ISO 27001:2022 Bijlage A 8.5 – Veilige authenticatie

• Bekijk ISO 27002:2022 Controle 8.5 voor meer informatie.
• Bekijk ISO 27001:2013 Bijlage A 9.4.2 voor meer informatie.

Doel van ISO 27001:2022 Bijlage A 8.5

Veilige authenticatie is de belangrijkste manier waarop gebruikers, zowel menselijke als niet-menselijke, toegang krijgen tot de ICT-middelen van een organisatie.

In de afgelopen tien jaar heeft de authenticatietechnologie een grote transformatie ondergaan van klassieke gebruikersnaam-/wachtwoordvalidatie naar een verscheidenheid aan aanvullende methoden waarbij biometrische gegevens, logische en fysieke toegangscontroles, authenticatie van externe apparaten, sms-codes en eenmalige wachtwoorden (OTP) betrokken zijn. .

Bijlage A 8.5 biedt organisaties een raamwerk voor het controleren van de toegang tot hun ICT-systemen en -middelen via een beveiligde login-gateway. Er wordt precies beschreven hoe dit moet gebeuren.

ISO 27001:2022 Bijlage A Controle 8.5 is een preventieve maatregel welke houdt het risico in stand niveaus door technologie te introduceren en veilige authenticatieprocedures in te voeren, die ervoor zorgen dat menselijke en niet-menselijke gebruikers en identiteiten een veilig authenticatieproces doorlopen wanneer ze proberen toegang te krijgen tot ICT-bronnen.

Eigendom van bijlage A 8.5

ISO 27001:2022 bijlage A 8.5 gaat in op het vermogen van een organisatie om de toegang tot haar netwerk (en de gegevens en informatie die daarin zijn opgeslagen) op belangrijke punten te controleren, bijvoorbeeld een inlogportaal.

De controle heeft betrekking op de informatie- en gegevensbeveiliging als geheel, waarbij de operationele begeleiding zich vooral richt op technische aspecten.

De Hoofd IT (of gelijkwaardig) zou eigenaar moeten zijn vanwege de dagelijkse verantwoordelijkheid voor IT-beheertaken.

Algemene richtlijn voor ISO 27001:2022 bijlage A 8.5

Organisaties moeten rekening houden met het type en de gevoeligheid van de gegevens en het netwerk waartoe toegang wordt verkregen bij het overwegen van authenticatiecontroles. Voorbeelden van dergelijke controles zijn onder meer:

• Slimme toegangscontroles (smartcards).
• Biometrische logins.
• Veilige tokens.
• Multi-factor authenticatie (MFA).
• Digitale certificaten.

Het primaire doel van de veilige authenticatiemaatregelen van een bedrijf moet het ontmoedigen en verminderen van de mogelijkheid van ongeoorloofde toegang tot de beveiligde systemen zijn.

Om dit te bereiken zet ISO 27001:2022 Annex A 8.5 twaalf belangrijkste richtlijnen uiteen. Bedrijven moeten:

