Doel van de controle 8.3
Toegang tot informatie uit interne en externe bronnen is de hoeksteen van een het informatiebeveiligingsbeleid van de organisatie.
Controle 8.3 is een preventieve controle uit die houdt het risico in stand door een reeks regels en procedures vast te stellen die dit voorkomen ongeoorloofde toegang tot/misbruik van de informatie en ICT-middelen van een organisatie.
Attributen Controletabel 8.3
| controle Type | Eigenschappen voor informatiebeveiliging | Cyberbeveiligingsconcepten | Operationele mogelijkheden | Beveiligingsdomeinen |
|---|---|---|---|---|
| #Preventief | #Vertrouwelijkheid | #Beschermen | #Identiteits- en toegangsbeheer | #Bescherming |
| #Integriteit | ||||
| #Beschikbaarheid |
Eigendom van zeggenschap 8.3
Controle 8.3 gaat over het vermogen van een organisatie om toegang tot informatie controleren.
Als zodanig, Het eigendom moet berusten bij de Chief Information Security Officer (of organisatorisch equivalent), die verantwoordelijk is voor de algemene informatie- en gegevensbeveiligingspraktijken van de organisatie.
ISO 27001 eenvoudig gemaakt
Een voorsprong van 81% vanaf dag één
Wij hebben het harde werk voor u gedaan, waardoor u vanaf het moment dat u inlogt een voorsprong van 81% heeft. U hoeft alleen nog maar de lege plekken in te vullen.
Algemene richtlijnen voor controle 8.3
Om effectief te blijven controle over informatie en ICT-middelen, en ter ondersteuning van maatregelen voor toegangsbeperking moeten organisaties het volgende garanderen, in overeenstemming met a onderwerpspecifiek aanpak van toegang tot informatie:
- Voorkom anonieme toegang tot informatie, inclusief verreikende publieke toegang.
- Wanneer openbare toegang of toegang van derden wordt verleend, moeten organisaties ervoor zorgen dat de toegang zich niet uitstrekt tot gevoelige of bedrijfskritische gegevens.
- Werk met adequate onderhoudsmaatregelen die de toegang tot systemen en eventuele bijbehorende bedrijfsapplicaties of -processen controleren.
- Dicteer de toegang tot gegevens per gebruiker.
- Geef gegevenstoegangsrechten op tussen groepen die specifieke gegevensbewerkingen valideren, zoals lezen, schrijven, verwijderen en uitvoeren.
- Behoud de mogelijkheid om af te scheiden bedrijfskritische processen en applicaties met behulp van een reeks fysieke en digitale toegangscontroles.
Begeleiding – Dynamisch toegangsbeheer
Controle 8.3 pleit voor a dynamisch benadering van de toegang tot informatie.
Dynamisch toegangsbeheer heeft talloze resterende voordelen voor organisatorische processen waarbij de noodzaak bestaat om interne gegevens te delen of te gebruiken met externe gebruikers, waaronder snellere oplossingstijden voor incidenten.
Dynamische toegang managementtechnieken beschermen een breed scala aan informatie typen, van standaarddocumenten tot e-mails en database-informatie, en kunnen gedetailleerd per bestand worden toegepast, waardoor een strakke controle van gegevens op organisatieniveau mogelijk wordt.
Organisaties moeten een dergelijke aanpak overwegen wanneer:
- Het vereisen van gedetailleerde controle over welke menselijke en niet-menselijke gebruikers op welk moment dan ook toegang hebben tot dergelijke informatie.
- Er ontstaat een behoefte om informatie te delen met externe partijen (zoals leveranciers of toezichthouders).
- Overweeg een “real-time” benadering van databeheer en -distributie, waarbij het datagebruik wordt gemonitord en beheerd zodra het zich voordoet.
- Het beveiligen van informatie tegen ongeoorloofde wijzigingen, delen of afdrukken (afdrukken enz.).
- Het monitoren van de toegang tot en wijziging van informatie, vooral als het om informatie gaat die gevoelig is.
Dynamisch toegangsbeheer is met name van nut voor organisaties die gegevens moeten monitoren en beschermen, van creatie tot verwijdering, waaronder:
- Een gebruiksscenario (of een reeks gebruiksscenario's) schetsen waarin regels voor gegevenstoegang worden toegepast op basis van de volgende variabelen:
- Identiteit
- Apparaat
- Bestemming
- Aanvraag
- Een proces schetsen dat de operatie en bewaking van gegevens, en het opzetten van een grondig rapportageproces dat op zijn beurt wordt gevoed door een goede technische infrastructuur.
Alle inspanningen om een dynamische benadering van toegangsbeheer te formuleren moeten resulteren in: gegevens worden beschermd door:
- Ervoor zorgen dat toegang tot gegevens het eindresultaat is van een succesvol authenticatieproces.
- Een mate van beperkte toegang, gebaseerd op het gegevenstype en de impact ervan op de mogelijkheden bedrijfscontinuïteit.
- Versleuteling.
- Afdrukrechten.
- grondig controlelogboeken waarin wordt vastgelegd wie toegang heeft tot gegevens en hoe die gegevens worden gebruikt.
