ISO 27001:2022 נספח A 5.15 – בקרת גישה

מדיניות בקרת גישה

כדי לנהל גישה לנכסים בהיקף של ארגון, יש לפתח, לתעד ולסקור מדי פעם מדיניות בקרת גישה.

בקרת גישה קובעת כיצד ישויות אנושיות ושאינן אנושיות ברשת ניגשות לנתונים, משאבי IT ויישומים.

סיכוני אבטחת מידע הקשורים למידע והתיאבון של הארגון לניהולם צריכים לבוא לידי ביטוי בכללים, בזכויות ובמגבלות ובעומק הבקרות בהן נעשה שימוש. זה פשוט עניין של החלטה למי יש גישה למה, כמה ולמי אין.

ניתן להגדיר בקרות גישה דיגיטליות ופיזיות, כגון הגבלת הרשאות חשבון משתמש או הגבלת גישה למיקומים פיזיים ספציפיים (בהתאמה לנספח A.7 אבטחה פיזית וסביבתית). המדיניות צריכה לקחת בחשבון את השיקולים הבאים:

• חיוני להתאים את דרישות האבטחה של יישומים עסקיים לתכנית סיווג המידע בשימוש לפי נספח A 5.9, 5.10, 5.11, 5.12, 5.13 ו-7.10 המתייחסים לניהול נכסים.
• זהה מי דורש גישה, ידע ושימוש במידע - בליווי נהלים ואחריות מוגדרים בבירור.
• להבטיח ש זכויות גישה והרשאות זכויות גישה (יותר כוח - ראה להלן) מנוהלות ביעילות, כולל הוספת שינויים בחיים (למשל בקרות למשתמשי-על/מנהלי מערכת) וביקורות תקופתיות (למשל תקופתיות ביקורת פנימית לפי דרישה נספח א' 5.15, 5.16, 5.17, 5.18 ו-8.2).
• נוהל רשמי ואחריות מוגדרת צריכים לתמוך בכללי בקרת הגישה.

חיוני לבדוק את בקרת הגישה כאשר תפקידים משתנים, במיוחד במהלך יציאות, כדי לעמוד בנספח A.7 אבטחת משאבי אנוש.

רשת ושירותי רשת זמינים למשתמשים

גישה כללית להגנה היא של גישה מינימלית ולא גישה בלתי מוגבלת וזכויות משתמש-על ללא שיקול זהיר.

כתוצאה מכך, יש לספק למשתמשים רק גישה רשתות ושירותי רשת נדרשים למלא את אחריותם. המדיניות צריכה לתת מענה; הרשתות ושירותי הרשת בהיקף הגישה; הליכי הרשאה להראות למי (מבוסס תפקידים) מותרת גישה למה ומתי; ובקרות ונהלים להנהלה למניעת גישה ולפקח עליה במקרה של תקרית.

העלייה והיציאה למטוס צריכים לקחת בחשבון גם נושא זה, הקשור קשר הדוק למדיניות בקרת הגישה.

מטרת ISO 27001:2022 נספח A 5.15

כבקרה מונעת, נספח A 5.15 משפר את היכולת הבסיסית של ארגון לשלוט בגישה לנתונים ולנכסים.

סט בטון של אבטחת מידע ומסחר יש לענות על הצרכים לפני שניתן יהיה להעניק גישה למשאבים ולתקן אותם במסגרת נספח A בקרה 5.15.

ISO 27001 נספח A 5.15 מספק הנחיות למתן גישה מאובטחת לנתונים ולמזעור הסיכון של גישה לא מורשית לרשתות פיזיות ווירטואליות.

בעלות על נספח א' 5.15

כפי שמוצג בנספח A 5.15, צוות ההנהלה על פני חלקים שונים של א הארגון חייב לשמור על הבנה יסודית מהם יש צורך לגשת למשאבים (למשל בנוסף למידע על HR המודיע לעובדים על תפקידי העבודה שלהם, המכתיבים את פרמטרי ה-RBAC שלהם, זכויות הגישה הן בסופו של דבר פונקציית תחזוקה הנשלטת על ידי מנהלי רשת.

הבעלות של נספח A 5.15 של ארגון צריכה להיות בידי חבר הנהלה בכירה שיש לו סמכות טכנית כוללת על הדומיינים, תת-התחומים, האפליקציות, המשאבים והנכסים של החברה. זה יכול להיות ראש ה-IT.

