ISO 27001:2022 Bijlage A 8.3 – Beperking van toegang tot informatie

• Bekijk ISO 27002:2022 Controle 8.3 voor meer informatie.
• Bekijk ISO 27001:2013 Bijlage A 9.4.1 voor meer informatie.

Doel van ISO 27001:2022 Bijlage A 8.3

Het informatiebeveiligingsbeleid van een organisatie is sterk afhankelijk van de interne en externe toegang tot informatie.

ISO 27001:2022 Bijlage A 8.3 is een preventieve maatregel naar risico's beheren door regels en procedures vast te stellen om ongeoorloofde toegang tot/misbruik van de informatie en ICT-middelen van een organisatie te voorkomen.

Eigendom van bijlage A 8.3

ISO 27001:2022 Bijlage A 8.3 heeft betrekking op het vermogen van een organisatie om de toegang tot informatie te reguleren. Het zorgt ervoor dat informatie alleen toegankelijk is voor geautoriseerd personeel.

Het eigendom van informatie en gegevensbeveiligingspraktijken moet berusten bij de Chief Information Security Officer (of hun organisatorische equivalent). Deze persoon neemt de volledige verantwoordelijkheid voor de algehele beveiligingsaanpak van de organisatie.

Algemene richtlijn voor ISO 27001:2022 bijlage A 8.3

Om effectieve controle over informatie en ICT-middelen te behouden, moeten organisaties een onderwerpspecifieke benadering hanteren van de toegang tot informatie en maatregelen ter beperking van de toegang ondersteunen, zoals:

1. Blokkeer anonieme toegang tot informatie, inclusief brede publieke toegang:
• Organisaties moeten ervoor zorgen dat toegang wordt verleend aan het publiek of derden bevatten geen gevoelige of bedrijfskritische gegevens.
2. Zorg voor goed onderhoud van systemen om de toegang en eventuele bijbehorende zakelijke toepassingen of procedures te reguleren.
3. Stel gegevenstoegang in op individueel niveau.
4. Geef een overzicht van de gegevenstoegangsrechten tussen groepen die bewerkingen valideren, zoals lezen, schrijven, verwijderen en uitvoeren.
5. Behoud de capaciteit om vitale processen en applicaties af te scheiden met een verscheidenheid aan fysieke en digitale toegangsbeperkingen.

Richtlijnen voor dynamisch toegangsbeheer

ISO 27001:2022 Annex A 8.3 beveelt aan een dynamische benadering van de toegang tot informatie te hanteren.

Dynamisch toegangsbeheer heeft veel positieve effecten op organisatorische activiteiten waarbij interne gegevens met externe gebruikers worden gedeeld of gebruikt, wat resulteert in een snellere oplossing van incidenten.

Dynamische toegangsbeheertechnieken beveiligen een verscheidenheid aan informatietypen, van gewone documenten tot e-mails en database-informatie. Bovendien kunnen ze worden toegepast op individuele bestanden, waardoor organisaties nauwkeurige controle over hun gegevens hebben.

Organisaties moeten hiermee rekening houden wanneer:

• Er is gedetailleerde controle nodig om te bepalen welke menselijke en niet-menselijke gebruikers op welk moment dan ook toegang hebben tot de informatie.
• Er is behoefte aan het delen van gegevens met externe entiteiten (bijvoorbeeld leveranciers of overheidsinstanties).
• Een ‘real-time’ benadering van databeheer en -distributie houdt in dat het datagebruik wordt gemonitord en beheerd terwijl het plaatsvindt.
• Gegevens beschermen tegen ongeoorloofde wijzigingen, distributie of afdrukken.
• Het monitoren van de toegang tot en wijzigingen in informatie, vooral als deze gevoelig is, is van essentieel belang.

Dynamisch toegangsbeheer is met name gunstig voor organisaties die observatie en behoud van gegevens nodig hebben vanaf het begin tot de vernietiging, waaronder:

• Er kan een use-case of een reeks use-cases worden geschetst om regels voor gegevenstoegang toe te passen op basis van de onderstaande variabelen:
• Locatie
• Aanvraag
• Identiteit
• Apparaat
• Schets een proces inclusief gegevens operatie en Grensverkeeren het opzetten van een alomvattend rapportagesysteem op basis van een betrouwbare technische infrastructuur.

Alle pogingen om een ​​effectief systeem voor toegangscontrole te creëren moeten ertoe leiden dat gegevens worden beschermd door:

1. Het garanderen van gegevenstoegang is het resultaat van een succesvolle authenticatie.
2. Een mate van beperkte toegang, afhankelijk van het type gegevens en de mate waarin deze deze kunnen beïnvloeden bedrijfscontinuïteit, moet worden geplaatst.
3. Afdrukrechten.
4. Versleuteling.
5. Voor informatie over passend onderwijs, zie: www.passendonderwijs.nl controlelogboeken dat register wie toegang heeft tot de gegevens en het doel van het gebruik van de gegevens moeten worden bijgehouden.
6. Een procedure voor waarschuwingen die elk oneigenlijk gebruik van gegevens signaleert, inclusief (maar niet beperkt tot) ongeoorloofde toegang, verspreiding en pogingen tot verwijdering.

Wijzigingen en verschillen ten opzichte van ISO 27001:2013

ISO 27001:2022 bijlage A 8.3 vervangt ISO 27001:2013 Bijlage A 9.4.1 (Informatietoegangsbeperking), die een belangrijke verschuiving vertegenwoordigt in de manier waarop ISO het beheer van informatietoegang beschouwt.

Deze dynamische aanpak, die niet werd genoemd in ISO 27001:2013 bijlage A 9.4.1, houdt rekening met de evoluerende aard van informatiebeveiliging.

ISO 27001:2022 bijlage 8.3 biedt een schat aan richtlijnen over dynamisch toegangsbeheer die niet voorkomen in de editie van ISO 27001:2013. Daarom moeten organisaties deze suggesties onderwerp voor onderwerp bekijken wanneer ze certificering aanvragen.

Tabel met alle ISO 27001:2022 bijlage A-controles

In de onderstaande tabel vindt u meer informatie over elk individu ISO 27001:2022 bijlage A Controle.

Hoe ISMS.online helpt

ISMS.Online is de belangrijkste ISO 27001-managementsysteemsoftware die de naleving van ISO 27001 ondersteunt en bedrijven in staat stelt hun beveiligingsbeleid en -procedures op één lijn te brengen met de norm.

Deze cloud-gebaseerd platform voorziet organisaties van een volledige reeks tools om hen te helpen bij het bouwen van een Information Security Management System (ISMS) dat voldoet aan ISO 27001:2022.

We hebben ons platform vanaf de basis opgebouwd, in samenwerking met internationale informatiebeveiligingsspecialisten. We hebben het zo ontworpen dat het intuïtief en eenvoudig is voor gebruikers die geen technische expertise hebben Informatiebeveiligingsbeheersystemen (ISMS).

Neem nu contact met ons op een demonstratie organiseren.