ISO 27002:2022, Controle 5.15 – Toegangscontrole

Algemene richtlijnen

Naleving van Controle 5.15 houdt in dat u zich houdt aan wat bekend staat als: ‘themaspecifieke’ aanpak tot toegangscontrole (beter bekend als een 'probleemspecifieke' aanpak).

Themaspecifieke benaderingen moedigen organisaties aan om Access te creëren Controlebeleid die zijn afgestemd op individuele bedrijfsfuncties, in plaats van zich te houden aan een algemeen toegangscontrolebeleid dat van toepassing is op de toegang tot gegevens en bronnen over de hele linie.

Control 5.15 vereist dat het toegangscontrolebeleid voor alle onderwerpspecifieke gebieden rekening houdt met de volgende 11 richtlijnen. Sommige van de onderstaande begeleidingspunten kruisen verschillende andere bedieningselementen, die ter referentie worden vermeld.

Organisaties moeten deze begeleidende controles geval per geval raadplegen voor meer informatie.

• Bepaal welke entiteiten toegang nodig hebben tot bepaalde delen van informatie en/of activa.
  
  

  Conformiteit – Dit kunt u eenvoudig bereiken door nauwkeurig de functies en vereisten voor gegevenstoegang bij te houden, die in lijn zijn met uw organisatiestructuur.

• De integriteit en veiligheid van alle relevante applicaties (gekoppeld aan Controle 8.2)
  
  

  Conformiteit - Een formele risico-evaluatie kunnen worden uitgevoerd om de beveiligingskenmerken van individuele toepassingen te onderzoeken.

• Fysieke (locatie)toegangscontroles (gekoppeld aan Controles 7.2, 7.3 en 7.4)
  
  

  Conformiteit – Uw organisatie moet kunnen aantonen dat u over een robuust geheel van toegangscontroles voor gebouwen en ruimtes beschikt, inclusief beheerde toegangssystemen, beveiligingsperimeters en bezoekersprocedures, indien van toepassing.

• Een bedrijfsbreed ‘need to know’-principe als het gaat om informatiedistributie, beveiliging en categorisering (gekoppeld aan 5.10, 5.12 en 5.13)
  
  

  Conformiteit – Bedrijven moeten zich houden aan een strikt best-practicebeleid dat geen algemene toegang biedt tot gegevens in het hele organisatieschema.

• Zorg voor beperkingen op bevoorrechte toegangsrechten (gekoppeld aan 8.2)
  
  

  Conformiteit – Gegevenstoegangsrechten die verder gaan dan die van een standaardgebruiker moeten nauwlettend in de gaten worden gehouden gecontroleerd en gecontroleerd.

• Naleving van geldende wetgeving, sectorspecifieke regelgevingsrichtlijnen of contractuele verplichtingen met betrekking tot gegevenstoegang (gekoppeld aan 5.31, 5.32, 5.33, 5.34 en 8.3)
  
  

  Conformiteit – Organisaties stemmen hun eigen toegangscontrolebeleid af op de externe verplichtingen die zij hebben met betrekking tot de toegang tot gegevens, activa en bronnen.

• Toezicht op mogelijke plichtsconflicten
  
  

  Conformiteit – Beleid moet controles omvatten die de mogelijkheid van een individu elimineren om een ​​bredere toegangscontrolefunctie in gevaar te brengen, gebaseerd op zijn eigen toegangsniveau (dat wil zeggen een werknemer die de mogelijkheid heeft om wijzigingen aan een netwerk aan te vragen, te autoriseren en te implementeren).

• De drie belangrijkste functies van een toegangscontrolebeleid – verzoeken, autorisaties en beheer – moeten afzonderlijk worden aangepakt
  
  

  Conformiteit – In het toegangscontrolebeleid moet worden erkend dat hoewel toegangscontrole een op zichzelf staande functie is, deze bestaat uit een aantal afzonderlijke stappen die per onderwerp hun eigen eisen met zich meebrengen.

• Toegangsverzoeken moeten op een gestructureerde, formele manier worden afgehandeld (gekoppeld aan 5.16 en 5.18)
  
  

  Conformiteit – Organisaties moeten een autorisatieproces implementeren dat formele, gedocumenteerde goedkeuring van een geschikt personeelslid vereist.

• Doorlopend beheer van toegangsrechten (gekoppeld aan 5.18)
  
  

  Conformiteit – Gegevensintegriteit en veiligheidsgrenzen moeten worden gehandhaafd door middel van een voortdurende cyclus van periodieke audits, HR-toezicht (verlaters enz.) en functiespecifieke veranderingen (bijvoorbeeld afdelingswisselingen en rolwijzigingen).

• Het bijhouden van adequate logboeken en het controleren van de toegang daartoe
  
  

  Conformiteit – De organisatie moet gegevens over toegangsgebeurtenissen (bijv. bestandsactiviteit) verzamelen en opslaan, naast bescherming tegen ongeoorloofde toegang tot logboeken van beveiligingsgebeurtenissen, en werken met een uitgebreide set van probleembehandeling procedures.

