Bescherming van PII met robuuste systeem- en applicatietoegangscontroles
Het opleggen van toegangsbeperkingen aan bedrijfskritische taken, middelen en procedures is een fundamenteel aspect van zowel het beschermen van PII als het garanderen dat privacygerelateerde applicaties en systemen vrij zijn van corruptie, misbruik of verwijdering.
ISO 27701 6.6.4 schetst een verscheidenheid aan maatregelen – van authenticatiecontroles tot broncodebeheer en het gebruik van geprivilegieerde hulpprogramma's – waarmee organisaties gedetailleerde controle kunnen uitoefenen over wie en wat toegang krijgt tot hun netwerk, en met welke middelen.
Wat wordt er behandeld in ISO 27701, clausule 6.6.4
ISO 27701 6.6.4 bevat vijf subclausules die de bovenstaande onderwerpen behandelen. Elke subclausule bevat begeleidingsinformatie van a verscheidenheid aan subclausules binnen ISO 27002, maar geleverd binnen de context van PII-beveiliging en privacybescherming:
- ISO 27701 6.6.4.1 – Beperkingen op de toegang tot informatie (Referenties ISO 27002 controle 8.3).
- ISO 27701 6.6.4.2 – Veilige inlogprocedures (referenties ISO 27002 controle 8.5).
- ISO 27701 6.6.4.3 – Wachtwoordbeheersysteem (referenties ISO 27002 controle 5.17).
- ISO 27701 6.6.4.4 – Gebruik van bevoorrechte hulpprogramma's (referenties ISO 27002-controle 8.18).
- ISO 27701 6.6.4.5 – Toegangscontrole tot programmabroncode (referenties ISO 27002-controle 8.4).
Subclausule 6.6.4.2 bevat verdere richtlijnen over toepasselijke artikelen binnen de Britse AVG-wetgeving (artikel 5 [1][f]).
Houd er rekening mee dat AVG-vermeldingen uitsluitend voor indicatieve doeleinden zijn. Organisaties moeten de wetgeving nauwkeurig onderzoeken en hun eigen oordeel vormen over welke delen van de wet op hen van toepassing zijn.
ISO 27001 eenvoudig gemaakt
Een voorsprong van 81% vanaf dag één
Wij hebben het harde werk voor u gedaan, waardoor u vanaf het moment dat u inlogt een voorsprong van 81% heeft. U hoeft alleen nog maar de lege plekken in te vullen.
ISO 27701 Clausule 6.6.4.1 – Verwijdering of aanpassing van toegangsrechten
Referenties ISO 27002 Controle 8.3
Om PII en privacygerelateerde informatie te controleren, en ter ondersteuning van maatregelen voor toegangsbeperking, moeten organisaties:
- Voorkom anonieme toegang tot PII, inclusief publieke toegang.
- Onderhoud van privacysystemen en eventuele bijbehorende bedrijfsapplicaties of -processen.
- Beheer de toegang tot PII per gebruiker.
- Beheer PII-toegangsrechten op granulair niveau (lezen, schrijven, verwijderen en uitvoeren).
- Scheid kritische privacyprocessen en -applicaties met behulp van een combinatie van fysieke en logische toegangscontroles.
Dynamisch toegangsbeheer
ISO pleit voor a dynamisch benadering van toegang tot informatie, die zich uitstrekt tot PII- en privacysystemen.
Met dynamisch toegangsbeheer kunnen organisaties interne gegevens delen of gebruiken met externe gebruikers, waardoor snellere oplossingstijden voor incidenten kunnen worden bereikt (een belangrijke vereiste bij PII-gerelateerde incidenten).
Organisaties moeten overwegen om dynamisch toegangsbeheer te implementeren wanneer:
- Het uitoefenen van gedetailleerde controle over de gegevens waartoe menselijke en niet-menselijke gebruikers toegang hebben.
- Het delen van informatie met leveranciers, wetshandhavingsorganisaties of regelgevende instanties.
- Het hanteren van een “real-time” benadering van PII-beheer (monitoren en beheren van PII-gebruik zodra het zich voordoet).
