ISO 27002:2022, בקרה 5.17 – מידע אימות

בעלות על שליטה 5.17

בהתחשב בכך שבקרה 5.17 כרוכה בהקמה ויישום של כללים, נהלים ואמצעים כלל-ארגוניים להקצאה וניהול של מידע אימות, קציני אבטחת מידע צריכים להיות אחראים לציות לבקרה 5.17.

הנחיות בנושא הקצאת מידע אימות

ארגונים צריכים לעמוד בשש הדרישות הבאות להקצאה וניהול של מידע אימות:

• כאשר סיסמאות אישיות או מספרי זיהוי אישיים נוצרות אוטומטית לרישום של משתמשים חדשים, הם צריכים להיות בלתי ניתנים לניחוש. יתר על כן, סיסמאות צריכות להיות ייחודיות לכל משתמש וחובה להחליף סיסמאות לאחר השימוש הראשון.
• ארגונים צריכים לקבוע נהלים חזקים כדי לאמת את זהותו של משתמש לפני שיינתן לו/ה מידע אימות חדש או חלופי או שהוא/היא מסופק עם מידע זמני.
• ארגונים צריכים להבטיח שידור מאובטח של מידע אימות לאנשים באמצעות ערוצים מאובטחים והם לא צריכים לשלוח מידע זה באמצעות הודעות אלקטרוניות לא מאובטחות (למשל טקסט ברור).
• על המשתמשים לאשר את קבלת פרטי האימות.
• לאחר התקנת מערכות IT ותוכנות חדשות, ארגונים צריכים לשנות מיד את פרטי האימות המוגדרים כברירת מחדל.
• ארגונים צריכים להקים ולתחזק תיעוד של כל האירועים החשובים הקשורים לניהול והקצאת מידע אימות. יתרה מזאת, יש לשמור על רשומות אלו בסודיות ויש לאשר שיטות שמירת רישומים כגון באמצעות כלי סיסמאות מאושר.

הנחיות לגבי אחריות המשתמש

משתמשים שיכולים לגשת למידע אימות ולהשתמש בהם, צריכים לקבל הוראה לציית לדרישות הבאות:

1. על המשתמשים לשמור על סודיות פרטי האימות הסודיים כגון סיסמאות ואסור לשתף מידע סודי כזה עם אף אחד אחר. כאשר משתמשים מרובים מעורבים בשימוש במידע אימות או שהמידע מקושר לישויות לא אישיות, אין לחשוף את פרטי האימות לאנשים לא מורשים.
2. המשתמשים חייבים לשנות את הסיסמאות שלהם באופן מיידי אם סודיות הסיסמאות שלהם נפגעת.
3. על המשתמשים לבחור סיסמאות חזקות שקשה לנחש על ידי ביצוע שיטות עבודה מומלצות בתעשייה. לדוגמה:
• אין לבחור סיסמאות על סמך מידע אישי שקל להשיג, כגון שמות או תאריכי לידה.
• אין ליצור סיסמאות על סמך שום דבר שניתן לנחש בקלות.
• סיסמאות לא יכללו מילים במילון או שילובים של מילים אלו.
• יש להשתמש בתווים אלפאנומריים ותווים מיוחדים בסיסמה.
• צריך להיות אורך מינימלי לסיסמאות.
4. משתמשים לא צריכים להשתמש באותה סיסמה עבור שירותים שונים.
5. ארגונים צריכים לכלול את הדרישות ליצירה ושימוש בסיסמאות בחוזי העבודה שלהם עם עובדיהם.

הדרכה על מערכות ניהול סיסמאות

ארגונים צריכים לעמוד בדרישות הבאות בעת הקמת מערכת לניהול סיסמאות:

• יש לאפשר למשתמשים ליצור ולשנות את הסיסמאות שלהם וצריך להיות נוהל אישור כדי להבטיח שגיאות קלט מזוהות ונפתרות.
• ארגונים צריכים ליישם תהליך בחירת סיסמה חזק, תוך התחשבות בשיטות העבודה המומלצות בתעשייה לבחירת סיסמה.
• יש לאלץ משתמשים לשנות את סיסמאות ברירת המחדל שלהם לאחר גישה ראשונה למערכת.
• יש ליישם שינויים בסיסמא כאשר יש צורך בכך. לדוגמה, שינוי סיסמה יהיה הכרחי לאחר אירוע אבטחה או בעקבות סיום העסקה עם משתמש אם למשתמש יש גישה לסיסמאות.
• אין לעשות שימוש חוזר בסיסמאות קודמות.
• יש לאסור שימוש בסיסמאות נפוצות ביותר או בסיסמאות או שמות משתמש שנפגעו המשמשים לגישה למערכות פרוצים.
• כאשר הזנת סיסמאות, הן אמורות להיות גלויות על המסך בטקסט רגיל.
• יש לאחסן ולהעביר סיסמאות בערוצים מוגנים ובפורמט מאובטח.