הנחיות כלליות בנושא ISO 27001:2022 נספח 5.15

נדרשת גישה ספציפית לנושא לבקרת גישה לעמידה בתקן ISO 27001:2022 נספח A Control 5.15 (הידועה יותר כגישה ספציפית לבעיה).

במקום לדבוק במדיניות גורפת של בקרת גישה החלה על גישה למשאבים ולנתונים בכל הארגון, גישות ספציפיות לנושא מעודדות ארגונים ליצור מדיניות בקרת גישה המיועדת לפונקציות עסקיות בודדות.

בכל התחומים הספציפיים לנושא, נספח A Control 5.15 מחייב מדיניות לגבי בקרת גישה לשקול את 11 הנקודות שלהלן. חלק מההנחיות הללו חופפות למדיניות אחרת.

כקו מנחה, ארגונים צריכים להתייעץ עם הבקרות הנלוות למידע נוסף על בסיס כל מקרה לגופו:

• זהה אילו ישויות דורשות גישה לנכסים ומידע מסוימים.
• שמירה על רישום של תפקידי עבודה ודרישות גישה לנתונים בהתאם למבנה הארגוני של הארגון שלך היא הדרך הקלה ביותר להבטיח ציות.
• אבטחה ושלמות של כל האפליקציות הרלוונטיות (מקושרות לבקרה 8.2).
• ניתן לערוך הערכת סיכונים רשמית כדי להעריך את מאפייני האבטחה של יישומים בודדים.
• השליטה בגישה הפיזית לאתר (קישורים עם בקרות 7.2, 7.3 ו-7.4).
• כחלק מתוכנית התאימות שלך, הארגון שלך חייב להפגין מערך חזק של בקרות גישה לבניין ולחדר, כולל מערכות כניסה מנוהלות, היקפי אבטחה ונהלי מבקרים, במידת הצורך.
• בכל הנוגע להפצה, אבטחה וסיווג מידע, יש ליישם את עקרון ה"צריך לדעת" בכל הארגון (מקושר ל-5.10, 5.12 ו-5.13).
• חברות צריכות לדבוק במדיניות קפדנית של שיטות עבודה מומלצות שאינן מספקות גישה גורפת לנתונים בכל ההיררכיה של הארגון.
• ודא שזכויות גישה מורשות מוגבלות (קשור ל-8.2).
• הרשאות הגישה של משתמשים שקיבלו גישה לנתונים מעל ומעבר לזו של משתמש רגיל חייבות להיות במעקב ובקרה.
• הבטח ציות לכל חקיקה רווחת, הנחיות רגולטוריות ספציפיות למגזר או התחייבויות חוזיות הנוגעות לגישה לנתונים (ראה 5.31, 5.32, 5.33, 5.34 ו-8.3).
• מדיניות בקרת הגישה של ארגון מותאמת אישית בהתאם לחובות חיצוניות לגבי גישה לנתונים, נכסים ומשאבים.
• מעקב אחר ניגודי עניינים אפשריים.
• המדיניות צריכה לכלול בקרות כדי למנוע מאדם להתפשר על פונקציית בקרת גישה רחבה יותר בהתבסס על רמות הגישה שלו (כלומר עובד שיכול לבקש, לאשר וליישם שינויים ברשת).
• מדיניות בקרת גישה צריכה להתייחס לשלוש הפונקציות העיקריות - בקשות, הרשאות וניהול - באופן עצמאי.
• מדיניות לבקרת גישה חייבת להכיר בכך שלמרות האופי העצמאי שלה, היא כוללת מספר שלבים בודדים, שכל אחד מכיל את הדרישות שלו.
• כדי להבטיח עמידה בדרישות של 5.16 ו-5.18, בקשות גישה צריכות להתבצע בצורה מובנית ורשמית.
• ארגונים צריכים ליישם תהליכי הרשאה פורמליים הדורשים אישור רשמי ומתועד מהצוות המתאים.
• ניהול זכויות גישה באופן שוטף (מקושר ל-5.18).
• כדי לשמור על שלמות הנתונים והיקפי אבטחה, נדרשים ביקורות תקופתיות, פיקוח על משאבי אנוש (עוזבים וכו') ושינויים ספציפיים לתפקיד (למשל מהלכים מחלקתיים ושינויים בתפקידים).
• שמירה על יומנים נאותים ושליטה בגישה אליהם תאימות - ארגונים צריכים לאסוף ולאחסן נתונים על אירועי גישה (למשל פעילות קבצים), להגן מפני גישה לא מורשית ליומני אירועי אבטחה, ולעקוב אחר ניהול אירועים מקיף אסטרטגיה.

