Doel van de controle 8.3
Toegang tot informatie uit interne en externe bronnen vormt de hoeksteen van het informatiebeveiligingsbeleid van een organisatie.
Controle 8.3 is een preventieve controle die risico's beheerst door een reeks regels en procedures vast te stellen die ongeoorloofde toegang tot/misbruik van de informatie en ICT-middelen van een organisatie voorkomen.
Attributen Controletabel 8.3
| controle Type | Eigenschappen voor informatiebeveiliging | Cyberbeveiligingsconcepten | Operationele mogelijkheden | Beveiligingsdomeinen |
|---|---|---|---|---|
| #Preventief | #Vertrouwelijkheid | #Beschermen | #Identiteits- en toegangsbeheer | #Bescherming |
| #Integriteit | ||||
| #Beschikbaarheid |
Eigendom van zeggenschap 8.3
Controlepunt 8.3 heeft betrekking op het vermogen van een organisatie om de toegang tot informatie te controleren.
De verantwoordelijkheid hiervoor moet daarom bij de Chief Information Security Officer (of een gelijkwaardige functionaris binnen de organisatie) liggen, die de algehele informatie- en gegevensbeveiligingspraktijken van de organisatie beheert.
ISO 27001 eenvoudig gemaakt
Een voorsprong van 81% vanaf dag één
Wij hebben het harde werk voor u gedaan, waardoor u vanaf het moment dat u inlogt een voorsprong van 81% heeft. U hoeft alleen nog maar de lege plekken in te vullen.
Algemene richtlijnen voor controle 8.3
Om effectieve controle over informatie en ICT-middelen te behouden en ter ondersteuning van maatregelen ter beperking van de toegang, dienen organisaties, in lijn met een themaspecifieke aanpak van informatie-toegang, het volgende te waarborgen:
- Voorkom anonieme toegang tot informatie, inclusief verreikende publieke toegang.
- Wanneer openbare toegang of toegang van derden wordt verleend, moeten organisaties ervoor zorgen dat de toegang zich niet uitstrekt tot gevoelige of bedrijfskritische gegevens.
- Werk met adequate onderhoudsmaatregelen die de toegang tot systemen en eventuele bijbehorende bedrijfsapplicaties of -processen controleren.
- Dicteer de toegang tot gegevens per gebruiker.
- Geef gegevenstoegangsrechten op tussen groepen die specifieke gegevensbewerkingen valideren, zoals lezen, schrijven, verwijderen en uitvoeren.
- Behoud de mogelijkheid om af te scheiden bedrijfskritische processen en applicaties met behulp van een reeks fysieke en digitale toegangscontroles.
Begeleiding – Dynamisch toegangsbeheer
Controle 8.3 pleit voor een dynamische aanpak van toegang tot informatie.
Dynamisch toegangsbeheer heeft talloze resterende voordelen voor organisatorische processen waarbij de noodzaak bestaat om interne gegevens te delen of te gebruiken met externe gebruikers, waaronder snellere oplossingstijden voor incidenten.
Dynamische toegangsbeheertechnieken beschermen een breed scala aan informatietypen , van standaarddocumenten tot e-mails en databasegegevens, en kunnen op een gedetailleerd, bestand-voor-bestand niveau worden toegepast, waardoor strakke controle over gegevens op organisatieniveau mogelijk is.
Organisaties moeten een dergelijke aanpak overwegen wanneer:
- Het vereisen van gedetailleerde controle over welke menselijke en niet-menselijke gebruikers op welk moment dan ook toegang hebben tot dergelijke informatie.
- Er ontstaat een behoefte om informatie te delen met externe partijen (zoals leveranciers of toezichthouders).
- Overweeg een “real-time” benadering van databeheer en -distributie, waarbij het datagebruik wordt gemonitord en beheerd zodra het zich voordoet.
- Het beveiligen van informatie tegen ongeoorloofde wijzigingen, delen of afdrukken (afdrukken enz.).
- Het monitoren van de toegang tot en wijziging van informatie, vooral als het om informatie gaat die gevoelig is.
Dynamisch toegangsbeheer is met name van nut voor organisaties die gegevens moeten monitoren en beschermen, van creatie tot verwijdering, waaronder:
- Een gebruiksscenario (of een reeks gebruiksscenario's) schetsen waarin regels voor gegevenstoegang worden toegepast op basis van de volgende variabelen:
- Identiteit
- Apparaat
- Lokatie
- Toepassing
- Een proces schetsen dat de operatie en bewaking van gegevens, en het opzetten van een grondig rapportageproces dat op zijn beurt wordt gevoed door een goede technische infrastructuur.
Alle inspanningen om een dynamische toegangsbeheerstrategie te ontwikkelen, moeten ertoe leiden dat gegevens worden beschermd door:
- Ervoor zorgen dat toegang tot gegevens het eindresultaat is van een succesvol authenticatieproces.
- Een mate van beperkte toegang, gebaseerd op het gegevenstype en de impact ervan op de mogelijkheden bedrijfscontinuïteit.
- Versleuteling.
- Afdrukrechten.
