ISO 27002:2022 – Controle 8.3 – Beperking van toegang tot informatie

Doel van de controle 8.3

Toegang tot informatie uit interne en externe bronnen is de hoeksteen van een het informatiebeveiligingsbeleid van de organisatie.

Controle 8.3 is een preventieve controle uit die houdt het risico in stand door een reeks regels en procedures vast te stellen die dit voorkomen ongeoorloofde toegang tot/misbruik van de informatie en ICT-middelen van een organisatie.

Attributen Controletabel 8.3

Eigendom van zeggenschap 8.3

Controle 8.3 gaat over het vermogen van een organisatie om toegang tot informatie controleren.

Als zodanig, Het eigendom moet berusten bij de Chief Information Security Officer (of organisatorisch equivalent), die verantwoordelijk is voor de algemene informatie- en gegevensbeveiligingspraktijken van de organisatie.

Algemene richtlijnen voor controle 8.3

Om effectief te blijven controle over informatie en ICT-middelen, en ter ondersteuning van maatregelen voor toegangsbeperking moeten organisaties het volgende garanderen, in overeenstemming met a onderwerpspecifiek aanpak van toegang tot informatie:

1. Voorkom anonieme toegang tot informatie, inclusief verreikende publieke toegang.
• Wanneer openbare toegang of toegang van derden wordt verleend, moeten organisaties ervoor zorgen dat de toegang zich niet uitstrekt tot gevoelige of bedrijfskritische gegevens.
2. Werk met adequate onderhoudsmaatregelen die de toegang tot systemen en eventuele bijbehorende bedrijfsapplicaties of -processen controleren.
3. Dicteer de toegang tot gegevens per gebruiker.
4. Geef gegevenstoegangsrechten op tussen groepen die specifieke gegevensbewerkingen valideren, zoals lezen, schrijven, verwijderen en uitvoeren.
5. Behoud de mogelijkheid om af te scheiden bedrijfskritische processen en applicaties met behulp van een reeks fysieke en digitale toegangscontroles.

Begeleiding – Dynamisch toegangsbeheer

Controle 8.3 pleit voor a dynamisch benadering van de toegang tot informatie.

Dynamisch toegangsbeheer heeft talloze resterende voordelen voor organisatorische processen waarbij de noodzaak bestaat om interne gegevens te delen of te gebruiken met externe gebruikers, waaronder snellere oplossingstijden voor incidenten.

Dynamische toegang managementtechnieken beschermen een breed scala aan informatie typen, van standaarddocumenten tot e-mails en database-informatie, en kunnen gedetailleerd per bestand worden toegepast, waardoor een strakke controle van gegevens op organisatieniveau mogelijk wordt.

Organisaties moeten een dergelijke aanpak overwegen wanneer:

1. Het vereisen van gedetailleerde controle over welke menselijke en niet-menselijke gebruikers op welk moment dan ook toegang hebben tot dergelijke informatie.
2. Er ontstaat een behoefte om informatie te delen met externe partijen (zoals leveranciers of toezichthouders).
3. Overweeg een “real-time” benadering van databeheer en -distributie, waarbij het datagebruik wordt gemonitord en beheerd zodra het zich voordoet.
4. Het beveiligen van informatie tegen ongeoorloofde wijzigingen, delen of afdrukken (afdrukken enz.).
5. Het monitoren van de toegang tot en wijziging van informatie, vooral als het om informatie gaat die gevoelig is.

Dynamisch toegangsbeheer is met name van nut voor organisaties die gegevens moeten monitoren en beschermen, van creatie tot verwijdering, waaronder:

1. Een gebruiksscenario (of een reeks gebruiksscenario's) schetsen waarin regels voor gegevenstoegang worden toegepast op basis van de volgende variabelen:
• Identiteit
• Apparaat
• Locatie
• Aanvraag
2. Een proces schetsen dat de operatie en Grensverkeer van gegevens, en het opzetten van een grondig rapportageproces dat op zijn beurt wordt gevoed door een goede technische infrastructuur.

Alle inspanningen om een ​​dynamische benadering van toegangsbeheer te formuleren moeten resulteren in: gegevens worden beschermd door:

1. Ervoor zorgen dat toegang tot gegevens het eindresultaat is van een succesvol authenticatieproces.
2. Een mate van beperkte toegang, gebaseerd op het gegevenstype en de impact ervan op de mogelijkheden bedrijfscontinuïteit.
3. Versleuteling.
4. Afdrukrechten.
5. grondig controlelogboeken waarin wordt vastgelegd wie toegang heeft tot gegevens en hoe die gegevens worden gebruikt.
6. Een waarschuwingsprocedure die ongepast gegevensgebruik signaleert, inclusief (maar niet beperkt tot) ongeautoriseerde toegang en distributie, en pogingen tot verwijdering.

Wijzigingen en verschillen ten opzichte van ISO 27002:2013

27002:2022-8.3 replaces 27002:2013-9.4.1 (Informatietoegangsbeperking), en vertegenwoordigt een belangrijke verschuiving in de manier waarop ISO het beheer van informatietoegang beschouwt in overeenstemming met de bovengenoemde dynamische benadering (een techniek die niet wordt genoemd in 27002:2013-9.4.1).

27002:2022-8.3 bevat een groot aantal richtlijnen met betrekking tot dynamisch toegangsbeheer die ontbreken in de tegenhanger uit 2013, en organisaties wordt geadviseerd deze per onderwerp te overwegen bij het aanvragen van certificering.

Nieuwe ISO 27002-controles

Hoe ISMS.online helpt

ISMS.Online is de toonaangevende ISO 27002-managementsysteemsoftware die ondersteuning biedt naleving van ISO 27002, en helpt bedrijven hun beveiligingsbeleid en -procedures op één lijn te brengen met de standaard.

Het cloudgebaseerde platform biedt een complete set tools om organisaties te helpen bij het opzetten van een informatiebeveiligingsbeheersysteem (ISMS) volgens ISO 27002.

Ons platform is helemaal opnieuw ontworpen met de hulp van informatiebeveiligingsexperts van over de hele wereld en we hebben het zo ontwikkeld dat het gemakkelijk is voor mensen zonder enige technische kennis over informatiebeveiligingsbeheersystemen (ISMS) om het te gebruiken.

Neem vandaag nog contact op met boek een demo.