ניהול מידע אימות מאובטח: ISO 27002 בקרה 5.17 הסבר
מידע אימות כגון סיסמאות, מפתחות הצפנה ושבבי כרטיסים הם השער למערכות מידע המארחות נכסי מידע רגישים.
ניהול לקוי או הקצאה לא נכונה של מידע אימות עלולים לגרום לגישה לא מורשית למערכות מידע ולאובדן סודיות, זמינות ושלמות של נכסי מידע רגיש.
לדוגמה, מחקר 2021 של GoodFirm מראה כי 30% מכלל הפרצות הנתונים מתרחשות כתוצאה מססמאות חלשות או שיטות ניהול לקויות של סיסמאות.
לכן, לארגונים צריך להיות תהליך ניהול מידע אימות חזק כדי להקצות, לנהל ולהגן על מידע אימות.
מטרת הבקרה 5.17
בקרה 5.17 מאפשרת לארגונים להקצות ולנהל כראוי מידע אימות, למנוע סיכונים לכשל בתהליך האימות ולמנוע סיכוני אבטחה שעלולים להיווצר עקב פגיעה במידע האימות.
תכונות שליטה 5.17
בקרה 5.17 היא סוג מניעתי של בקרה הדורש מארגונים להקים וליישם תהליך ניהול מידע אימות מתאים.
| סוג הבקרה | מאפייני אבטחת מידע | מושגי אבטחת סייבר | יכולות מבצעיות | תחומי אבטחה |
|---|---|---|---|---|
| #מוֹנֵעַ | #סודיות | #לְהַגֵן | #ניהול זהות וגישה | #הֲגָנָה |
| #יושרה | ||||
| #זמינות |
בעלות על שליטה 5.17
בהתחשב בכך שבקרה 5.17 כרוכה בהקמה ויישום של כללים, נהלים ואמצעים כלל-ארגוניים להקצאה וניהול של מידע אימות, קציני אבטחת מידע צריכים להיות אחראים לציות לבקרה 5.17.
שחררו את עצמכם מהר של גיליונות אלקטרוניים
הטמע, הרחב והרחיב את תאימותך, ללא כל בלגן. IO מעניק לך את החוסן והביטחון לצמוח בצורה מאובטחת.
הנחיות בנושא הקצאת מידע אימות
ארגונים צריכים לעמוד בשש הדרישות הבאות להקצאה וניהול של מידע אימות:
- כאשר סיסמאות אישיות או מספרי זיהוי אישיים נוצרות אוטומטית לרישום של משתמשים חדשים, הם צריכים להיות בלתי ניתנים לניחוש. יתר על כן, סיסמאות צריכות להיות ייחודיות לכל משתמש וחובה להחליף סיסמאות לאחר השימוש הראשון.
- ארגונים צריכים לקבוע נהלים חזקים כדי לאמת את זהותו של משתמש לפני שיינתן לו/ה מידע אימות חדש או חלופי או שהוא/היא מסופק עם מידע זמני.
- ארגונים צריכים להבטיח שידור מאובטח של מידע אימות לאנשים באמצעות ערוצים מאובטחים והם לא צריכים לשלוח מידע זה באמצעות הודעות אלקטרוניות לא מאובטחות (למשל טקסט ברור).
- על המשתמשים לאשר את קבלת פרטי האימות.
- לאחר התקנת מערכות IT ותוכנות חדשות, ארגונים צריכים לשנות מיד את פרטי האימות המוגדרים כברירת מחדל.
- ארגונים צריכים להקים ולתחזק תיעוד של כל האירועים החשובים הקשורים לניהול והקצאת מידע אימות. יתרה מזאת, יש לשמור על רשומות אלו בסודיות ויש לאשר שיטות שמירת רישומים כגון באמצעות כלי סיסמאות מאושר.
הנחיות לגבי אחריות המשתמש
משתמשים שיכולים לגשת למידע אימות ולהשתמש בהם, צריכים לקבל הוראה לציית לדרישות הבאות:
- על המשתמשים לשמור על סודיות פרטי האימות הסודיים כגון סיסמאות ואסור לשתף מידע סודי כזה עם אף אחד אחר. כאשר משתמשים מרובים מעורבים בשימוש במידע אימות או שהמידע מקושר לישויות לא אישיות, אין לחשוף את פרטי האימות לאנשים לא מורשים.
- המשתמשים חייבים לשנות את הסיסמאות שלהם באופן מיידי אם סודיות הסיסמאות שלהם נפגעת.
- על המשתמשים לבחור סיסמאות חזקות שקשה לנחש על ידי ביצוע שיטות עבודה מומלצות בתעשייה. לדוגמה:
- אין לבחור סיסמאות על סמך מידע אישי שקל להשיג, כגון שמות או תאריכי לידה.
