ISO 27001:2022 Bijlage A Controle 8.2

Bevoorrechte toegangsrechten

Boek een demo

groep,gelukkige,collega's,bespreken,in,conferentie,kamer

Wat is het doel van ISO 27001:2022 bijlage A 8.2?

In commerciële netwerken over de hele wereld is misbruik of misbruik van verhoogde rechten van systeembeheerders een belangrijke oorzaak van ICT-verstoring.

Door gebruik te maken van bevoorrechte toegangsrechten kunnen organisaties dat doen controle toegang aan hun infrastructuur, applicaties, assets en data.

ISO 27001:2022 Bijlage A 8.2 stelt een autorisatieproces vast voor het afhandelen van alle verzoeken om toegang tot de ICT-netwerken en -middelen van een organisatie. Het is een preventieve controle met risico behouden.

Wie is eigenaar van bijlage A 8.2?

Een organisatie kan de toegang tot gegevens controleren via verbeterde toegangsrechten die zijn gekoppeld aan gebruikersaccounts, zoals in bijlage A 8.6.

Dit betekent dat het vermogen van de organisatie om geprivilegieerde domein- of applicatiegebruikersaccounts te beheren en te monitoren de verantwoordelijkheid moet zijn van de Hoofd informatietechnologie (of gelijkwaardig).

Zeg hallo tegen het succes van ISO 27001

Krijg 81% van het werk voor u gedaan en word sneller gecertificeerd met ISMS.online

Boek uw demo
img

Algemene richtlijn voor ISO 27001:2022 bijlage A 8.2

ISO 27001:2022 Bijlage A 8.2 schetst twaalf belangrijke richtlijnen die bedrijven moeten volgen op basis van een “onderwerpspecifiek” beleid inzake toegangscontrole (zie Bijlage A 12) dat gericht is op specifieke bedrijfsfuncties.

Voor organisaties is het van cruciaal belang om:

  1. Stel een lijst op van gebruikers die enige mate van geprivilegieerde toegang nodig hebben, of het nu gaat om een ​​individueel systeem, een applicatie of het onderliggende besturingssysteem.
  2. Zorg ervoor dat bevoorrechte toegangsrechten per gebeurtenis aan gebruikers worden toegewezen. Gebruikers moeten toegangsrechten krijgen op basis van het absolute minimum dat ze nodig hebben om hun taken uit te voeren.

  3. Houd een register bij van alle verleende toegangsrechten en schets een eenvoudig autorisatieproces voor alle verzoeken om bevoorrechte toegang.

  4. Toegangsrechten moeten onderworpen zijn aan relevante vervaldata.

  5. Gebruikers moeten expliciet worden geïnformeerd wanneer zij met bevoorrechte toegang tot een systeem werken.

  6. Indien relevant wordt gebruikers gevraagd zich opnieuw te authenticeren voordat zij bevoorrechte toegangsrechten gebruiken om de beveiliging van informatie en gegevens te verbeteren.

  7. Periodiek auditeren bevoorrechte toegangsrechten, vooral na een periode van organisatorische veranderingen. Toegangsrechten moeten worden beoordeeld op basis van de “plichten, rollen, verantwoordelijkheden en bevoegdheden” van gebruikers (zie bijlage A 5.18).

  8. Overweeg een 'breekglas'-procedure, dat wil zeggen het verlenen van geprivilegieerde toegangsrechten binnen strak gecontroleerde tijdsbestekken die voldoen aan de minimale vereisten voor het voltooien van een operatie (kritieke wijzigingen, systeembeheer, enz.).

  9. Zorg ervoor dat alle activiteiten waarbij bevoorrechte toegang betrokken is, worden geregistreerd.

  10. Gestandaardiseerde gebruikersnamen en wachtwoorden (zie bijlage A 5.17) mogen niet worden gebruikt voor systeemaanmeldingen.

