ISO 27002:2022, Controle 5.17 – Authenticatie-informatie

Eigendom van zeggenschap 5.17

Gezien het feit dat Controle 5.17 het vaststellen en implementeren van regels, procedures en maatregelen voor de hele organisatie voor de toewijzing en het beheer van authenticatie-informatie inhoudt, moeten informatiebeveiligingsfunctionarissen verantwoordelijk zijn voor de naleving van Controle 5.17.

Richtlijnen voor de toewijzing van authenticatie-informatie

Organisaties moeten voldoen aan de volgende zes vereisten voor de toewijzing en het beheer van authenticatie-informatie:

• Wanneer persoonlijke wachtwoorden of persoonlijke identificatienummers automatisch worden gegenereerd voor de inschrijving van nieuwe gebruikers, mogen deze niet te raden zijn. Bovendien moeten wachtwoorden uniek zijn voor elke gebruiker en moet het verplicht zijn om wachtwoorden na het eerste gebruik te wijzigen.
• Organisaties moeten robuuste procedures opzetten om de identiteit van een gebruiker te authenticeren voordat hij/zij nieuwe of vervangende authenticatie-informatie krijgt of hij/zij tijdelijke informatie krijgt.
• Organisaties moeten zorgen voor de veilige overdracht van authenticatie-informatie naar individuen via beveiligde kanalen en zij mogen deze informatie niet via onveilige elektronische berichten (bijvoorbeeld leesbare tekst) verzenden.
• Gebruikers moeten de ontvangst van de authenticatie-informatie bevestigen.
• Nadat nieuwe IT-systemen en softwareprogramma's zijn geïnstalleerd, moeten organisaties de standaardauthenticatie-informatie onmiddellijk wijzigen.
• Organisaties moeten registraties bijhouden en bijhouden van alle belangrijke gebeurtenissen die verband houden met het beheer en de toewijzing van authenticatie-informatie. Bovendien moeten deze gegevens vertrouwelijk worden behandeld en moeten methoden voor het bijhouden van gegevens worden toegestaan, bijvoorbeeld door het gebruik van een goedgekeurde wachtwoordtool.

Richtlijnen voor de verantwoordelijkheden van gebruikers

Gebruikers die toegang hebben tot authenticatie-informatie en deze kunnen gebruiken, moeten worden geïnstrueerd om aan het volgende te voldoen:

1. Gebruikers moeten de vertrouwelijkheid van geheime authenticatie-informatie, zoals wachtwoorden, bewaren en mogen dergelijke geheime informatie met niemand anders delen. Wanneer meerdere gebruikers betrokken zijn bij het gebruik van authenticatie-informatie of de informatie is gekoppeld aan niet-persoonlijke entiteiten, mag de authenticatie-informatie niet worden bekendgemaakt aan onbevoegde personen.
2. Gebruikers moeten hun wachtwoord onmiddellijk wijzigen als de vertrouwelijkheid van hun wachtwoorden in gevaar komt.
3. Gebruikers moeten moeilijk te raden sterke wachtwoorden selecteren door de best practices uit de branche te volgen. Bijvoorbeeld:
• Wachtwoorden mogen niet worden geselecteerd op basis van persoonlijke informatie die gemakkelijk te verkrijgen is, zoals namen of geboortedata.
• Wachtwoorden mogen niet worden gemaakt op basis van iets dat gemakkelijk te raden is.
• Wachtwoorden mogen geen woordenboekwoorden of combinaties van deze woorden bevatten.
• In het wachtwoord moeten alfanumerieke en speciale tekens worden gebruikt.
• Er moet een minimale lengte zijn voor wachtwoorden.
4. Gebruikers mogen niet hetzelfde wachtwoord gebruiken voor verschillende diensten.
5. Organisaties moeten de vereisten voor het aanmaken en gebruiken van wachtwoorden opnemen in hun arbeidsovereenkomsten met hun werknemers.

Richtlijnen voor wachtwoordbeheersystemen

Organisaties moeten aan het volgende voldoen bij het opzetten van een wachtwoordbeheersysteem:

• Gebruikers moeten de mogelijkheid krijgen om hun wachtwoorden aan te maken en te wijzigen, en er moet een bevestigingsprocedure bestaan ​​om ervoor te zorgen dat invoerfouten worden geïdentificeerd en opgelost.
• Organisaties moeten een sterk wachtwoordselectieproces implementeren, waarbij rekening wordt gehouden met de beste praktijken in de sector voor wachtwoordselectie.
• Gebruikers moeten worden gedwongen hun standaardwachtwoorden te wijzigen nadat ze voor het eerst toegang hebben gekregen tot een systeem.
• Wachtwoordwijzigingen moeten worden doorgevoerd wanneer dit nodig is. Wachtwoordwijziging zal bijvoorbeeld nodig zijn na een beveiligingsincident of na de beëindiging van een dienstverband met een gebruiker als die gebruiker toegang heeft tot wachtwoorden.
• Eerdere wachtwoorden mogen niet opnieuw worden gebruikt.
• Het gebruik van veelgebruikte wachtwoorden of gecompromitteerde wachtwoorden of gebruikersnamen die worden gebruikt voor toegang tot gehackte systemen moet worden verboden.
• Wanneer wachtwoorden worden ingevoerd, moeten deze in platte tekst op het scherm zichtbaar zijn.
• Wachtwoorden moeten worden opgeslagen en overgedragen via beveiligde kanalen en in een veilig formaat.

