ISO 27002:2022 – Controle 8.5 – Veilige authenticatie

Doel van de controle 8.5

Veilige authenticatie is de belangrijkste methode waarmee menselijke en niet-menselijke gebruikers zich bezighouden wanneer ze proberen de ICT-middelen van een organisatie te gebruiken.

De afgelopen tien jaar heeft de authenticatietechnologie een fundamentele verschuiving ondergaan van traditionele op gebruikersnaam/wachtwoord gebaseerde validaties naar a verscheidenheid aan aanvullende technieken waaronder biometrische informatie, logische en fysieke toegangscontroles, authenticatie van externe apparaten, sms-codes en eenmalige wachtwoorden (OTP).

27002:2022-8.5 plaatst dit allemaal in context en adviseert organisaties over hoe ze precies moeten werken het controleren van de toegang tot hun ICT-systemen en middelen via een beveiligde inloggateway.

Controle 8.5 is een preventieve controle uit die houdt het risico in stand door het implementeren van technologie en het opzetten van onderwerpspecifieke veilige authenticatieprocedures die ervoor zorgen dat menselijke en niet-menselijke gebruikers en identiteiten een robuuste en veilige authenticatieprocedure ondergaan wanneer ze proberen toegang te krijgen tot ICT-bronnen.

Attributen Controletabel 8.5

Eigendom van zeggenschap 8.5

Controle 8.5 gaat over het vermogen van een organisatie om de toegang tot haar netwerk (en de informatie en gegevens daarin) te controleren op kritieke kruispunten, zoals een inloggateway.

Terwijl de controle informatie- en databeveiliging als breder concept behandelt, is de operationele begeleiding vooral van technische aard.

Als zodanig moet het eigendom berusten bij het hoofd IT (of het equivalent van de organisatie), dat de leiding heeft verantwoordelijkheid voor de dagelijkse IT-beheerfuncties van de organisatie.

Algemene richtlijnen voor controle 8.5

Controle 8.5 vraagt ​​organisaties om authenticatiecontroles te overwegen die relevant zijn voor het type en de gevoeligheid van de gegevens en het netwerk waartoe toegang wordt verkregen, waaronder:

• Meervoudige authenticatie (MFA)
• Digitale certificaten
• Slimme toegangscontroles (smartcards)
• Biometrische logins
• Veilige tokens

Het overkoepelende doel van de veilige authenticatiecontroles van een organisatie zou moeten zijn: voorkomen en/of minimaliseren van het risico van ongeautoriseerde toegang naar zijn beveiligde systemen.

Om dit te bereiken schetst Control 8.5 twaalf belangrijke richtpunten. Organisaties moeten:

1. Beperk de weergave van informatie tot na een succesvolle authenticatiepoging.
2. Geef vóór het aanmelden een waarschuwing weer waarin duidelijk wordt aangegeven dat informatie alleen toegankelijk mag zijn voor geautoriseerde gebruikers.
3. Minimaliseer de hulp die het biedt aan niet-geauthenticeerde gebruikers die proberen toegang te krijgen tot het systeem. Organisaties mogen bijvoorbeeld niet onthullen welk specifiek deel van een inlogpoging onjuist is, zoals een biometrisch aspect van een MFA-login, en in plaats daarvan eenvoudigweg vermelden dat de inlogpoging is mislukt .
4. Valideer de inlogpoging alleen als alle vereiste informatie aan de inlogservice is verstrekt, om de veiligheid te behouden.
5. Implementeer industriestandaard beveiligingsmaatregelen die bescherming bieden tegen algemene toegang en/of brute force-aanvallen op inlogportals. Deze maatregelen kunnen het volgende omvatten:
• CAPTCHA-besturingselementen
• Het afdwingen van een wachtwoordreset na een bepaald aantal mislukte inlogpogingen
• Voorkomen van verdere inlogpogingen na een vooraf gedefinieerd aantal mislukte pogingen
6. Registratie van alle mislukte inlogpogingen voor audit- en beveiligingsdoeleinden, inclusief het gebruik ervan in strafrechtelijke en/of regelgevende procedures.
7. Het initiëren van een beveiligingsincident wanneer er een grote inlogafwijking wordt gedetecteerd, zoals een waargenomen inbraak. In deze gevallen moet al het relevante interne personeel op de hoogte worden gesteld, vooral degenen met systeembeheerderstoegang of enige mogelijkheid om kwaadwillige inlogpogingen te bestrijden.
8. Wanneer u een login valideert, geeft u bepaalde stukjes informatie door aan een afzonderlijke gegevensbron met de volgende lijst:
• De datum en tijd van de vorige succesvolle aanmelding
• Een lijst met alle inlogpogingen sinds de laatste gevalideerde aanmelding
9. Geef wachtwoorden weer als asterisken (of soortgelijke abstracte symbolen), waar er geen dringende noodzaak is om dit niet te doen (bijvoorbeeld gebruikerstoegankelijkheid).
10. Verbied ten strengste het delen of weergeven van wachtwoorden als duidelijke, leesbare tekst.
11. Hanteer een beleid waarbij slapende inlogsessies na een bepaalde periode worden beëindigd. Dit is met name relevant voor sessies die plaatsvinden op locaties met een hoog risico (werkomgevingen op afstand) of op door de gebruiker aangeleverde middelen zoals persoonlijke laptops of mobiele telefoons.
12. Het beperken van de hoeveelheid tijd dat een geauthenticeerde sessie open kan blijven – zelfs als deze actief is – in verhouding tot de informatie waartoe toegang wordt verkregen (dat wil zeggen bedrijfskritische informatie of financieel gevoelige applicaties).

Begeleiding – Biometrische logins

ISO beveelt aan dat vanwege een aantal factoren die verband houden met de effectiviteit en integriteit van biometrische inlogprocessen ten opzichte van traditionele maatregelen (wachtwoorden, MFA, tokens enz.), biometrische authenticatiemethoden mag niet afzonderlijk worden gebruikt, en vergezeld van ten minste één andere inlogtechniek.

Wijzigingen en verschillen ten opzichte van ISO 27002:2013

27002:2022-8.5 vervangt 27002:2014-9.4.2 (veilige aanmeldingsprocedures).

27002:2022-8.5 bevat de dezelfde 12 richtpunten als zijn tegenhanger uit 2013, met kleine aanpassingen aan de formulering, en volgt dezelfde reeks onderliggende beveiligingsprincipes.

In lijn met de opkomst van MFA en biometrische login-technologieën in de afgelopen tien jaar bevat 27002:2022-8.5 expliciete richtlijnen over het gebruik van beide technieken waarmee organisaties rekening moeten houden bij het formuleren van hun eigen set login-controles.

Nieuwe ISO 27002-controles

Hoe ISMS.online helpt

Ons cloudgebaseerde platform biedt u een robuust raamwerk van informatiebeveiligingscontroles, zodat u dat kunt checklist van uw ISMS-proces Zorg er onderweg voor dat het voldoet aan de eisen van ISO 27000k. Op de juiste manier gebruikt, ISMS. online kan u hierbij helpen het behalen van certificering met een absoluut minimum aan tijd en middelen.

Neem vandaag nog contact op met boek een demo.