ISO 27002:2022, בקרה 5.15 – בקרת גישה

ליווי כללי

עמידה ב-Control 5.15 כרוכה בשמירה על מה שמכונה א גישה 'ספציפית לנושא' לבקרת גישה (הידועה יותר כגישה 'ספציפית לבעיה').

גישות ספציפיות לנושא מעודדות ארגונים ליצור Access מדיניות בקרה המותאמים לפונקציות עסקיות אינדיבידואליות, במקום לדבוק במדיניות גורפת של בקרת גישה החלה על גישה לנתונים ולמשאבים בכל רחבי הלוח.

Control 5.15 מחייב מדיניות בקרת גישה בכל התחומים הספציפיים לנושא כדי לקחת בחשבון את 11 נקודות ההנחיה הבאות. חלק מנקודות ההדרכה שלהלן מצטלבות עם פקדים שונים אחרים, המפורטים לעיון.

ארגונים צריכים להתייעץ עם בקרות הנלוות הללו על בסיס כל מקרה לגופו, למידע נוסף.

• קבע אילו ישויות דורשות גישה לחלקים מסוימים של מידע ו/או נכסים.
  
  

  מענה לארועים - ניתן להשיג זאת בקלות על ידי שמירה על רישום מדויק של תפקידי התפקיד ודרישות הגישה לנתונים, התואם את המבנה הארגוני שלך.

• השלמות והאבטחה של כל היישומים הרלוונטיים (מקושרים עם Control 8.2)
  
  

  מענה לארועים - רשמי הערכת סיכונים יכול להתבצע כדי לבחון את מאפייני האבטחה של יישומים בודדים.

• בקרות גישה פיזיות (אתר) (מקושרות לפקדים 7.2, 7.3 ו-7.4)
  
  

  מענה לארועים – הארגון שלך צריך להיות מסוגל להוכיח שיש לך מערכת חזקה של בקרות גישה לבניין ולחדר, כולל מערכות כניסה מנוהלות, היקפי אבטחה ונהלי מבקרים, במידת הצורך.

• עיקרון "צריך לדעת" כלל החברה, בכל הנוגע להפצת מידע, אבטחה וסיווג (מקושר ל-5.10, 5.12 ו-5.13)
  
  

  מענה לארועים - חברות צריכות לדבוק במדיניות קפדנית של שיטות עבודה מומלצות שאינן מציעות גישה גורפת לנתונים על פני תרשים ארגוני.

• הבטח הגבלות על זכויות גישה מורשות (מקושר ל-8.2)
  
  

  מענה לארועים - הרשאות גישה לנתונים מעל ומעבר לזו של משתמש רגיל צריכות להיות קרובות מפוקחים ומבוקרים.

• עמידה בכל חלקי החקיקה הרווחים, הנחיות רגולטוריות ספציפיות למגזר או התחייבויות חוזיות הקשורות לגישה לנתונים (מקושרים ל-5.31, 5.32, 5.33, 5.34 ו-8.3)
  
  

  מענה לארועים – ארגונים מתאימים את מדיניות בקרת הגישה שלהם בהתאם לכל התחייבות חיצונית שיש להם בכל הקשור לגישה לנתונים, לנכסים ולמשאבים.

• פיקוח על ניגודי חובות אפשריים
  
  

  מענה לארועים – מדיניות צריכה לכלול בקרות המבטלות את יכולתו של אדם להתפשר על פונקציית בקרת גישה רחבה יותר, בהתבסס על רמות הגישה שלו (כלומר עובד שיש לו את היכולת לבקש, לאשר וליישם שינויים ברשת).

• יש להתייחס לשלושת הפונקציות העיקריות של מדיניות בקרת גישה - בקשות, הרשאות וניהול - בנפרד
  
  

  מענה לארועים – מדיניות בקרת גישה צריכה להכיר בכך שבעוד שבקרת גישה היא פונקציה עצמאית, היא מורכבת ממספר שלבים בודדים הנושאים סט דרישות משלהם על בסיס נושא-נושא.

• בקשות גישה צריכות להתנהל בצורה מובנית, פורמלית (מקושרת ל-5.16 ו-5.18)
  
  

  מענה לארועים - ארגונים צריכים ליישם תהליך הרשאה הדורש אישור רשמי ומתועד מאת חבר צוות מתאים.

• ניהול שוטף של זכויות גישה (מקושר ל-5.18)
  
  

  מענה לארועים – יש לשמור על שלמות הנתונים ועל היקפי האבטחה באמצעות מחזור מתמשך של ביקורות תקופתיות, פיקוח על משאבי אנוש (עוזבים וכו') ושינויים ספציפיים לתפקיד (למשל מהלכים מחלקתיים ותיקוני תפקידים).

• שמירה על יומנים נאותים ושליטה בגישה אליהם
  
  

  מענה לארועים - הארגון צריך לאסוף ולאחסן נתונים על אירועי גישה (למשל פעילות קבצים) לצד הגנה מפני גישה בלתי מורשית ליומני אירועי אבטחה, ולפעול עם מערך מקיף של ניהול אירועים נהלים.