  11. Handhaaf een beleid van het toewijzen van gebruikers met afzonderlijke identiteiten om geprivilegieerde toegangsrechten beter te kunnen controleren. Als gevolg hiervan kunnen deze identiteiten worden gegroepeerd, waarbij verschillende toegangsniveaus worden verleend aan de bijbehorende groep.

  12. Zorg ervoor dat geprivilegieerde toegangsrechten worden gereserveerd voor taken die cruciaal zijn voor het goed functioneren van een ICT-netwerk, zoals netwerkbeheer en -onderhoud.

Bijbehorende bijlage A-controles

  • ISO 27001:2022 Bijlage A 5.15

Wat zijn de veranderingen ten opzichte van ISO 27001:2013?

ISO 27001:2022 bijlage A 8.2 vervangt ISO 27001:2013 Bijlage A 9.2.3 ('Beheer van bevoorrechte toegangsrechten').

Bijlage A 8.2 van ISO 27001:2022 bevat vijf belangrijke richtlijnen die niet waren opgenomen in de tegenhanger van 2013:

  1. Bijlage A 8.2 vereist niet expliciet een ander gebruikers-ID voor bevoorrechte toegang.
  2. Bijlage A 8.2 benadrukt de noodzaak om opnieuw te authenticeren voordat u bevoorrechte toegangsrechten ontvangt.
  3. Bij het uitvoeren van kritische onderhoudstaken wordt een breekglasaanpak voorgesteld op basis van strak gecontroleerde tijdvensters in bijlage A 8.2.
  4. Bijlage A 8.2 vereist dat organisaties gedetailleerde geprivilegieerde toegangslogboeken bijhouden voor auditdoeleinden.
  5. Bijlage A 8.2 vereist dat organisaties geprivilegieerde toegangsrechten tot administratieve taken beperken.

Tabel met alle ISO 27001:2022 bijlage A-controles

In de onderstaande tabel vindt u meer informatie over elk individu ISO 27001:2022 bijlage A Controle.