Bovendien moeten organisaties hashing- en encryptietechnieken toepassen in overeenstemming met de geautoriseerde cryptografiemethoden voor wachtwoorden zoals uiteengezet in Controle 8.24.

Aanvullend richtsnoer voor controle 5.17

Naast wachtwoorden zijn er nog andere soorten authenticatie-informatie, zoals cryptografische sleutels, smartcards en biometrische gegevens zoals vingerafdrukken.

Organisaties wordt geadviseerd de ISO/IEC 24760-serie te raadplegen voor meer gedetailleerde richtlijnen over authenticatie-informatie.

Gezien het feit dat het regelmatig wijzigen van wachtwoorden omslachtig en vervelend kan zijn voor gebruikers, kunnen organisaties overwegen alternatieve methoden te implementeren, zoals eenmalige aanmelding of wachtwoordkluizen. Er moet echter worden opgemerkt dat deze alternatieve methoden authenticatie-informatie kunnen blootstellen aan een groter risico op ongeoorloofde openbaarmaking.

Wijzigingen en verschillen ten opzichte van ISO 27002:2013

27002:2022/5.17 vervangt 27002:2013/(9.2.4, 9.3.1 9.4.3)

De 2022-versie bevat een nieuwe vereiste voor de toewijzing en het beheer van authenticatie-informatie

Hoewel de versie van 2013 en de versie van 2022 sterk op elkaar lijken wat betreft de vereisten voor toewijzing en beheer van authenticatie-informatie, introduceert Controle 5.17 in de versie van 2022 de volgende vereiste, die niet was opgenomen in de versie van 2013:

• Organisaties moeten registraties bijhouden en bijhouden van alle belangrijke gebeurtenissen die verband houden met het beheer en de toewijzing van authenticatie-informatie. Bovendien moeten deze gegevens vertrouwelijk worden behandeld en moeten methoden voor het bijhouden van gegevens worden toegestaan, bijvoorbeeld door het gebruik van een goedgekeurde wachtwoordtool.

Controle 5.17 in de 2022-versie bevat een aanvullende vereiste voor het gebruik van authenticatie-informatie

Controle 5.17 introduceert de volgende vereiste voor gebruikersverantwoordelijkheden waarnaar niet werd verwezen in Controle 9.3.1 in de versie van 2013.

• Organisaties moeten de vereisten voor het aanmaken en gebruiken van wachtwoorden opnemen in hun arbeidsovereenkomsten met hun werknemers en personeel.

De versie van 2013 bevatte aanvullende vereisten voor gebruikersverantwoordelijkheden die niet waren opgenomen in de versie van 2022

In tegenstelling tot de 2022-versie bevatte Control 9.3.1 de volgende vereiste voor het gebruik van authenticatie-informatie:

• Gebruikers mogen niet dezelfde authenticatie-informatie, zoals een wachtwoord, gebruiken voor zowel zakelijke als niet-zakelijke doeleinden.

De versie van 2013 bevatte een aanvullende vereiste voor wachtwoordbeheersystemen die niet was opgenomen in de versie van 2022

Controle 9.4.3 in de versie van 2013 bevatte de volgende vereiste voor wachtwoordbeheersystemen.

• Bestanden met wachtwoorden moeten worden gehost in een systeem dat gescheiden is van de applicatiesysteemgegevens.

Controle 5.17 in de versie van 2022 bevatte deze vereiste daarentegen niet.

Hoe ISMS.online helpt

ISMS.Online helpt organisaties en bedrijven te voldoen aan de vereisten van ISO 27002 door hen een platform te bieden waarmee ze eenvoudig hun vertrouwelijkheids- of geheimhoudingsbeleid en -procedures kunnen beheren, indien nodig kunnen bijwerken, testen en de effectiviteit ervan kunnen controleren.

Wij bieden een cloudgebaseerd platform voor het beheer van vertrouwelijkheids- en informatiebeveiligingsbeheersystemen, inclusief geheimhoudingsclausules, risicobeheer, beleid, plannen en procedures, op één centrale locatie. Het platform is eenvoudig te gebruiken en heeft een intuïtieve interface waardoor u eenvoudig kunt leren hoe u het moet gebruiken.

Neem vandaag nog contact met ons op een demo plannen.