Doel van de controle 8.2
Kwaadwillig of onjuist gebruik van verhoogde systeembeheerdersrechten is een van de belangrijkste oorzaken van ICT-verstoring in commerciële netwerken over de hele wereld.
Met bevoorrechte toegangsrechten kunnen organisaties de toegang tot hun infrastructuur, applicaties en activa controleren en de integriteit van alle opgeslagen gegevens en systemen behouden.
Controle 8.2 is een preventieve controle uit die houdt het risico in stand door het instellen van een machtiging proces dat alle verzoeken om toegang afhandelt binnen het ICT-netwerk van een organisatie en de bijbehorende middelen.
Attributen Controletabel 8.2
| controle Type | Eigenschappen voor informatiebeveiliging | Cyberbeveiligingsconcepten | Operationele mogelijkheden | Beveiligingsdomeinen |
|---|---|---|---|---|
| #Preventief | #Vertrouwelijkheid | #Beschermen | #Identiteits- en toegangsbeheer | #Bescherming |
| #Integriteit | ||||
| #Beschikbaarheid |
Eigendom van zeggenschap 8.2
Controle 8.6 gaat over een het vermogen van de organisatie om de toegang te controleren tot gegevens via gebruikersaccounts die uitgebreide toegangsrechten genieten.
Als zodanig moet het eigendom berusten bij het hoofd IT (of het equivalent van de organisatie), dat de leiding heeft verantwoordelijkheid voor de organisatie mogelijkheid om bevoorrechte domein- of applicatiegebruikersaccounts te beheren en te monitoren.
ISO 27001 eenvoudig gemaakt
Een voorsprong van 81% vanaf dag één
Wij hebben het harde werk voor u gedaan, waardoor u vanaf het moment dat u inlogt een voorsprong van 81% heeft. U hoeft alleen nog maar de lege plekken in te vullen.
Algemene richtlijnen voor controle 8.2
Controle 8.2 schetst 12 belangrijke begeleidingspunten organisaties nodig hebben te volgen, in overeenstemming met een “onderwerpspecifiek” beleid inzake toegangscontrole (zie Controle 5.15) dat gericht is op individuele bedrijfsfuncties.
Organisaties moeten:
- Identificeer een lijst met gebruikers die enige mate van geprivilegieerde toegang nodig hebben – voor een individueel systeem – zoals een database-applicatie of een onderliggend besturingssysteem.
- Handhaaf een beleid dat geprivilegieerde toegangsrechten toewijst aan gebruikers op basis van wat bekend staat als een “gebeurtenis per gebeurtenis” – gebruikers moeten toegangsniveaus krijgen op basis van het absolute minimum dat nodig is om hun rol uit te voeren.
- Het schetsen van een duidelijk autorisatieproces dat alle verzoeken om geprivilegieerde toegang behandelt, inclusief het bijhouden van alle toegangsrechten die zijn geïmplementeerd.
- Zorg ervoor dat toegangsrechten onderworpen zijn aan relevante vervaldata.
- Neem stappen om ervoor te zorgen dat gebruikers dat ook doen expliciet op de hoogte van elke periode waarin zij opereren met bevoorrechte toegang tot een systeem.
- Waar relevant wordt gebruikers gevraagd zich opnieuw te authenticeren voordat ze geprivilegieerde toegangsrechten gebruiken, om een grotere informatie-/gegevensbeveiliging te bewerkstelligen.
- Voer periodieke audits uit van geprivilegieerde toegangsrechten, vooral na een periode van organisatorische veranderingen. De toegangsrechten van gebruikers moeten worden beoordeeld op basis van hun “plichten, rollen, verantwoordelijkheden en bevoegdheden” (zie Controle 5.18).
- Overweeg om te werken met een zogenoemde 'breekglas'-procedure – dat wil zeggen ervoor zorgen dat geprivilegieerde toegangsrechten worden verleend binnen strak gecontroleerde tijdvensters die voldoen aan de minimale vereisten voor een uit te voeren bewerking (kritieke wijzigingen, systeembeheer, enz.).
- Zorg ervoor dat alle activiteiten met bevoorrechte toegang dienovereenkomstig worden geregistreerd.
- Voorkom het gebruik van generieke systeeminloggegevens (vooral gestandaardiseerde gebruikersnamen en wachtwoorden) (zie Controle 5.17).
- Houd u aan het beleid om gebruikers een afzonderlijke identiteit toe te wijzen, waardoor een strengere controle over bevoorrechte toegangsrechten mogelijk is. Dergelijke identiteiten kunnen vervolgens worden gegroepeerd, waarbij de bijbehorende groep verschillende niveaus van toegangsrechten krijgt.
- Zorg ervoor dat geprivilegieerde toegangsrechten alleen worden gereserveerd voor kritieke taken die betrekking hebben op de voortdurende werking van een functionerend ICT-netwerk – zoals systeembeheer en netwerkonderhoud.
Ondersteunende controles
- 5.15
Bevrijd jezelf van een berg spreadsheets
Integreer, breid uit en schaal uw compliance, zonder rommel. IO geeft u de veerkracht en het vertrouwen om veilig te groeien.
Wijzigingen en verschillen ten opzichte van ISO 27002:2013
Controle 27002:2022-8.2 vervangt 27002:2013-9.2.3 (Beheer van geprivilegieerde toegangsrechten).
27002:2022-8.2 bevat 5 belangrijke richtpunten die niet expliciet zijn in de tegenhanger van 2013:
- 27002:2022-8.2 vereist niet expliciet een ander gebruikers-ID voor bevoorrechte toegangsrechten.
