ISO 27002:2022, Controle 8.2 – Bevoorrechte toegangsrechten

Algemene richtlijnen voor controle 8.2

Controle 8.2 schetst 12 belangrijke begeleidingspunten organisaties nodig hebben te volgen, in overeenstemming met een “onderwerpspecifiek” beleid inzake toegangscontrole (zie Controle 5.15) dat gericht is op individuele bedrijfsfuncties.

Organisaties moeten:

1. Identificeer een lijst met gebruikers die enige mate van geprivilegieerde toegang nodig hebben – voor een individueel systeem – zoals een database-applicatie of een onderliggend besturingssysteem.
2. Handhaaf een beleid dat geprivilegieerde toegangsrechten toewijst aan gebruikers op basis van wat bekend staat als een “gebeurtenis per gebeurtenis” – gebruikers moeten toegangsniveaus krijgen op basis van het absolute minimum dat nodig is om hun rol uit te voeren.
3. Het schetsen van een duidelijk autorisatieproces dat alle verzoeken om geprivilegieerde toegang behandelt, inclusief het bijhouden van alle toegangsrechten die zijn geïmplementeerd.
4. Zorg ervoor dat toegangsrechten onderworpen zijn aan relevante vervaldata.
5. Neem stappen om ervoor te zorgen dat gebruikers dat ook doen expliciet op de hoogte van elke periode waarin zij opereren met bevoorrechte toegang tot een systeem.
6. Waar relevant wordt gebruikers gevraagd zich opnieuw te authenticeren voordat ze geprivilegieerde toegangsrechten gebruiken, om een ​​grotere informatie-/gegevensbeveiliging te bewerkstelligen.
7. Voer periodieke audits uit van geprivilegieerde toegangsrechten, vooral na een periode van organisatorische veranderingen. De toegangsrechten van gebruikers moeten worden beoordeeld op basis van hun “plichten, rollen, verantwoordelijkheden en bevoegdheden” (zie Controle 5.18).
8. Overweeg om te werken met een zogenoemde 'breekglas'-procedure – dat wil zeggen ervoor zorgen dat geprivilegieerde toegangsrechten worden verleend binnen strak gecontroleerde tijdvensters die voldoen aan de minimale vereisten voor een uit te voeren bewerking (kritieke wijzigingen, systeembeheer, enz.).
9. Zorg ervoor dat alle activiteiten met bevoorrechte toegang dienovereenkomstig worden geregistreerd.
10. Voorkom het gebruik van generieke systeeminloggegevens (vooral gestandaardiseerde gebruikersnamen en wachtwoorden) (zie Controle 5.17).
11. Houd u aan het beleid om gebruikers een afzonderlijke identiteit toe te wijzen, waardoor een strengere controle over bevoorrechte toegangsrechten mogelijk is. Dergelijke identiteiten kunnen vervolgens worden gegroepeerd, waarbij de bijbehorende groep verschillende niveaus van toegangsrechten krijgt.
12. Zorg ervoor dat geprivilegieerde toegangsrechten alleen worden gereserveerd voor kritieke taken die betrekking hebben op de voortdurende werking van een functionerend ICT-netwerk – zoals systeembeheer en netwerkonderhoud.

Ondersteunende controles

• 5.15

Wijzigingen en verschillen ten opzichte van ISO 27002:2013

Controle 27002:2022-8.2 vervangt 27002:2013-9.2.3 (Beheer van geprivilegieerde toegangsrechten).

27002:2022-8.2 bevat 5 belangrijke richtpunten die niet expliciet zijn in de tegenhanger van 2013:

1. 27002:2022-8.2 vereist niet expliciet een ander gebruikers-ID voor bevoorrechte toegangsrechten.
2. 27002:2022-8.2 benadrukt de noodzaak om opnieuw te authenticeren voordat u bevoorrechte toegangsrechten ontvangt.
3. 27002:2022-8.2 pleit voor een breekglasaanpak bij het uitvoeren van kritische onderhoudstaken, gebaseerd op strak gecontroleerde tijdvensters.
4. 27002:2022-8.2 vraagt ​​organisaties om grondige logboeken voor geprivilegieerde toegang bij te houden, voor auditdoeleinden.
5. 27002:2022-8.2 vraagt ​​organisaties om het gebruik van geprivilegieerde toegangsrechten tot administratieve taken te beperken.

Hoe ISMS.online helpt

ISO 27002, Controle 6.6, heeft betrekking op de noodzaak voor organisaties om het lekken van vertrouwelijke informatie te voorkomen door het opzetten van vertrouwelijkheidsovereenkomsten met geïnteresseerde partijen en personeel.

Ons cloudgebaseerde platform biedt een complete set tools om organisaties te helpen bij het opzetten van een managementsysteem voor informatiebeveiliging (ISMS) volgens ISO 27002 .

Deze tools omvatten:

• Een bibliotheek met sjablonen voor algemene bedrijfsdocumenten.
• Een reeks vooraf gedefinieerde beleidslijnen en procedures.
• Een audittool ter ondersteuning van interne audits.
• Een configuratie-interface voor maatwerk ISMS-beleid en procedures.
• Een goedkeuringsworkflow voor alle wijzigingen in beleid en procedures.
• Een checklist om ervoor te zorgen dat uw beleid en informatiebeveiligingsprocessen voldoen aan de goedgekeurde internationale normen.

Met ISMS.Online kunnen gebruikers ook:

• Beheer alle aspecten van het ISMS levenscyclus met gemak.
• Krijg realtime inzicht in hun beveiligingspositie en compliance-lacunes.
• Integreer met andere systemen zoals HR, financiën en projectmanagement.
• Demonstreer naleving van hun ISMS met ISO 27001 normen.

De ISMS.Online-tool biedt ook richtlijnen voor de beste manier om uw ISMS te implementeren door tips te geven over hoe u beleid en procedures kunt opstellen met betrekking tot aspecten als risicobeheer, training van personeelsbewustzijn op het gebied van beveiliging en planning van incidentrespons.