- אין ליצור סיסמאות על סמך שום דבר שניתן לנחש בקלות.
- סיסמאות לא יכללו מילים במילון או שילובים של מילים אלו.
- יש להשתמש בתווים אלפאנומריים ותווים מיוחדים בסיסמה.
- צריך להיות אורך מינימלי לסיסמאות.
- משתמשים לא צריכים להשתמש באותה סיסמה עבור שירותים שונים.
- ארגונים צריכים לכלול את הדרישות ליצירה ושימוש בסיסמאות בחוזי העבודה שלהם עם עובדיהם.
ניהול כל דרישות התאימות, הכל במקום אחד
ISMS.online תומך ביותר מ-100 תקנים ותקנות, ומעניק לך פלטפורמה אחת לכל צרכי התאימות שלך.
הדרכה על מערכות ניהול סיסמאות
ארגונים צריכים לעמוד בדרישות הבאות בעת הקמת מערכת לניהול סיסמאות:
- יש לאפשר למשתמשים ליצור ולשנות את הסיסמאות שלהם וצריך להיות נוהל אישור כדי להבטיח שגיאות קלט מזוהות ונפתרות.
- ארגונים צריכים ליישם תהליך בחירת סיסמה חזק, תוך התחשבות בשיטות העבודה המומלצות בתעשייה לבחירת סיסמה.
- יש לאלץ משתמשים לשנות את סיסמאות ברירת המחדל שלהם לאחר גישה ראשונה למערכת.
- יש ליישם שינויים בסיסמא כאשר יש צורך בכך. לדוגמה, שינוי סיסמה יהיה הכרחי לאחר אירוע אבטחה או בעקבות סיום העסקה עם משתמש אם למשתמש יש גישה לסיסמאות.
- אין לעשות שימוש חוזר בסיסמאות קודמות.
- יש לאסור שימוש בסיסמאות נפוצות ביותר או בסיסמאות או שמות משתמש שנפגעו המשמשים לגישה למערכות פרוצים.
- כאשר הזנת סיסמאות, הן אמורות להיות גלויות על המסך בטקסט רגיל.
- יש לאחסן ולהעביר סיסמאות בערוצים מוגנים ובפורמט מאובטח.
יתר על כן, ארגונים צריכים לבצע טכניקות גיבוב והצפנה בהתאם לשיטות ההצפנה המורשות לסיסמאות כפי שנקבעו בבקרה 8.24.
הנחיות משלימות בקרה 5.17
בנוסף לסיסמאות, ישנם סוגים נוספים של מידע אימות כגון מפתחות קריפטוגרפיים, כרטיסים חכמים ונתונים ביומטריים כגון טביעות אצבע.
מומלץ לארגונים לעיין ב-ISO/IEC 24760 Series לקבלת הנחיות מפורטות יותר לגבי מידע אימות.
בהתחשב בכך ששינוי תכוף של סיסמאות עשוי להיות מסורבל ומעצבן עבור משתמשים, ארגונים עשויים לשקול ליישם שיטות חלופיות כגון כניסה יחידה או כספות סיסמאות. עם זאת, יש לציין כי שיטות חלופיות אלו עשויות לחשוף מידע אימות לסיכון גבוה יותר לחשיפה בלתי מורשית.
ISO 27001 בקלות
יתרון של 81% מהיום הראשון
עשינו את העבודה הקשה בשבילך, ונתנו לך התחלה של 81% מרגע הכניסה. כל שעליכם לעשות הוא להשלים את החסר.
שינויים והבדלים מ-ISO 27002:2013
27002:2022/5.17 מחליף את 27002:2013/(9.2.4, 9.3.1 9.4.3)
גרסת 2022 מכילה דרישה חדשה להקצאה וניהול של מידע אימות
למרות שגרסת 2013 ו-2022 דומות מאוד מבחינת הדרישות להקצאה וניהול של מידע אימות, ה-Control 5.17 בגרסת 2022 מציג את הדרישה הבאה, שלא נכללה בגרסת 2013:
- ארגונים צריכים להקים ולתחזק תיעוד של כל האירועים החשובים הקשורים לניהול והקצאת מידע אימות. יתרה מזאת, יש לשמור על רשומות אלו בסודיות ויש לאשר שיטות שמירת רישומים כגון באמצעות כלי סיסמאות מאושר.
בקרה 5.17 בגרסת 2022 מכילה דרישה נוספת לשימוש במידע אימות
בקרה 5.17 מציגה את הדרישה הבאה לאחריות המשתמש שלא הוזכרה בבקרה 9.3.1 בגרסת 2013.
- ארגונים צריכים לכלול את הדרישות ליצירה ושימוש בסיסמאות בחוזי העבודה שלהם עם עובדיהם וצוותיהם.
