ISO 27002:2022, Controle 5.18 – Toegangsrechten

Eigendom van zeggenschap 5.18

Een informatiebeveiligingsfunctionaris moet verantwoordelijk zijn voor het vaststellen, implementeren en beoordelen van passende regels, processen en controles voor het verstrekken, wijzigen en intrekken van toegangsrechten tot informatiesystemen.

Bij het toewijzen, wijzigen en intrekken van toegangsrechten moet de informatiebeveiligingsfunctionaris rekening houden met de bedrijfsbehoeften en nauw samenwerken met de eigenaren van informatiemiddelen om ervoor te zorgen dat de regels en processen worden nageleefd.

Leidraad voor het verlenen en intrekken van toegangsrechten

Organisaties moeten de volgende regels en controles opnemen in het proces voor het toewijzen en intrekken van toegangsrechten aan een geauthenticeerde persoon:

• De eigenaar van informatiemiddelen moet toestemming geven voor toegang tot en gebruik van relevante informatiemiddelen. Bovendien moeten organisaties ook overwegen om aparte goedkeuring van het management te vragen voor het verlenen van toegangsrechten.
• Er moet rekening worden gehouden met de zakelijke behoeften van de organisatie en haar beleid op het gebied van toegangscontrole.
• Organisaties moeten overwegen om taken te scheiden. Zo kunnen de goedkeuringstaak en de implementatie van toegangsrechten door afzonderlijke personen worden uitgevoerd.
• Wanneer een individu geen toegang meer nodig heeft tot informatiemiddelen, vooral wanneer hij of zij geen deel meer uitmaakt van de organisatie, moeten zijn toegangsrechten onmiddellijk worden ingetrokken.
• Aan personeel of ander personeel dat tijdelijk voor de organisatie werkt, kunnen tijdelijke toegangsrechten worden verleend. Deze rechten moeten worden ingetrokken wanneer ze niet langer voor de organisatie werken.
• Het toegangsniveau dat aan een individu wordt verleend, moet in overeenstemming zijn met het toegangscontrolebeleid van de organisatie en moet regelmatig worden beoordeeld en geverifieerd. Bovendien moet het ook in overeenstemming zijn met andere eisen op het gebied van informatiebeveiliging, zoals de scheiding van taken zoals uiteengezet in Controle 5.3.
• Organisaties moeten ervoor zorgen dat toegangsrechten pas worden geactiveerd als de juiste autorisatieprocedure is voltooid.
• Toegangsrechten die aan elke individuele identificatiecode worden verleend, zoals ID of fysiek, moeten worden aangemeld bij een centraal toegangscontrolebeheersysteem en dit systeem moet worden onderhouden.
• Als de rol of taken van een persoon veranderen, moet het niveau van de toegangsrechten worden bijgewerkt.
• Het verwijderen of wijzigen van fysieke of logische toegangsrechten kan op de volgende manieren worden uitgevoerd: Verwijderen of vervangen van sleutels, ID-kaarten of authenticatie-informatie.
• Wijzigingen in de fysieke en logische toegangsrechten van een gebruiker moeten op een systeem worden aangemeld en worden onderhouden.

Aanvullend richtsnoer voor de beoordeling van toegangsrechten

Fysieke en logische toegangsrechten moeten periodiek worden beoordeeld, waarbij rekening wordt gehouden met:

• Wijzigingen in de toegangsrechten van elke gebruiker nadat deze binnen dezelfde organisatie zijn gepromoveerd of gedegradeerd, of nadat hun dienstverband is beëindigd.
• Autorisatieprocedure voor het verlenen van bevoorrechte toegangsrechten.

Begeleiding bij verandering of beëindiging van dienstverband

Voordat een werknemer binnen dezelfde organisatie wordt gepromoveerd of gedegradeerd of wanneer zijn/haar dienstverband wordt beëindigd, moeten zijn/haar toegangsrechten tot informatieverwerkingssystemen worden geëvalueerd en aangepast, waarbij rekening wordt gehouden met de volgende risicofactoren:

• Of het beëindigingsproces wordt geïnitieerd door de werknemer of door de organisatie en de reden voor beëindiging.
• Huidige verantwoordelijkheden van de medewerker binnen de organisatie.
• Kritiek en waarde van informatiemiddelen die toegankelijk zijn voor de werknemer.

Aanvullende begeleiding

Organisaties moeten overwegen om gebruikerstoegangsrollen in te stellen op basis van hun zakelijke vereisten. Deze rollen moeten de typen en het aantal toegangsrechten omvatten die aan elke gebruikersgroep moeten worden verleend.

Door dergelijke rollen te creëren, wordt het eenvoudiger om toegangsaanvragen en rechten te beheren en te beoordelen.

Organisaties moeten contractuele bepalingen voor ongeoorloofde toegang en sancties voor dergelijke toegang opnemen in hun arbeids-/dienstencontracten met hun personeel. Dit moet in overeenstemming zijn met de controles 5.20, 6.2, 6.4 en 6.6.

Organisaties moeten voorzichtig zijn met ontevreden werknemers die door het management worden ontslagen omdat ze met opzet informatiesystemen kunnen beschadigen.

Als organisaties besluiten de kloontechnieken te gebruiken om toegangsrechten te verlenen, moeten ze dit uitvoeren op basis van verschillende rollen die door de organisatie zijn vastgesteld.

Opgemerkt moet worden dat klonen het inherente risico met zich meebrengt dat er buitensporige toegangsrechten worden verleend.

Wijzigingen en verschillen ten opzichte van ISO 27002:2013

27002:2022/5.18 vervangt 27002:2013/(9.2.2, 9.2.5, 9.2.6).

Versie 2022 bevat uitgebreidere vereisten voor het verlenen en intrekken van toegangsrechten

Hoewel Control 9.2.2 in de versie van 2013 zes vereisten vermeldde voor het toewijzen en intrekken van toegangsrechten, introduceert Control 5.18 in de versie van 2022 drie nieuwe vereisten naast deze zes vereisten:

• Aan personeel of ander personeel dat tijdelijk voor de organisatie werkt, kunnen tijdelijke toegangsrechten worden verleend. Deze rechten moeten worden ingetrokken wanneer zij geen werkzaamheden meer verrichten voor de organisatie.
• Het verwijderen of wijzigen van fysieke of logische toegangsrechten kan op de volgende manieren worden uitgevoerd: Verwijderen of vervangen van sleutels, ID-kaarten of authenticatie-informatie.
• Wijzigingen in de fysieke en logische toegangsrechten van een gebruiker moeten worden geregistreerd en onderhouden.

Versie 2013 bevat meer gedetailleerde vereisten voor geprivilegieerde toegangsrechten

In Control 9.5 in versie 2013 werd expliciet aangegeven dat organisaties de autorisatie voor geprivilegieerde toegangsrechten met frequentere tussenpozen moeten beoordelen dan voor andere toegangsrechten. Controle 5.18 in versie 2022 bevatte deze vereiste daarentegen niet.

Hoe ISMS.online helpt

ISMS.online is een cloudgebaseerd platform dat ondersteuning biedt bij het efficiënt en kosteneffectief implementeren van de ISO 2702-standaard.

Het biedt organisaties te allen tijde eenvoudig toegang tot actuele informatie over hun nalevingsstatus via de gebruiksvriendelijke dashboardinterface waarmee managers hun voortgang op het gebied van het bereiken van naleving snel en eenvoudig kunnen volgen.

Neem vandaag nog contact op met boek een demo.