ISO 27001:2022 Organisatorische controles

Bijlage A ControletypeISO/IEC 27001:2022 bijlage A-identificatieISO/IEC 27001:2013 bijlage A-identificatieBijlage A Naam
Organisatorische controlesBijlage A 5.1Bijlage A 5.1.1
Bijlage A 5.1.2
Beleid voor informatiebeveiliging
Organisatorische controlesBijlage A 5.2Bijlage A 6.1.1Rollen en verantwoordelijkheden op het gebied van informatiebeveiliging
Organisatorische controlesBijlage A 5.3Bijlage A 6.1.2Scheiding van taken
Organisatorische controlesBijlage A 5.4Bijlage A 7.2.1Directie verantwoordelijkheden
Organisatorische controlesBijlage A 5.5Bijlage A 6.1.3Contact met autoriteiten
Organisatorische controlesBijlage A 5.6Bijlage A 6.1.4Contact met speciale interessegroepen
Organisatorische controlesBijlage A 5.7NIEUWBedreiging Intelligentie
Organisatorische controlesBijlage A 5.8Bijlage A 6.1.5
Bijlage A 14.1.1
Informatiebeveiliging in projectmanagement
Organisatorische controlesBijlage A 5.9Bijlage A 8.1.1
Bijlage A 8.1.2
Inventarisatie van informatie en andere bijbehorende activa
Organisatorische controlesBijlage A 5.10Bijlage A 8.1.3
Bijlage A 8.2.3
Aanvaardbaar gebruik van informatie en andere bijbehorende activa
Organisatorische controlesBijlage A 5.11Bijlage A 8.1.4Teruggave van activa
Organisatorische controlesBijlage A 5.12Bijlage A 8.2.1Classificatie van informatie
Organisatorische controlesBijlage A 5.13Bijlage A 8.2.2Etikettering van informatie
Organisatorische controlesBijlage A 5.14Bijlage A 13.2.1
Bijlage A 13.2.2
Bijlage A 13.2.3
Informatieoverdracht
Organisatorische controlesBijlage A 5.15Bijlage A 9.1.1
Bijlage A 9.1.2
Access Controle
Organisatorische controlesBijlage A 5.16Bijlage A 9.2.1Identiteitsbeheer
Organisatorische controlesBijlage A 5.17Bijlage A 9.2.4
Bijlage A 9.3.1
Bijlage A 9.4.3
Authenticatie-informatie
Organisatorische controlesBijlage A 5.18Bijlage A 9.2.2
Bijlage A 9.2.5
Bijlage A 9.2.6
Toegangsrechten
Organisatorische controlesBijlage A 5.19Bijlage A 15.1.1Informatiebeveiliging in leveranciersrelaties
Organisatorische controlesBijlage A 5.20Bijlage A 15.1.2Het aanpakken van informatiebeveiliging binnen leveranciersovereenkomsten
Organisatorische controlesBijlage A 5.21Bijlage A 15.1.3Beheer van informatiebeveiliging in de ICT-toeleveringsketen
Organisatorische controlesBijlage A 5.22Bijlage A 15.2.1
Bijlage A 15.2.2
Monitoring, beoordeling en wijzigingsbeheer van leveranciersdiensten
Organisatorische controlesBijlage A 5.23NIEUWInformatiebeveiliging voor gebruik van cloudservices
Organisatorische controlesBijlage A 5.24Bijlage A 16.1.1Planning en voorbereiding van informatiebeveiligingsincidentbeheer
Organisatorische controlesBijlage A 5.25Bijlage A 16.1.4Beoordeling en beslissing over informatiebeveiligingsgebeurtenissen
Organisatorische controlesBijlage A 5.26Bijlage A 16.1.5Reactie op informatiebeveiligingsincidenten
Organisatorische controlesBijlage A 5.27Bijlage A 16.1.6Leren van informatiebeveiligingsincidenten
Organisatorische controlesBijlage A 5.28Bijlage A 16.1.7Verzameling van bewijsmateriaal
Organisatorische controlesBijlage A 5.29Bijlage A 17.1.1
Bijlage A 17.1.2
Bijlage A 17.1.3
Informatiebeveiliging tijdens disruptie
Organisatorische controlesBijlage A 5.30NIEUWICT-gereedheid voor bedrijfscontinuïteit
Organisatorische controlesBijlage A 5.31Bijlage A 18.1.1
Bijlage A 18.1.5
Wettelijke, statutaire, regelgevende en contractuele vereisten
Organisatorische controlesBijlage A 5.32Bijlage A 18.1.2Intellectuele eigendomsrechten
Organisatorische controlesBijlage A 5.33Bijlage A 18.1.3Bescherming van records
Organisatorische controlesBijlage A 5.34 Bijlage A 18.1.4Privacy en bescherming van PII
Organisatorische controlesBijlage A 5.35Bijlage A 18.2.1Onafhankelijke beoordeling van informatiebeveiliging
Organisatorische controlesBijlage A 5.36Bijlage A 18.2.2
Bijlage A 18.2.3
Naleving van beleid, regels en normen voor informatiebeveiliging
Organisatorische controlesBijlage A 5.37Bijlage A 12.1.1Gedocumenteerde operationele procedures