יתר על כן, ארגונים צריכים לבצע טכניקות גיבוב והצפנה בהתאם לשיטות ההצפנה המורשות לסיסמאות כפי שנקבעו בבקרה 8.24.

הנחיות משלימות בקרה 5.17

בנוסף לסיסמאות, ישנם סוגים נוספים של מידע אימות כגון מפתחות קריפטוגרפיים, כרטיסים חכמים ונתונים ביומטריים כגון טביעות אצבע.

מומלץ לארגונים לעיין ב-ISO/IEC 24760 Series לקבלת הנחיות מפורטות יותר לגבי מידע אימות.

בהתחשב בכך ששינוי תכוף של סיסמאות עשוי להיות מסורבל ומעצבן עבור משתמשים, ארגונים עשויים לשקול ליישם שיטות חלופיות כגון כניסה יחידה או כספות סיסמאות. עם זאת, יש לציין כי שיטות חלופיות אלו עשויות לחשוף מידע אימות לסיכון גבוה יותר לחשיפה בלתי מורשית.

שינויים והבדלים מ-ISO 27002:2013

27002:2022/5.17 מחליף את 27002:2013/(9.2.4, 9.3.1 9.4.3)

גרסת 2022 מכילה דרישה חדשה להקצאה וניהול של מידע אימות

למרות שגרסת 2013 ו-2022 דומות מאוד מבחינת הדרישות להקצאה וניהול של מידע אימות, ה-Control 5.17 בגרסת 2022 מציג את הדרישה הבאה, שלא נכללה בגרסת 2013:

• ארגונים צריכים להקים ולתחזק תיעוד של כל האירועים החשובים הקשורים לניהול והקצאת מידע אימות. יתרה מזאת, יש לשמור על רשומות אלו בסודיות ויש לאשר שיטות שמירת רישומים כגון באמצעות כלי סיסמאות מאושר.

בקרה 5.17 בגרסת 2022 מכילה דרישה נוספת לשימוש במידע אימות

בקרה 5.17 מציגה את הדרישה הבאה לאחריות המשתמש שלא הוזכרה בבקרה 9.3.1 בגרסת 2013.

• ארגונים צריכים לכלול את הדרישות ליצירה ושימוש בסיסמאות בחוזי העבודה שלהם עם עובדיהם וצוותיהם.

גרסת 2013 הכילה דרישות נוספות לאחריות המשתמש שלא נכללה בגרסת 2022

בניגוד לגרסת 2022, בקרה 9.3.1 הכילה את הדרישה הבאה לשימוש במידע אימות:

• למשתמשים אסור להשתמש באותו פרטי אימות כגון סיסמה למטרות עסקיות ולא עסקיות כאחד.

גרסת 2013 הכילה דרישה נוספת למערכות ניהול סיסמאות שלא נכללה בגרסת 2022

בקרה 9.4.3 בגרסת 2013 כללה את הדרישה הבאה למערכות ניהול סיסמאות.

• יש לארח קבצים המכילים סיסמאות במערכת נפרדת מנתוני מערכת האפליקציה.

בקרת 5.17 בגרסת 2022, להיפך, לא כללה דרישה זו.

כיצד ISMS.online עוזר

ISMS.Online מסייעת לארגונים ועסקים לעמוד בדרישות של ISO 27002 על ידי מתן פלטפורמה המאפשרת לנהל בקלות את המדיניות והנהלים בנושא סודיות או אי-חשיפה, לעדכן אותם לפי הצורך, לבדוק אותם ולנטר את יעילותם.

אנו מספקים פלטפורמה מבוססת ענן לניהול מערכות ניהול סודיות ואבטחת מידע, לרבות סעיפי אי חשיפה, ניהול סיכונים, מדיניות, תוכניות ונהלים, במיקום מרכזי אחד. הפלטפורמה קלה לשימוש ובעלת ממשק אינטואיטיבי המקל על לימוד השימוש.

פנה אלינו עוד היום ל קבע הדגמה.