Bijlage A 12.4.1 Bijlage A 12.4.2 Bijlage A 12.4.3 |
Logging |
| Technologische controles | Bijlage A 8.16 | NIEUW | Bewakingsactiviteiten |
| Technologische controles | Bijlage A 8.17 | Bijlage A 12.4.4 | Kloksynchronisatie |
| Technologische controles | Bijlage A 8.18 | Bijlage A 9.4.4 | Gebruik van bevoorrechte hulpprogramma's Toegangsrechten |
| Technologische controles | Bijlage A 8.19 |
Bijlage A 12.5.1 Bijlage A 12.6.2 |
Installatie van software op besturingssystemen |
| Technologische controles | Bijlage A 8.20 | Bijlage A 13.1.1 | Netwerkbeveiliging |
| Technologische controles | Bijlage A 8.21 | Bijlage A 13.1.2 | Beveiliging van netwerkdiensten |
| Technologische controles | Bijlage A 8.22 | Bijlage A 13.1.3 | Segregatie van netwerken |
| Technologische controles | Bijlage A 8.23 | NIEUW | Web filtering |
| Technologische controles | Bijlage A 8.24 |
Bijlage A 10.1.1 Bijlage A 10.1.2 |
Gebruik van cryptografie |
| Technologische controles | Bijlage A 8.25 | Bijlage A 14.2.1 | Levenscyclus van veilige ontwikkeling |
| Technologische controles | Bijlage A 8.26 |
Bijlage A 14.1.2 Bijlage A 14.1.3 |
Beveiligingsvereisten voor applicaties |
| Technologische controles | Bijlage A 8.27 | Bijlage A 14.2.5 | Principes van veilige systeemarchitectuur en engineeringLeren van incidenten met informatiebeveiliging |
| Technologische controles | Bijlage A 8.28 | NIEUW | Veilig coderen |
| Technologische controles | Bijlage A 8.29 |
Bijlage A 14.2.8 Bijlage A 14.2.9 |
Beveiligingstesten bij ontwikkeling en acceptatie |
| Technologische controles | Bijlage A 8.30 | Bijlage A 14.2.7 | Uitbestede ontwikkeling |
| Technologische controles | Bijlage A 8.31 |
Bijlage A 12.1.4 Bijlage A 14.2.6 |
Scheiding van ontwikkel-, test- en productieomgevingen |
| Technologische controles | Bijlage A 8.32 |
Bijlage A 12.1.2 Bijlage A 14.2.2 Bijlage A 14.2.3 Bijlage A 14.2.4 |
Change Management |
| Technologische controles | Bijlage A 8.33 | Bijlage A 14.3.1 | Test informatie |
| Technologische controles | Bijlage A 8.34 | Bijlage A 12.7.1 | Bescherming van informatiesystemen tijdens audittests |
Hoe ISMS.online helpt
Ons cloudgebaseerde platform voorziet u van een sterk raamwerk van informatiebeveiliging controles om het ISMS-proces te ondersteunen en ervoor te zorgen dat het voldoet aan de ISO 27001:2022-criteria. Correct gebruikt, ISMS.online kan u helpen bij het behalen van de certificering met minimale tijd en middelen.
Neem vandaag nog contact met ons op een demonstratie organiseren.