- Bescherming van PII tegen ongeoorloofde wijzigingen, delen of uitvoeren (afdrukken enz.).
- Het monitoren/auditen van de toegang tot en wijziging van privacygerelateerde informatie.
- Het ontwikkelen van een proces dat de operatie en bewaking van gegevens, inclusief een rapportageproces.
Dynamisch toegangsbeheer moet gegevens beschermen door:
- Toegang wordt verkregen via een robuust authenticatieproces.
- Beperkte toegang inschakelen.
- Versleuteling.
- Beveiligde afdrukrechten.
- Vastleggen wie toegang heeft tot PII en hoe PII-gegevens worden gebruikt.
- Implementatie van een waarschuwingsprocedure die ongepast PII-gebruik signaleert.
ISO 27701 Clausule 6.6.4.2 – Veilige aanmeldingsprocedures
Referenties ISO 27002 Controle 8.5
PII en privacygerelateerde activa moeten worden opgeslagen op een netwerk dat over een reeks authenticatiecontroles beschikt, waaronder:
- Multi-factor authenticatie (MFA).
- Digitale certificaten.
- Smartcards/sleutelhangers.
- Biometrische verificatie.
- Veilige tokens.
Om het risico van ongeautoriseerde toegang tot PII te voorkomen en te minimaliseren, moeten organisaties:
- Voorkom de weergave van PII op een monitor of eindpuntapparaat, totdat een gebruiker succesvol is geverifieerd.
- Geef potentiële gebruikers een duidelijke waarschuwing – voordat er wordt ingelogd – waarin de gevoelige aard wordt uiteengezet van de gegevens waartoe ze toegang willen krijgen.
- Wees op uw hoede met het bieden van te veel hulp tijdens het authenticatieproces (dwz uitleggen welk deel van een mislukte inlogpoging ongeldig is).
- Implementeer best practice beveiligingsmaatregelen, waaronder:
- CAPTCHA-technologie.
- Het forceren van wachtwoordresets en/of het tijdelijk voorkomen van aanmeldingen na verschillende mislukte pogingen.
- Registreer mislukte inlogpogingen voor verdere analyse en/of verspreiding onder wetshandhavingsinstanties.
- Start een beveiligingsincident wanneer er een groot verschil in aanmeldingsgegevens wordt gedetecteerd, of de organisatie een authenticatieafwijking ontdekt die mogelijk van invloed is op PII.
- Stuur authenticatielogboeken (met de laatste aanmeldingspoging en mislukte aanmeldingsgegevens) door naar een afzonderlijke gegevensbron.
- Voer alleen wachtwoordgegevens uit als abstracte symbolen), tenzij de gebruiker problemen heeft met toegankelijkheid/zicht.
- Voorkom het delen van alle authenticatiegegevens.
- Maak een einde aan sluimerende inlogsessies, vooral wanneer PII wordt gebruikt in externe werkomgevingen of op BYOD-middelen.
- Stel een tijdslimiet in voor geauthenticeerde sessies, vooral voor sessies die actief toegang hebben tot PII.
Toepasselijke AVG-artikelen
- Artikel 5 – (1)(f)
Bevrijd jezelf van een berg spreadsheets
Integreer, breid uit en schaal uw compliance, zonder rommel. IO geeft u de veerkracht en het vertrouwen om veilig te groeien.
ISO 27701 Clausule 6.6.4.3 – Wachtwoordbeheersysteem
Referenties ISO 27002 Controle 5.17
Authenticatiegegevens moeten zo worden gedistribueerd en beheerd dat:
- Automatisch gegenereerde authenticatie-informatie (wachtwoorden enz.) wordt geheim gehouden voor iedereen die niet bevoegd is om deze te gebruiken, is niet te raden en wordt zo beheerd dat een gebruiker wordt gedwongen deze na de eerste aanmelding te wijzigen.
- Voordat authenticatiegegevens worden uitgegeven of vervangen, worden er procedures ingevoerd om de identiteit te verifiëren van de persoon die ze nodig heeft.
- Voor het verzenden van authenticatiegegevens worden de juiste beveiligde kanalen gebruikt (dus niet via e-mail).
