הבטחת גישה מאובטחת: ISO 27002 בקרה 5.18 הסבר
כל עובד בתוך הארגון שלך יצטרך לקבל גישה למחשבים מסוימים, מסדי נתונים, מערכות מידע ויישומים כדי לבצע את המשימות שלו.
לדוגמה, בעוד שאנשי משאבי אנוש עשויים להזדקק לגישה לנתוני בריאות רגישים של עובדים, מחלקת הכספים שלך עשויה להסתמך על גישה ושימוש במאגרי מידע המכילים פרטי שכר עובדים.
עם זאת, יש לספק, לשנות ולבטל את זכויות הגישה הללו בהתאם למדיניות בקרת הגישה של הארגון שלך ולבקרות הגישה שלו, כך שתוכל למנוע גישה בלתי מורשית לנכסי מידע, שינוי והשמדה.
לדוגמה, אם לא תבטל את זכויות הגישה של עובד לשעבר, עובד זה עלול לגנוב מידע רגיש.
בקרה 5.18 עוסקת כיצד ארגונים צריכים להקצות, לשנות ולבטל זכויות גישה תוך התחשבות בדרישות העסקיות.
מטרת הבקרה 5.18
בקרה 5.18 מאפשרת לארגון להקים וליישם נהלים ובקרות מתאימים להקצאה, שינוי וביטול של זכויות גישה למערכות מידע בהתאם למדיניות בקרת הגישה של הארגון ובקרות הגישה שלו.
תכונות שליטה 5.18
בקרה 5.18 היא בקרה מונעת המחייבת ארגונים לבטל את הסיכון של גישה לא מורשית למערכות מידע על ידי הצבת כללים, נהלים ובקרות חזקות.
| סוג הבקרה | מאפייני אבטחת מידע | מושגי אבטחת סייבר | יכולות מבצעיות | תחומי אבטחה |
|---|---|---|---|---|
| #מוֹנֵעַ | #סודיות | #לְהַגֵן | #ניהול זהות וגישה | #הֲגָנָה |
| #יושרה | ||||
| #זמינות |
ISO 27001 בקלות
יתרון של 81% מהיום הראשון
עשינו את העבודה הקשה בשבילך, ונתנו לך התחלה של 81% מרגע הכניסה. כל שעליכם לעשות הוא להשלים את החסר.
בעלות על שליטה 5.18
קצין אבטחת מידע צריך להיות אחראי לקבוע, ליישם ולבדוק כללים, תהליכים ובקרות מתאימים למתן, שינוי וביטול של זכויות גישה למערכות מידע.
בעת הקצאה, שינוי וביטול זכויות גישה, קצין אבטחת המידע צריך לשקול את הצרכים העסקיים ועליו לעבוד בשיתוף פעולה הדוק עם בעלי נכסי מידע כדי להבטיח שהכללים והתהליכים יישמרו.
הנחיות בנושא הענקת זכויות גישה ובביטולן
ארגונים צריכים לשלב את הכללים והבקרות הבאים בתהליך להקצאה וביטול של זכויות גישה לאדם מאומת:
- בעל נכס מידע צריך לספק את ההרשאה שלו לגישה ושימוש בנכסי מידע רלוונטיים. יתר על כן, ארגונים צריכים לשקול גם לבקש אישור נפרד מההנהלה למתן זכויות גישה.
- יש לקחת בחשבון את הצרכים העסקיים של הארגון ומדיניותו בנושא בקרת גישה.
- ארגונים צריכים לשקול הפרדת חובות. לדוגמה, משימת האישור והטמעת זכויות הגישה יכולים להתבצע על ידי אנשים נפרדים.
- כאשר אדם אינו זקוק עוד לגישה לנכסי מידע, במיוחד כאשר הוא אינו חלק מהארגון, יש לבטל מיד את זכויות הגישה שלו.
- ניתן לספק לכוח אדם או צוות אחר שעובד עבור הארגון באופן זמני זכויות גישה זמניות. יש לבטל זכויות אלו כאשר הן אינן עובדות יותר עבור הארגון.