- 27002:2022-8.2 benadrukt de noodzaak om opnieuw te authenticeren voordat u bevoorrechte toegangsrechten ontvangt.
- 27002:2022-8.2 pleit voor een breekglasaanpak bij het uitvoeren van kritische onderhoudstaken, gebaseerd op strak gecontroleerde tijdvensters.
- 27002:2022-8.2 vraagt organisaties om grondige logboeken voor geprivilegieerde toegang bij te houden, voor auditdoeleinden.
- 27002:2022-8.2 vraagt organisaties om het gebruik van geprivilegieerde toegangsrechten tot administratieve taken te beperken.
Nieuwe ISO 27002-controles
| ISO/IEC 27002:2022 Controle-identificatie | ISO/IEC 27002:2013 Controle-identificatie | Controle naam |
|---|---|---|
| 5.7 | NIEUW | Bedreigingsintelligentie |
| 5.23 | NIEUW | Informatiebeveiliging voor gebruik van clouddiensten |
| 5.30 | NIEUW | ICT gereed voor bedrijfscontinuïteit |
| 7.4 | NIEUW | Fysieke beveiligingsmonitoring |
| 8.9 | NIEUW | Configuratiebeheer |
| 8.10 | NIEUW | Verwijdering van informatie |
| 8.11 | NIEUW | Gegevensmaskering |
| 8.12 | NIEUW | Preventie van gegevenslekken |
| 8.16 | NIEUW | Monitoring activiteiten |
| 8.23 | NIEUW | Web filtering |
| 8.28 | NIEUW | Veilige codering |
| ISO/IEC 27002:2022 Controle-identificatie | ISO/IEC 27002:2013 Controle-identificatie | Controle naam |
|---|---|---|
| 6.1 | 07.1.1 | Doorlichting |
| 6.2 | 07.1.2 | Arbeidsvoorwaarden |
| 6.3 | 07.2.2 | Bewustzijn, opleiding en training op het gebied van informatiebeveiliging |
| 6.4 | 07.2.3 | Disciplinair proces |
| 6.5 | 07.3.1 | Verantwoordelijkheden na beëindiging of verandering van dienstverband |
| 6.6 | 13.2.4 | Vertrouwelijkheids- of geheimhoudingsovereenkomsten |
| 6.7 | 06.2.2 | Werken op afstand |
| 6.8 | 16.1.2, 16.1.3 | Rapportage van informatiebeveiligingsgebeurtenissen |
| ISO/IEC 27002:2022 Controle-identificatie | ISO/IEC 27002:2013 Controle-identificatie | Controle naam |
|---|---|---|
| 7.1 | 11.1.1 | Fysieke veiligheidsperimeters |
| 7.2 | 11.1.2, 11.1.6 | Fysieke toegang |
| 7.3 | 11.1.3 | Beveiligen van kantoren, kamers en faciliteiten |
| 7.4 | NIEUW | Fysieke beveiligingsmonitoring |
| 7.5 | 11.1.4 | Bescherming tegen fysieke en ecologische bedreigingen |
| 7.6 | 11.1.5 | Werken in beveiligde ruimtes |
| 7.7 | 11.2.9 | Overzichtelijk bureau en helder scherm |
| 7.8 | 11.2.1 | Locatie en bescherming van apparatuur |
| 7.9 | 11.2.6 | Beveiliging van activa buiten het terrein |
| 7.10 | 08.3.1, 08.3.2, 08.3.3, 11.2.5 | Opslag media |
| 7.11 | 11.2.2 | Ondersteunende nutsvoorzieningen |
| 7.12 | 11.2.3 | Beveiliging van de bekabeling |
| 7.13 | 11.2.4 | Apparatuuronderhoud |
| 7.14 | 11.2.7 | Veilige verwijdering of hergebruik van apparatuur |
Hoe ISMS.online helpt
ISO 27002, Controle 6.6, heeft betrekking op de noodzaak voor organisaties om het lekken van vertrouwelijke informatie te voorkomen door het opzetten van vertrouwelijkheidsovereenkomsten met geïnteresseerde partijen en personeel.
Ons cloudgebaseerde platform biedt een complete set tools om organisaties te helpen bij het opzetten van een managementsysteem voor informatiebeveiliging (ISMS) volgens ISO 27002 .
Deze tools omvatten:
- Een bibliotheek met sjablonen voor algemene bedrijfsdocumenten.
- Een reeks vooraf gedefinieerde beleidslijnen en procedures.
- Een audittool ter ondersteuning van interne audits.
- Een configuratie-interface voor maatwerk ISMS-beleid en procedures.
- Een goedkeuringsworkflow voor alle wijzigingen in beleid en procedures.
- Een checklist om ervoor te zorgen dat uw beleid en informatiebeveiligingsprocessen voldoen aan de goedgekeurde internationale normen.
Met ISMS.Online kunnen gebruikers ook:
- Beheer alle aspecten van het ISMS levenscyclus met gemak.
- Krijg realtime inzicht in hun beveiligingspositie en compliance-lacunes.
- Integreer met andere systemen zoals HR, financiën en projectmanagement.
- Demonstreer naleving van hun ISMS met ISO 27001 normen.
De ISMS.Online-tool biedt ook richtlijnen voor de beste manier om uw ISMS te implementeren door tips te geven over hoe u beleid en procedures kunt opstellen met betrekking tot aspecten als risicobeheer, training van personeelsbewustzijn op het gebied van beveiliging en planning van incidentrespons.