- Nadat de gegevens succesvol zijn doorgegeven aan degene die ze nodig heeft, bevestigen de gebruiker(s) tijdig de ontvangst.
- Alle door de leverancier verstrekte authenticatie-informatie (zoals de standaard gebruikersnaam en wachtwoord, routers en firewalls) wordt bij ontvangst gewijzigd.
- Er worden gegevens bijgehouden van relevante authenticatiegebeurtenissen – vooral met betrekking tot de initiële toewijzing en daaropvolgende administratie van authenticatiegegevens.
Al het personeel dat authenticatie-informatie van de organisatie gebruikt, moet ervoor zorgen dat:
- Alles authenticatiegegevens worden strikt vertrouwelijk behandeld.
- Als authenticatiegegevens worden gecompromitteerd, bekeken of gedeeld door iemand anders dan de oorspronkelijke eigenaar, worden dergelijke gegevens gewijzigd per direct.
- Eventuele wachtwoorden worden gemaakt en/of gegenereerd in overeenstemming met het wachtwoordbeleid van de organisatie, en wachtwoorden zijn uniek op verschillende platforms (dwz domeinwachtwoorden zijn niet hetzelfde als wachtwoorden voor cloudservices).
- Arbeidsovereenkomsten bevatten een expliciete vereiste om het wachtwoordbeleid van het bedrijf te volgen (zie ISO 27002 6.2).
Wachtwoordbeheersystemen
Organisaties moeten een wachtwoordbeheersysteem implementeren dat:
- Geschikt voor gebruikers die elk wachtwoord dat ze gebruiken moeten wijzigen.
- Is geprogrammeerd om wachtwoorden te weigeren die buiten de richtlijnen voor best practices vallen.
- Dwingt gebruikers om hun door het systeem gegenereerde wachtwoord te wijzigen nadat ze het voor de eerste keer hebben gebruikt.
- Staat het voortdurende gebruik van oude wachtwoorden of soortgelijke zinnen en alfanumerieke combinaties niet toe.
- Verbergt wachtwoorden terwijl ze worden ingevoerd.
- Bewaart en verzendt wachtwoordinformatie op een veilige manier.
- Geschikt voor wachtwoordversleuteling en soortgelijke versleutelingstechnieken (zie ISO 27002 8.24).
Om PII te beschermen en de inspanningen op het gebied van privacybescherming van organisaties te verbeteren, moeten wachtwoorden vier leidende principes volgen:
- Wachtwoorden mogen niet zijn opgebouwd rond raadbare of biografische informatie.
- Wachtwoorden mogen geen herkenbare woorden bevatten, in plaats van willekeurige alfanumerieke tekens.
- Er moeten speciale tekens worden gebruikt om de wachtwoordcomplexiteit te vergroten.
- Alle wachtwoorden moeten een minimale lengte hebben (idealiter 12 tekens).
Organisaties moeten ook het gebruik van authenticatieprotocollen zoals Single Sign-On (SSO) overwegen om de wachtwoordbeveiliging te verbeteren, maar dergelijke maatregelen mogen alleen worden overwogen naast de unieke technische en operationele vereisten van de organisatie.
Relevante ISO 27002-controles
- ISO 27002 6.2
- ISO 27002 8.24
ISO 27701 Clausule 6.6.4.4 – Gebruik van bevoorrechte hulpprogramma's
Referenties ISO 27002 Controle 8.18
Om PII en privacygerelateerde activa te beschermen – en tegelijkertijd de netwerkintegriteit te verbeteren – moeten organisaties:
- Beperk het gebruik van hulpprogramma's tot onderhoudspersoneel en/of aannemers die belast zijn met het beheer van het netwerk van de organisatie.
- Zorg ervoor dat het gebruik van elk afzonderlijk hulpprogramma door het management is geautoriseerd, inclusief het bijhouden van een lijst van personeel dat hulpprogramma's moet gebruiken als onderdeel van de hun toegewezen verantwoordelijkheden.
- Voorkom het gebruik van hulpprogramma's op delen van het netwerk met gescheiden taken.