הנחיות ליישום כללי בקרת גישה

כפי שדיברנו, כללי בקרת גישה מוענקים לגופים שונים (אנושיים ולא אנושיים) הקיימים ברשת נתונה, אשר בתורם מקבלים 'תפקידים' שמכתיבים את הדרישות הכוללות שלהם.

כאשר הארגון שלך מגדיר ומפעיל סט משלו של מדיניות בקרת גישה, 5.15 מבקש ממך לקחת את 4 הנקודות הבאות בחשבון:

1. ודא עקביות בין זכות הגישה, לבין סוג הנתונים שהיא חלה עליהם.
2. ודא עקביות בין זכות הגישה, לבין דרישות אבטחה פיזיות של הארגון שלך (היקפים וכו').
3. כאשר הארגון שלך פועל תחת סביבת מחשוב מבוזרת הכוללת מספר רב של רשתות או קבוצות של משאבים נפרדות (כגון סביבה מבוססת ענן), זכויות הגישה לוקחות בחשבון את ההשלכות של נתונים הכלולים במגוון רחב של שירותי רשת.
4. שים לב להשלכות סביב בקרות גישה דינמיות (שיטת גישה מפורטת המיושמת על ידי מנהלי מערכת לקבוצה מפורטת של משתנים).

תיעוד ואחריות מוגדרת

בקרה 5.15 מפורשת בדרישה מארגונים להתעסק בתיעוד וברשימה מובנית של אחריות. ISO 27002 מכיל דרישות דומות רבות על פני כל רשימת הפקדים שלה - להלן הפקדים הבודדים הרלוונטיים ביותר ל-5.15:

תיעוד

• 5.16
• 5.17
• 5.18
• 8.2
• 8.3
• 8.4
• 8.5
• 8.18

אחריות

• 5.2
• 5.17

גרגיריות

Control 5.15 מעניק לארגונים מרחב פעולה משמעותי בכל הנוגע לבחירת רמת הפירוט הכלולה בכללי בקרת הגישה שלהם.

ISO ממליצה לחברות להפעיל את שיקול הדעת שלהן לגבי כמה מפורט צריך להיות סט כללים נתון על בסיס עובד לעובד, וכמה משתני גישה מיושמים על כל פיסת נתונים.

5.15 מודה במפורש שככל שמדיניות בקרת הגישה של חברה מפורטת יותר, כך העלות גדולה יותר וכל הרעיון של בקרת גישה הופך לקשה יותר על פני מספר מיקומים, סוגי רשת ומשתני יישומים.

בקרת גישה כמושג, אלא אם כן מנוהל מקרוב, עלולה לצאת מכלל שליטה בקרוב. זה כמעט תמיד רעיון טוב לפשט את כללי בקרת הגישה כדי להפוך אותם לקלים יותר וחסכוניים יותר לניהולם.

שינויים מ-ISO 27002:2013

27002:2013/5.15 הוא שילוב של שני בקרות דומות ב-27002:2013 - 9.1.1 (מדיניות בקרת גישה) ו 9.1.2 (גישה לרשתות ושירותי רשת).

באופן כללי, הן 9.1.1 והן 9.1.2 עוסקות באותם נושאים בסיסיים כמו 5.15 ועוקבות באופן כללי אחר אותה מערכת של הנחיות ממשל, עם כמה הבדלים תפעוליים עדינים.

הן הבקרות של 2022 והן של 2013 עוסקות בניהול גישה למידע, נכסים ומשאבים ופועלות לפי עיקרון "צריך לדעת" שמתייחס לנתונים ארגוניים כאל מצרך שצריך לנהל ולהגן מקרוב.

כל 27002 הקווים המנחים של 2013:9.1.1/11 פועלים באותם קווים כלליים כפי שניתן לראות ב-27002:2013/5.15, כאשר האחרונים שמים דגש מעט יותר על אבטחה פיזית ואבטחה היקפית.

ההנחיות התומכות לגבי הטמעת בקרת גישה זהה בגדול, אולם בקרת 2022 עושה עבודה הרבה יותר טובה בהצעת הדרכה תמציתית ומעשית על פני 4 הנחיות היישום שלה.

שינויים בסוגי בקרות הגישה מ-9.1.1

5.15 מכיר בסוגים השונים של שיטות בקרת גישה שהופיעו במהלך 9 השנים האחרונות (MAC, DAC, ABAC), ואילו 27002:2013/9.1.1 מגביל את ההנחיות שלו ל-RBAC - השיטה הנפוצה ביותר של בקרת גישה מסחרית באותה תקופה .

גרגיריות

יחד עם שינויים טכנולוגיים המציעים לארגונים שליטה רבה יותר על הנתונים שלהם, אף אחד מהבקרות של 2013 אינו מכיל שום כיוון משמעותי לגבי האופן שבו ארגון צריך לגשת לבקרות גישה פרטניות, בעוד ש-27002:2013/5.15 נותן לארגונים מרחב פעולה משמעותי.