Richtlijnen voor het implementeren van regels voor toegangscontrole

Zoals we hebben besproken, worden toegangsbeheerregels toegekend aan verschillende entiteiten (menselijk en niet-menselijk) die op een bepaald netwerk bestaan, die op hun beurt 'rollen' krijgen die hun algemene vereisten dicteren.

Terwijl uw organisatie haar eigen set toegangscontrolebeleid definieert en implementeert, wordt u in 5.15 gevraagd de volgende vier punten in overweging te nemen:

1. Zorg voor consistentie tussen het toegangsrecht en het soort gegevens waarop het van toepassing is.
2. Zorg voor consistentie tussen het toegangsrecht en de fysieke veiligheidseisen van uw organisatie (perimeters enz.).
3. Wanneer uw organisatie opereert in een gedistribueerde computeromgeving die meerdere afzonderlijke netwerken of groepen bronnen omvat (zoals een cloudgebaseerde omgeving), houden toegangsrechten rekening met de implicaties van gegevens die zich in een breed scala aan netwerkdiensten bevinden.
4. Houd rekening met de implicaties van dynamische toegangscontroles (een granulaire toegangsmethode die door systeembeheerders wordt geïmplementeerd tot een gedetailleerde reeks variabelen).

Documentatie en gedefinieerde verantwoordelijkheden

Controle 5.15 is expliciet in de eis dat organisaties zich moeten bezighouden met documentatie en een gestructureerde lijst van verantwoordelijkheden. ISO 27002 bevat talloze vergelijkbare eisen over de hele lijst met controles – hier zijn de individuele controles die het meest relevant zijn voor 5.15:

Documentatie

• 5.16
• 5.17
• 5.18
• 8.2
• 8.3
• 8.4
• 8.5
• 8.18

Verantwoordelijkheden

• 5.2
• 5.17

granularity

Control 5.15 geeft organisaties een aanzienlijke hoeveelheid speelruimte als het gaat om het kiezen van het granulariteitsniveau in hun toegangscontroleregels.

ISO adviseert bedrijven om hun eigen oordeel te vellen over hoe gedetailleerd een bepaalde set regels per werknemer moet zijn, en hoeveel toegangsvariabelen op welk stukje data dan ook worden toegepast.

5.15 erkent expliciet dat hoe gedetailleerder het toegangscontrolebeleid van een bedrijf is, hoe hoger de kosten en hoe moeilijker het hele concept van toegangscontrole wordt voor meerdere locaties, netwerktypen en applicatievariabelen.

Toegangscontrole als concept kan, tenzij het nauwlettend wordt beheerd, snel uit de hand lopen. Het is bijna altijd een goed idee om de regels voor toegangscontrole te vereenvoudigen, zodat ze eenvoudiger en kosteneffectiever te beheren zijn.

Wijzigingen ten opzichte van ISO 27002:2013

27002:2013/5.15 is een samensmelting van twee vergelijkbare controles in 27002:2013 – 9.1.1 (Toegangscontrolebeleid) en 9.1.2 (Toegang tot netwerken en netwerkdiensten).

Over het algemeen behandelen zowel 9.1.1 als 9.1.2 dezelfde onderliggende thema's als 5.15 en volgen ze in grote lijnen dezelfde reeks bestuursrichtlijnen, met enkele subtiele operationele verschillen.

Zowel de controles van 2022 als die van 2013 hebben betrekking op het beheer van de toegang tot informatie, activa en middelen en werken volgens een ‘need to know’-principe dat bedrijfsgegevens behandelt als handelswaar die zorgvuldig moet worden beheerd en beschermd.

Alle elf richtlijnen van 27002:2013/9.1.1 volgen dezelfde algemene lijnen als die in 11:27002/2013, waarbij de laatste een iets grotere nadruk legt op fysieke veiligheid en perimeterbeveiliging.

De ondersteunende richtlijnen voor de implementatie van toegangscontrole zijn in grote lijnen hetzelfde, maar de 2022-controle biedt veel beter beknopte, praktische begeleiding voor de vier implementatierichtlijnen.

Wijzigingen in soorten toegangscontroles vanaf 9.1.1

5.15 erkent de verschillende soorten toegangscontrolemethoden die de afgelopen negen jaar zijn ontstaan ​​(MAC, DAC, ABAC), terwijl 9:27002/2013 zijn richtlijnen beperkt tot RBAC – de meest gebruikelijke methode voor commerciële toegangscontrole op dat moment .

granularity

In combinatie met technologische veranderingen die organisaties meer controle over hun gegevens bieden, bevat geen van de controles van 2013 enige betekenisvolle aanwijzingen over hoe een organisatie gedetailleerde toegangscontroles moet aanpakken, terwijl 27002:2013/5.15 organisaties een aanzienlijke hoeveelheid speelruimte geeft.