1. Zorg ervoor dat informatie alleen wordt weergegeven na een succesvol authenticatieproces.
2. Toon vóór het inloggen een waarschuwingsbericht waarin duidelijk staat dat alleen geautoriseerde gebruikers toegang hebben tot de gegevens.
3. Verminder de hulp die wordt gegeven aan onbevoegde mensen die proberen toegang te krijgen tot het systeem. Bedrijven mogen bijvoorbeeld niet onthullen welk deel van de login onjuist is, zoals een biometrische factor bij een login met meervoudige authenticatie, maar alleen vermelden dat de login niet heeft gewerkt.
4. Verifieer de inlogpoging alleen als alle benodigde informatie aan de inlogservice is verstrekt, om de veiligheid te waarborgen.
5. Implementeer industriestandaard beveiligingsmaatregelen ter bescherming tegen algemene toegang en brute force-aanvallen op inlogportals. Deze kunnen het volgende omvatten:
• CAPTCHA is een beveiligingsfunctie waarbij u een reeks tekens moet invoeren om te verifiëren dat u een menselijke gebruiker bent.
• Het afdwingen van een reset van een wachtwoord na een bepaald aantal mislukte inlogpogingen.
• Na een bepaald aantal mislukte pogingen worden verdere aanmeldingen verijdeld. Om dit te voorkomen, stelt u een limiet in.
6. Voor controle en veiligheid wordt elke mislukte inlogpoging genoteerd, ook voor strafrechtelijke en/of regelgevende procedures.
7. Bij grote inlogverschillen, zoals een vermoedelijke inbraak, moet onmiddellijk een beveiligingsincident worden gestart. Intern personeel, met name degenen met systeembeheerderstoegang of de mogelijkheid kwaadwillige inlogpogingen te dwarsbomen, moet onmiddellijk op de hoogte worden gesteld.
8. Zodra een succesvolle login is bevestigd, moeten bepaalde gegevens naar een andere repository worden verzonden, met details over:
• De laatste succesvolle aanmelding vond plaats op [datum] om [tijd].
• Registratie van alle inlogpogingen sinds de laatste geverifieerde aanmelding.
9. Geef wachtwoorden weer als asterisken of andere soortgelijke abstracte symbolen, tenzij er een reden is om dit niet te doen (bijvoorbeeld toegankelijkheid voor gebruikers).
10. Er wordt niet getolereerd dat wachtwoorden worden gedeeld of weergegeven in gewone, leesbare tekst.
11. Zorg ervoor dat inactieve inlogsessies na een bepaald tijdsbestek worden beëindigd. Dit is vooral relevant voor sessies op locaties met een hoog risico (afstandswerk situaties) of op apparaten die eigendom zijn van de gebruiker, zoals persoonlijke laptops of mobiele telefoons.
12. Beperk de duur gedurende welke een geauthenticeerde sessie open mag blijven, zelfs als deze actief is, afhankelijk van de gegevens waartoe toegang wordt verkregen (bijvoorbeeld essentiële bedrijfsinformatie of geldgerelateerde programma's).

Richtlijnen voor biometrische logins

De Internationale Organisatie voor Standaardisatie dringt erop aan dat biometrische inlogprocessen op zijn minst worden gecombineerd nog een andere inlogtechniek, vanwege hun relatieve effectiviteit en integriteit in vergelijking met traditionele methoden zoals wachtwoorden, MFA en tokens.

Wijzigingen en verschillen ten opzichte van ISO 27001:2013

ISO 27001:2022 bijlage A 8.5 vervangt ISO 27001:2013 Bijlage A 9.4.2 (Beveiligde inlogprotocollen).

ISO 27001:2022 Bijlage A 8.5 is een herziening van de versie uit 2013, met kleine wijzigingen in de taal en dezelfde beveiligingsprincipes die eraan ten grondslag liggen. Het document bevat nog steeds de 12 bekende richtpunten.

In lijn met het toegenomen gebruik van multi-factor authenticatie en biometrische login-technologieën in de afgelopen tien jaar, biedt ISO 27001:2022 Annex A 8.5 expliciete instructies over hoe organisaties deze technieken moeten integreren bij het formuleren van hun eigen login-controles.

Tabel met alle ISO 27001:2022 bijlage A-controles

In de onderstaande tabel vindt u meer informatie over elk individu ISO 27001:2022 bijlage A Controle.

Hoe ISMS.online helpt

Ons cloudgebaseerde platform voorziet u van een sterk raamwerk van informatiebeveiliging controles om het ISMS-proces te ondersteunen en ervoor te zorgen dat het voldoet aan de ISO 27001:2022-criteria. Correct gebruikt, ISMS.online kan u helpen bij het behalen van de certificering met minimale tijd en middelen.

Neem vandaag nog contact met ons op een demonstratie organiseren.