ISO 27001:2022 Personeelscontroles

Bijlage A ControletypeISO/IEC 27001:2022 bijlage A-identificatieISO/IEC 27001:2013 bijlage A-identificatieBijlage A Naam
MensencontrolesBijlage A 6.1Bijlage A 7.1.1Doorlichting
MensencontrolesBijlage A 6.2Bijlage A 7.1.2Arbeidsvoorwaarden
MensencontrolesBijlage A 6.3Bijlage A 7.2.2Informatiebeveiligingsbewustzijn, onderwijs en training
MensencontrolesBijlage A 6.4Bijlage A 7.2.3Disciplinair proces
MensencontrolesBijlage A 6.5Bijlage A 7.3.1Verantwoordelijkheden na beëindiging of verandering van dienstverband
MensencontrolesBijlage A 6.6Bijlage A 13.2.4Vertrouwelijkheids- of geheimhoudingsovereenkomsten
MensencontrolesBijlage A 6.7Bijlage A 6.2.2Werken op afstand
MensencontrolesBijlage A 6.8Bijlage A 16.1.2
Bijlage A 16.1.3
Rapportage van informatiebeveiligingsgebeurtenissen

ISO 27001:2022 Fysieke controles

Bijlage A ControletypeISO/IEC 27001:2022 bijlage A-identificatieISO/IEC 27001:2013 bijlage A-identificatieBijlage A Naam
Fysieke controlesBijlage A 7.1Bijlage A 11.1.1Fysieke beveiligingsperimeters
Fysieke controlesBijlage A 7.2Bijlage A 11.1.2
Bijlage A 11.1.6
Fysieke toegang
Fysieke controlesBijlage A 7.3Bijlage A 11.1.3Beveiliging van kantoren, kamers en faciliteiten
Fysieke controlesBijlage A 7.4NIEUWFysieke beveiligingsmonitoring
Fysieke controlesBijlage A 7.5Bijlage A 11.1.4Bescherming tegen fysieke en ecologische bedreigingen
Fysieke controlesBijlage A 7.6Bijlage A 11.1.5Werken in beveiligde gebieden
Fysieke controlesBijlage A 7.7Bijlage A 11.2.9Duidelijk bureau en helder scherm
Fysieke controlesBijlage A 7.8Bijlage A 11.2.1Apparatuurlocatie en bescherming
Fysieke controlesBijlage A 7.9Bijlage A 11.2.6Beveiliging van activa buiten gebouwen
Fysieke controlesBijlage A 7.10Bijlage A 8.3.1
Bijlage A 8.3.2
Bijlage A 8.3.3
Bijlage A 11.2.5
Opslag media
Fysieke controlesBijlage A 7.11Bijlage A 11.2.2Ondersteunende nutsvoorzieningen
Fysieke controlesBijlage A 7.12Bijlage A 11.2.3Beveiliging van bekabeling
Fysieke controlesBijlage A 7.13Bijlage A 11.2.4Equipment Maintenance
Fysieke controlesBijlage A 7.14Bijlage A 11.2.7Veilige verwijdering of hergebruik van apparatuur