הנחיה משלימה על נספח 5.15

על פי ההנחיה המשלימה, ISO 27001:2022 נספח A Control 5.15 מזכיר (מבלי להגביל את עצמו ל) ארבעה סוגים שונים של בקרת גישה, שניתן לסווג באופן נרחב כדלקמן:

• בקרת גישה חובה (MAC) - הגישה מנוהלת באופן מרכזי על ידי רשות אבטחה אחת.
• חלופה ל-MAC היא בקרת גישה לפי שיקול דעת (DAC), שבה הבעלים של האובייקט יכול להעניק לאחרים הרשאות בתוך האובייקט.
• מערכת בקרת גישה המבוססת על פונקציות והרשאות עבודה מוגדרות מראש נקראת בקרת גישה מבוססת תפקידים (RBAC).
• באמצעות בקרת גישה מבוססת תכונות (ABAC), הרשאות גישה למשתמש ניתנות על סמך מדיניות המשלבת תכונות.

הנחיות ליישום כללי בקרת גישה

דנו בכללי בקרת גישה כמוענקים לגופים שונים (אנושיים ולא אנושיים) הפועלים בתוך רשת, אשר מוקצים להם תפקידים המגדירים את תפקידם הכולל.

בהגדרה והפעלת מדיניות בקרת הגישה של הארגון שלך, נספח A 5.15 מבקש ממך לשקול את ארבעת הגורמים הבאים:

1. יש לשמור על עקביות בין הנתונים שעליהם חלה זכות הגישה לבין סוג זכות הגישה.
2. חיוני להבטיח עקביות בין זכויות הגישה של הארגון שלך לדרישות האבטחה הפיזיות (היקפים וכו').
3. זכויות גישה בסביבת מחשוב מבוזרת (כגון סביבה מבוססת ענן) מביאות בחשבון את ההשלכות של נתונים השוכנים על פני קשת רחבה של רשתות.
4. שקול את ההשלכות של בקרות גישה דינמיות (שיטה פרטנית לגישה לקבוצה מפורטת של משתנים המיושמת על ידי מנהל מערכת).

הגדרת אחריות ותיעוד התהליך

על פי ISO 27001:2022 נספח A Control 5.15, ארגונים חייבים לפתח ולתחזק רשימה מובנית של אחריות ותיעוד. ישנם קווי דמיון רבים בין כל רשימת הבקרות של ISO 27001:2022, כאשר נספח A 5.15 מכיל את הדרישות הרלוונטיות ביותר:

תיעוד

• ISO 27001:2022 נספח A 5.16
• ISO 27001:2022 נספח A 5.17
• ISO 27001:2022 נספח A 5.18
• ISO 27001:2022 נספח A 8.2
• ISO 27001:2022 נספח A 8.3
• ISO 27001:2022 נספח A 8.4
• ISO 27001:2022 נספח A 8.5
• ISO 27001:2022 נספח A 8.18

אחריות

• ISO 27001:2022 נספח A 5.2
• ISO 27001:2022 נספח A 5.17

גרגיריות

בקרה 5.15 של נספח A מספקת לארגונים חופש משמעותי בציון הפירוט של מדיניות בקרת הגישה שלהם.

באופן כללי, ISO ממליצה לחברות להשתמש בשיקול הדעת שלהן לגבי מידת המפורטת של מערכת כללים נתונה על בסיס עובד לעובד וכמה משתנים יש להחיל על פיסת מידע נתונה.

באופן ספציפי, נספח A 5.15 מאשר שככל שמדיניות בקרת הגישה של חברה מפורטת יותר, כך העלות גדולה יותר והמושג בקרת גישה הופך למאתגר יותר על פני מספר מיקומים, סוגי רשת ומשתני יישומים.