- Controleer regelmatig het gebruik van hulpprogramma's en verwijder of voeg hulpprogramma's toe als de organisatie dat nodig acht.
- Partitioneer hulpprogramma's in plaats van standaardtoepassingen.
- Registreer het gebruik van hulpprogramma's, inclusief bewaarde informatie over tijdstempels en geautoriseerde gebruikers.
Beheer al uw compliance op één plek
ISMS.online ondersteunt meer dan 100 normen en voorschriften, waardoor u één platform krijgt voor al uw compliancebehoeften.
ISO 27701 Clausule 6.6.4.5 – Toegangscontrole tot programmabroncode
Referenties ISO 27002 Controle 8.4
De toegang tot de broncode en de ontwikkelingstool moet streng worden gecontroleerd, zodat privacygerelateerde applicaties niet in gevaar komen en PII niet wordt blootgesteld aan publieke weergave of enige vorm van ongeoorloofde toegang.
Broncode en 'bijbehorende items' omvatten:
- Ontwerpen.
- Specificaties.
- Verificatieplannen.
- Validatieplannen.
Ontwikkelingshulpmiddelen omvatten:
- Samenstellers.
- Bouwers.
- Integratiehulpmiddelen.
- Testplatforms.
- Omgevingen.
ISO raadt organisaties aan broncode op te slaan en te beheren via een speciaal 'broncodebeheersysteem' dat IP, code en ontwikkelingstools beschermt en de toegang tot beperkt materiaal beheert. Broncode moet worden beheerd met verschillende niveaus van lees- en schrijftoegang, gebaseerd op de functie van een individu.
Om corruptie te voorkomen en de PIMS, PII en privacygerelateerde informatie en activa te beschermen, moeten organisaties:
- Beheer nauwgezet de toegang tot de broncode en eventuele bijbehorende bibliotheken.
- Beperk het verstrekken van toegang tot de broncode op basis van 'need to know' en 'need to use'.
- Houd u aan de organisatiebrede procedures voor wijzigingsbeheer bij het bijwerken/wijzigen van de broncode, of bij het aanbrengen van wijzigingen in de toegangsrechten (zie ISO 27002 8.32).
- Verbied de directe toegang van de broncode door ontwikkelaars, en bieden in plaats daarvan toegang via gespecialiseerde ontwikkelaarstools.
- Sla programmalijsten veilig op, met relevante lees- en schrijftoegangsniveaus.
Relevante ISO 27002-controles
- Zie ISO 27002 8.32
Ondersteunende controles van ISO 27002 en AVG
| ISO 27701-clausule-identificatie | ISO 27701 Clausulenaam | ISO 27002-vereiste | Bijbehorende AVG-artikelen |
|---|---|---|---|
| 6.6.4.1 | 8.3 |
8.3 – Beperking van toegang tot informatie voor ISO 27002 |
Geen |
| 6.6.4.2 | 8.5 |
8.5 – Veilige authenticatie voor ISO 27002 |
Artikel (5) |
| 6.6.4.3 | 5.17 |
5.17 – Authenticatie-informatie voor ISO 27002 |
Geen |
| 6.6.4.4 | 8.18 |
8.18 – Gebruik van bevoorrechte hulpprogramma's voor ISO 27002 |
Geen |
| 6.6.4.5 | 8.4 |
8.4 – Toegang tot broncode voor ISO 27002 |
Geen |
Hoe ISMS.online helpt
ISO 27701 laat zien hoe u een privacy-informatiebeheersysteem kunt bouwen dat voldoet aan de meeste privacyregelgeving, waaronder de AVG van de EU, BS 10012 en de POPIA van Zuid-Afrika.
Onze vereenvoudigde, veilige, duurzame software helpt u eenvoudig de aanpak te volgen die wordt geschetst door de internationaal erkende standaard.
Ons alles-in-één-platform zorgt ervoor dat uw privacywerk aansluit bij en voldoet aan de behoeften van elke sectie van de ISO 27701-norm. En omdat het reguleringsonafhankelijk is, kunt u het toewijzen aan elke gewenste regelgeving.
Meer informatie via het boeken van een hands-on demo.