גרסת 2013 הכילה דרישות נוספות לאחריות המשתמש שלא נכללה בגרסת 2022
בניגוד לגרסת 2022, בקרה 9.3.1 הכילה את הדרישה הבאה לשימוש במידע אימות:
- למשתמשים אסור להשתמש באותו פרטי אימות כגון סיסמה למטרות עסקיות ולא עסקיות כאחד.
גרסת 2013 הכילה דרישה נוספת למערכות ניהול סיסמאות שלא נכללה בגרסת 2022
בקרה 9.4.3 בגרסת 2013 כללה את הדרישה הבאה למערכות ניהול סיסמאות.
- יש לארח קבצים המכילים סיסמאות במערכת נפרדת מנתוני מערכת האפליקציה.
בקרת 5.17 בגרסת 2022, להיפך, לא כללה דרישה זו.
בקרות חדשות ISO 27002
| מזהה בקרה ISO/IEC 27002:2022 | מזהה בקרה ISO/IEC 27002:2013 | שם בקרה |
|---|---|---|
| 5.7 | NEW | אינטליגנציה מאיימת |
| 5.23 | NEW | אבטחת מידע לשימוש בשירותי ענן |
| 5.30 | NEW | מוכנות ICT להמשכיות עסקית |
| 7.4 | NEW | ניטור אבטחה פיזית |
| 8.9 | NEW | ניהול תצורה |
| 8.10 | NEW | מחיקת מידע |
| 8.11 | NEW | מיסוך נתונים |
| 8.12 | NEW | מניעת דליפת נתונים |
| 8.16 | NEW | פעילויות ניטור |
| 8.23 | NEW | סינון אינטרנט |
| 8.28 | NEW | קידוד מאובטח |
| מזהה בקרה ISO/IEC 27002:2022 | מזהה בקרה ISO/IEC 27002:2013 | שם בקרה |
|---|---|---|
| 6.1 | 07.1.1 | סריקה |
| 6.2 | 07.1.2 | תנאי העסקה |
| 6.3 | 07.2.2 | מודעות, חינוך והדרכה לאבטחת מידע |
| 6.4 | 07.2.3 | תהליך משמעתי |
| 6.5 | 07.3.1 | אחריות לאחר סיום או שינוי עבודה |
| 6.6 | 13.2.4 | הסכמי סודיות או סודיות |
| 6.7 | 06.2.2 | עבודה מרחוק |
| 6.8 | 16.1.2, 16.1.3 | דיווח על אירועי אבטחת מידע |
| מזהה בקרה ISO/IEC 27002:2022 | מזהה בקרה ISO/IEC 27002:2013 | שם בקרה |
|---|---|---|
| 7.1 | 11.1.1 | היקפי אבטחה פיזית |
| 7.2 | 11.1.2, 11.1.6 | כניסה פיזית |
| 7.3 | 11.1.3 | אבטחת משרדים, חדרים ומתקנים |
| 7.4 | NEW | ניטור אבטחה פיזית |
| 7.5 | 11.1.4 | הגנה מפני איומים פיזיים וסביבתיים |
| 7.6 | 11.1.5 | עבודה באזורים מאובטחים |
| 7.7 | 11.2.9 | שולחן כתיבה ברור ומסך ברור |
| 7.8 | 11.2.1 | מיקום ומיגון ציוד |
| 7.9 | 11.2.6 | אבטחת נכסים מחוץ לשטח |
| 7.10 | 08.3.1, 08.3.2, 08.3.3, 11.2.5 | אחסון מדיה |
| 7.11 | 11.2.2 | כלי עזר תומכים |
| 7.12 | 11.2.3 | אבטחת כבלים |
| 7.13 | 11.2.4 | תחזוקת ציוד |
| 7.14 | 11.2.7 | סילוק מאובטח או שימוש חוזר בציוד |
כיצד ISMS.online עוזר
ISMS.Online מסייעת לארגונים ועסקים לעמוד בדרישות של ISO 27002 על ידי מתן פלטפורמה המאפשרת לנהל בקלות את המדיניות והנהלים בנושא סודיות או אי-חשיפה, לעדכן אותם לפי הצורך, לבדוק אותם ולנטר את יעילותם.
אנו מספקים פלטפורמה מבוססת ענן לניהול מערכות ניהול סודיות ואבטחת מידע, לרבות סעיפי אי חשיפה, ניהול סיכונים, מדיניות, תוכניות ונהלים, במיקום מרכזי אחד. הפלטפורמה קלה לשימוש ובעלת ממשק אינטואיטיבי המקל על לימוד השימוש.
פנה אלינו עוד היום ל קבע הדגמה.