- Een waarschuwingsprocedure die ongepast gegevensgebruik signaleert, inclusief (maar niet beperkt tot) ongeautoriseerde toegang en distributie, en pogingen tot verwijdering.
Beheer al uw compliance op één plek
ISMS.online ondersteunt meer dan 100 normen en voorschriften, waardoor u één platform krijgt voor al uw compliancebehoeften.
Wijzigingen en verschillen ten opzichte van ISO 27002:2013
27002:2022-8.3 replaces 27002:2013-9.4.1 (Informatietoegangsbeperking), en vertegenwoordigt een belangrijke verschuiving in de manier waarop ISO het beheer van informatietoegang beschouwt in overeenstemming met de bovengenoemde dynamische benadering (een techniek die niet wordt genoemd in 27002:2013-9.4.1).
27002:2022-8.3 bevat een groot aantal richtlijnen met betrekking tot dynamisch toegangsbeheer die ontbreken in de tegenhanger uit 2013, en organisaties wordt geadviseerd deze per onderwerp te overwegen bij het aanvragen van certificering.
Nieuwe ISO 27002-controles
| ISO/IEC 27002:2022 Controle-identificatie | ISO/IEC 27002:2013 Controle-identificatie | Controle naam |
|---|---|---|
| 5.7 | NIEUW | Bedreigingsintelligentie |
| 5.23 | NIEUW | Informatiebeveiliging voor gebruik van clouddiensten |
| 5.30 | NIEUW | ICT gereed voor bedrijfscontinuïteit |
| 7.4 | NIEUW | Fysieke beveiligingsmonitoring |
| 8.9 | NIEUW | Configuratiebeheer |
| 8.10 | NIEUW | Verwijdering van informatie |
| 8.11 | NIEUW | Gegevensmaskering |
| 8.12 | NIEUW | Preventie van gegevenslekken |
| 8.16 | NIEUW | Monitoring activiteiten |
| 8.23 | NIEUW | Web filtering |
| 8.28 | NIEUW | Veilige codering |
| ISO/IEC 27002:2022 Controle-identificatie | ISO/IEC 27002:2013 Controle-identificatie | Controle naam |
|---|---|---|
| 6.1 | 07.1.1 | Doorlichting |
| 6.2 | 07.1.2 | Arbeidsvoorwaarden |
| 6.3 | 07.2.2 | Bewustzijn, opleiding en training op het gebied van informatiebeveiliging |
| 6.4 | 07.2.3 | Disciplinair proces |
| 6.5 | 07.3.1 | Verantwoordelijkheden na beëindiging of verandering van dienstverband |
| 6.6 | 13.2.4 | Vertrouwelijkheids- of geheimhoudingsovereenkomsten |
| 6.7 | 06.2.2 | Werken op afstand |
| 6.8 | 16.1.2, 16.1.3 | Rapportage van informatiebeveiligingsgebeurtenissen |
| ISO/IEC 27002:2022 Controle-identificatie | ISO/IEC 27002:2013 Controle-identificatie | Controle naam |
|---|---|---|
| 7.1 | 11.1.1 | Fysieke veiligheidsperimeters |
| 7.2 | 11.1.2, 11.1.6 | Fysieke toegang |
| 7.3 | 11.1.3 | Beveiligen van kantoren, kamers en faciliteiten |
| 7.4 | NIEUW | Fysieke beveiligingsmonitoring |
| 7.5 | 11.1.4 | Bescherming tegen fysieke en ecologische bedreigingen |
| 7.6 | 11.1.5 | Werken in beveiligde ruimtes |
| 7.7 | 11.2.9 | Overzichtelijk bureau en helder scherm |
| 7.8 | 11.2.1 | Locatie en bescherming van apparatuur |
| 7.9 | 11.2.6 | Beveiliging van activa buiten het terrein |
| 7.10 | 08.3.1, 08.3.2, 08.3.3, 11.2.5 | Opslag media |
| 7.11 | 11.2.2 | Ondersteunende nutsvoorzieningen |
| 7.12 | 11.2.3 | Beveiliging van de bekabeling |
| 7.13 | 11.2.4 | Apparatuuronderhoud |
| 7.14 | 11.2.7 | Veilige verwijdering of hergebruik van apparatuur |
Hoe ISMS.online helpt
ISMS.Online is de toonaangevende ISO 27002-managementsysteemsoftware die ondersteuning biedt naleving van ISO 27002, en helpt bedrijven hun beveiligingsbeleid en -procedures op één lijn te brengen met de standaard.
Het cloudgebaseerde platform biedt een complete set tools om organisaties te helpen bij het opzetten van een informatiebeveiligingsbeheersysteem (ISMS) volgens ISO 27002.
Ons platform is helemaal opnieuw ontworpen met de hulp van informatiebeveiligingsexperts van over de hele wereld en we hebben het zo ontwikkeld dat het gemakkelijk is voor mensen zonder enige technische kennis over informatiebeveiligingsbeheersystemen (ISMS) om het te gebruiken.
Neem vandaag nog contact op met boek een demo.