ISO 27001:2022 Technologische controles

Bijlage A ControletypeISO/IEC 27001:2022 bijlage A-identificatieISO/IEC 27001:2013 bijlage A-identificatieBijlage A Naam
Technologische controlesBijlage A 8.1Bijlage A 6.2.1
Bijlage A 11.2.8
Eindpuntapparaten van gebruikers
Technologische controlesBijlage A 8.2Bijlage A 9.2.3Bevoorrechte toegangsrechten
Technologische controlesBijlage A 8.3Bijlage A 9.4.1Beperking van toegang tot informatie
Technologische controlesBijlage A 8.4Bijlage A 9.4.5Toegang tot broncode
Technologische controlesBijlage A 8.5Bijlage A 9.4.2Veilige authenticatie
Technologische controlesBijlage A 8.6Bijlage A 12.1.3Capaciteitsmanagement
Technologische controlesBijlage A 8.7Bijlage A 12.2.1Bescherming tegen malware
Technologische controlesBijlage A 8.8Bijlage A 12.6.1
Bijlage A 18.2.3
Beheer van technische kwetsbaarheden
Technologische controlesBijlage A 8.9NIEUWConfiguration Management
Technologische controlesBijlage A 8.10NIEUWInformatie verwijderen
Technologische controlesBijlage A 8.11NIEUWGegevensmaskering
Technologische controlesBijlage A 8.12NIEUWPreventie van gegevenslekken
Technologische controlesBijlage A 8.13Bijlage A 12.3.1Informatieback-up
Technologische controlesBijlage A 8.14Bijlage A 17.2.1Redundantie van informatieverwerkingsfaciliteiten
Technologische controlesBijlage A 8.15Bijlage A 12.4.1
Bijlage A 12.4.2
Bijlage A 12.4.3
Logging
Technologische controlesBijlage A 8.16NIEUWBewakingsactiviteiten
Technologische controlesBijlage A 8.17Bijlage A 12.4.4Kloksynchronisatie
Technologische controlesBijlage A 8.18Bijlage A 9.4.4Gebruik van bevoorrechte hulpprogramma's
Technologische controlesBijlage A 8.19Bijlage A 12.5.1
Bijlage A 12.6.2
Installatie van software op besturingssystemen
Technologische controlesBijlage A 8.20Bijlage A 13.1.1Netwerkbeveiliging
Technologische controlesBijlage A 8.21Bijlage A 13.1.2Beveiliging van netwerkdiensten
Technologische controlesBijlage A 8.22Bijlage A 13.1.3Segregatie van netwerken
Technologische controlesBijlage A 8.23NIEUWWeb filtering
Technologische controlesBijlage A 8.24Bijlage A 10.1.1
Bijlage A 10.1.2
Gebruik van cryptografie
Technologische controlesBijlage A 8.25Bijlage A 14.2.1Levenscyclus van veilige ontwikkeling
Technologische controlesBijlage A 8.26Bijlage A 14.1.2
Bijlage A 14.1.3
Beveiligingsvereisten voor applicaties
Technologische controlesBijlage A 8.27Bijlage A 14.2.5Veilige systeemarchitectuur en engineeringprincipes
Technologische controlesBijlage A 8.28NIEUWVeilig coderen
Technologische controlesBijlage A 8.29Bijlage A 14.2.8
Bijlage A 14.2.9
Beveiligingstesten bij ontwikkeling en acceptatie
Technologische controlesBijlage A 8.30Bijlage A 14.2.7Uitbestede ontwikkeling
Technologische controlesBijlage A 8.31Bijlage A 12.1.4
Bijlage A 14.2.6
Scheiding van ontwikkel-, test- en productieomgevingen
Technologische controlesBijlage A 8.32Bijlage A 12.1.2
Bijlage A 14.2.2
Bijlage A 14.2.3
Bijlage A 14.2.4
Change Management
Technologische controlesBijlage A 8.33Bijlage A 14.3.1Test informatie
Technologische controlesBijlage A 8.34Bijlage A 12.7.1Bescherming van informatiesystemen tijdens audittests

Hoe ISMS.online helpt

Met behulp van ons cloudgebaseerde platform en onze tools kunnen organisaties een informatiebeveiligingsbeheersysteem (ISMS) in overeenstemming met ISO 27001:2022.

Tot deze hulpmiddelen behoren:

  1. Sjablonen voor algemene bedrijfsdocumenten.
  2. Beleid en procedures die vooraf zijn gedefinieerd.
  3. Ondersteunen van interne audits met een audittool.
  4. Een goedkeuringsworkflow voor alle wijzigingen in beleid en procedures.
  5. Controlelijst om ervoor te zorgen dat uw informatiebeveiligingsbeleid en processen volgen internationale normen.

Ontdek het volledige scala aan functies in onze toolkit door een demo boeken.

Ontdek ons ​​platform

Boek een hands-on sessie op maat
op basis van uw behoeften en doelen
Boek uw demo

Methode voor gegarandeerde resultaten
100% ISO 27001-succes

Uw eenvoudige, praktische, tijdbesparende route naar de eerste keer dat u voldoet aan of certificering voor ISO 27001

Boek uw demo

Verken het platform van ISMS.online met een zelfgeleide tour - Begin nu