- grondig controlelogboeken waarin wordt vastgelegd wie toegang heeft tot gegevens en hoe die gegevens worden gebruikt.
- Een waarschuwingsprocedure die ongepast gegevensgebruik signaleert, inclusief (maar niet beperkt tot) ongeautoriseerde toegang en distributie, en pogingen tot verwijdering.
Beheer al uw compliance op één plek
ISMS.online ondersteunt meer dan 100 normen en voorschriften, waardoor u één platform krijgt voor al uw compliancebehoeften.
Wijzigingen en verschillen ten opzichte van ISO 27002:2013
27002:2022-8.3 vervangt 27002:2013-9.4.1 (Beperking van toegang tot informatie) en vertegenwoordigt een belangrijke verschuiving in de manier waarop ISO omgaat met het beheer van toegang tot informatie, in overeenstemming met de eerdergenoemde dynamische aanpak (een techniek die niet wordt genoemd in 27002:2013-9.4.1).
27002:2022-8.3 bevat een groot aantal richtlijnen met betrekking tot dynamisch toegangsbeheer die ontbreken in de tegenhanger uit 2013, en organisaties wordt geadviseerd deze per onderwerp te overwegen bij het aanvragen van certificering.
Nieuwe ISO 27002-controles
| ISO/IEC 27002:2022 Controle-identificatie | ISO/IEC 27002:2013 Controle-identificatie | Controle naam |
|---|---|---|
| 5.7 | NIEUW | Bedreigingsintelligentie |
| 5.23 | NIEUW | Informatiebeveiliging voor gebruik van clouddiensten |
| 5.30 | NIEUW | ICT gereed voor bedrijfscontinuïteit |
| 7.4 | NIEUW | Fysieke beveiligingsmonitoring |
| 8.9 | NIEUW | Configuratiebeheer |
| 8.10 | NIEUW | Verwijdering van informatie |
| 8.11 | NIEUW | Gegevensmaskering |
| 8.12 | NIEUW | Preventie van gegevenslekken |
| 8.16 | NIEUW | Monitoring activiteiten |
| 8.23 | NIEUW | Web filtering |
| 8.28 | NIEUW | Veilige codering |
| ISO/IEC 27002:2022 Controle-identificatie | ISO/IEC 27002:2013 Controle-identificatie | Controle naam |
|---|---|---|
| 6.1 | 07.1.1 | Doorlichting |
| 6.2 | 07.1.2 | Arbeidsvoorwaarden |
| 6.3 | 07.2.2 | Bewustzijn, opleiding en training op het gebied van informatiebeveiliging |
| 6.4 | 07.2.3 | Disciplinair proces |
| 6.5 | 07.3.1 | Verantwoordelijkheden na beëindiging of verandering van dienstverband |
| 6.6 | 13.2.4 | Vertrouwelijkheids- of geheimhoudingsovereenkomsten |
| 6.7 | 06.2.2 | Werken op afstand |
| 6.8 | 16.1.2, 16.1.3 | Rapportage van informatiebeveiligingsgebeurtenissen |
| ISO/IEC 27002:2022 Controle-identificatie | ISO/IEC 27002:2013 Controle-identificatie | Controle naam |
|---|---|---|
| 7.1 | 11.1.1 | Fysieke veiligheidsperimeters |
| 7.2 | 11.1.2, 11.1.6 | Fysieke toegang |
| 7.3 | 11.1.3 | Beveiligen van kantoren, kamers en faciliteiten |
| 7.4 | NIEUW | Fysieke beveiligingsmonitoring |
| 7.5 | 11.1.4 | Bescherming tegen fysieke en ecologische bedreigingen |
| 7.6 | 11.1.5 | Werken in beveiligde ruimtes |
| 7.7 | 11.2.9 | Overzichtelijk bureau en helder scherm |
| 7.8 | 11.2.1 | Locatie en bescherming van apparatuur |
| 7.9 | 11.2.6 | Beveiliging van activa buiten het terrein |
| 7.10 | 08.3.1, 08.3.2, 08.3.3, 11.2.5 | Opslag media |
| 7.11 | 11.2.2 | Ondersteunende nutsvoorzieningen |
| 7.12 | 11.2.3 | Beveiliging van de bekabeling |
| 7.13 | 11.2.4 | Apparatuuronderhoud |
| 7.14 | 11.2.7 | Veilige verwijdering of hergebruik van apparatuur |
Hoe ISMS.online helpt
ISMS.Online is de toonaangevende software voor ISO 27002-managementsystemen die naleving van ISO 27002 ondersteunt en bedrijven helpt hun beveiligingsbeleid en -procedures af te stemmen op de norm.
Het cloudgebaseerde platform biedt een complete set tools om organisaties te helpen bij het opzetten van een informatiebeveiligingsbeheersysteem (ISMS) volgens ISO 27002.
Ons platform is volledig vanaf nul ontworpen met de hulp van informatiebeveiligingsexperts van over de hele wereld en we hebben het zo ontwikkeld dat het gemakkelijk te gebruiken is voor mensen zonder technische kennis van informatiebeveiligingsbeheersystemen (ISMS).
Neem vandaag nog contact op om een demo te boeken.