בקרת גישה, אלא אם כן מנוהלת בקפידה, יכולה לצאת משליטה מהר מאוד. זה חכם לפשט את כללי בקרת הגישה כדי להבטיח שהם קלים יותר לניהול וחסכוניים יותר.

מקרים לדוגמא

MIRACL הופכת אמון ליתרון תחרותי עם הסמכת ISO 27001

קרא מקרה מבחן

מקרים לדוגמא

הכלי Proteus של Xergy מייצר צמיחה באמצעות תאימות ל-ISO 27001 באמצעות ISMS.online

קרא מקרה מבחן

← →

מהם השינויים מ-ISO 27001:2013?

נספח A 5.15 ב-27001:2022 הוא שילוב של שתי בקרות דומות ב-27001:2013 - נספח A 9.1.1 (מדיניות בקרת גישה) ובנספח A 9.1.2 (גישה לרשתות ושירותי רשת).

הנושאים הבסיסיים של A.9.1.1 ו-A.9.1.2 דומים לאלה שבנספח A 5.15, למעט כמה הבדלים תפעוליים עדינים.

כמו ב-2022, שתי הבקרות מתייחסות לניהול גישה למידע, נכסים ומשאבים ופועלות על פי העיקרון של "צריך לדעת", שבו מתייחסים לנתונים ארגוניים כאל מצרך הדורש ניהול והגנה זהירים.

קיימות 11 הנחיות ניהוליות ב-27001:2013 נספח A 9.1.1, שכולן עוקבות אחר אותם עקרונות כלליים כמו 27001:2022 נספח A בקרה 5.15 עם דגש מעט יותר גדול על אבטחה היקפית ואבטחה פיזית.

בדרך כלל יש אותן הנחיות יישום עבור בקרת גישה, אבל בקרת 2022 מספקת הדרכה הרבה יותר תמציתית ומעשית על פני ארבע הנחיות היישום שלה.

סוגי בקרות הגישה בשימוש ב-ISO 27001:2013 נספח A 9.1.1 השתנו

כאמור ב-ISO 27001 נספח A 5.15, צורות שונות של בקרת גישה הופיעו במהלך תשע השנים האחרונות (MAC, DAC, ABAC), בעוד שב-27001:2013 נספח A Control 9.1.1, השיטה העיקרית של בקרת גישה מסחרית באותה תקופה הזמן היה RBAC.

רמת הפירוט

בקרות 2013 צריכים להכיל קווים מנחים משמעותיים כיצד ארגון צריך לגשת לבקרות גישה פרטניות לאור שינויים טכנולוגיים המספקים לארגונים שליטה משופרת על הנתונים שלהם.

לעומת זאת, נספח A 5.15 של 27001:2022 מספק לארגונים גמישות ניכרת.

טבלה של כל בקרות ISO 27001:2022 נספח A

בטבלה למטה תמצא מידע נוסף על כל אחד ISO 27001:2022 נספח א' לִשְׁלוֹט.

כיצד ISMS.online יכול לעזור?

נספח A 5.15 של ISO 27001:2022 הוא כנראה הסעיף המדובר ביותר בנספח A, ויש הטוענים שהוא המשמעותי ביותר.

מערכת ניהול אבטחת המידע שלך (ISMS) מטרתה להבטיח שלאנשים המתאימים תהיה גישה למידע הנכון בזמן הנכון. אחד המפתחות להצלחה הוא לעשות את זה נכון, אבל ביצוע לא נכון יכול להשפיע לרעה על העסק שלך.

קחו בחשבון את התרחיש שבו חשפת בטעות מידע סודי של העובדים לאנשים הלא נכונים, כמו למשל מה משלמים לכל אחד בארגון.

אם אתה לא זהיר, ההשלכות של טעות בחלק זה עלולות להיות חמורות. לכן, הכרחי להקדיש זמן לשקול היטב את כל ההיבטים לפני שתמשיך.

בעניין זה, הפלטפורמה שלנו יכול להיות נכס אמיתי. הסיבה לכך היא שהוא עוקב אחר כל המבנה של ISO 27001 ומאפשר לך לאמץ, להתאים ולהעשיר את התוכן שאנו מספקים עבורך, מה שנותן לך התחלה משמעותית.

לקבל הדגמה חינם מ-ISMS.online היום.