- רמת הגישה הניתנת לאדם צריכה להיות בקנה אחד עם מדיניות בקרת הגישה של הארגון ויש לסקור ולאמת באופן קבוע. יתר על כן, זה צריך להיות גם בהתאם לדרישות אבטחת מידע אחרות כגון הפרדת תפקידים כפי שנקבע בבקרה 5.3.
- ארגונים צריכים להבטיח שזכויות גישה לא יופעלו עד להשלמת הליך ההרשאה המתאים.
- זכויות גישה הניתנות לכל מזהה אינדיבידואלי, כגון מזהה או פיזי, צריכות להיות מחוברות למערכת ניהול בקרת גישה מרכזית ויש לתחזק מערכת זו.
- אם התפקיד או החובות של אדם משתנים, יש לעדכן את רמת זכויות הגישה שלו.
- הסרה או שינוי של זכויות גישה פיזיות או לוגיות יכולות להתבצע באמצעות השיטות הבאות: הסרה או החלפה של מפתחות, תעודות זהות או מידע אימות.
- שינויים בזכויות הגישה הפיזיות והלוגיות של המשתמש צריכים להיות מחוברים למערכת ויש לשמור עליהם.
שחררו את עצמכם מהר של גיליונות אלקטרוניים
הטמע, הרחב והרחיב את תאימותך, ללא כל בלגן. IO מעניק לך את החוסן והביטחון לצמוח בצורה מאובטחת.
הנחיות משלימות בנושא סקירת זכויות גישה
זכויות גישה פיזיות והגיוניות צריכות לעבור בדיקות תקופתיות תוך התחשבות:
- שינויים בזכויות הגישה של כל משתמש לאחר קידום או הורדה בדרגה באותו ארגון, או לאחר סיום העסקתו.
- הליך הרשאה למתן זכויות גישה מורשות.
הנחיות לגבי שינוי או סיום העסקה
לפני שעובד מקודם או מורד בדרגה באותו ארגון או בעת סיום העסקתו, יש להעריך ולשנות את זכויות הגישה שלו למערכות עיבוד מידע תוך התחשבות בגורמי הסיכון הבאים:
- האם תהליך הפיטורים הוא ביוזמת העובד או על ידי הארגון והסיבה לפיטורין.
- אחריות שוטפת של העובד בתוך הארגון.
- ביקורתיות וערך של נכסי מידע הנגישים לעובד.
הדרכה משלימה
ארגונים צריכים לשקול הקמת תפקידי גישת משתמשים בהתבסס על הדרישות העסקיות שלהם. תפקידים אלה צריכים לכלול את סוגי ומספר זכויות הגישה שיוענקו לכל קבוצת משתמשים.
יצירת תפקידים כאלה תקל על הניהול והסקירה של בקשות גישה וזכויות.
ארגונים צריכים לכלול הוראות חוזיות לגישה בלתי מורשית וסנקציות בגין גישה כזו בחוזי העסקה/שירות שלהם עם הצוות שלהם. זה צריך להיות בהתאם לפקדים 5.20, 6.2, 6.4 ו-6.6.
ארגונים צריכים להיות זהירים מעובדים ממורמרים שמפוטרים על ידי ההנהלה מכיוון שהם עלולים לפגוע במערכות מידע בכוונה.
אם ארגונים מחליטים להשתמש בטכניקות השיבוט כדי להעניק זכויות גישה, עליהם לבצע זאת על בסיס תפקידים נפרדים שנקבעו על ידי הארגון.
יש לציין ששיבוט מגיע עם הסיכון הטמון במתן זכויות גישה מוגזמות.
ניהול כל דרישות התאימות, הכל במקום אחד
ISMS.online תומך ביותר מ-100 תקנים ותקנות, ומעניק לך פלטפורמה אחת לכל צרכי התאימות שלך.
שינויים והבדלים מ-ISO 27002:2013
27002:2022/5.18 מחליף את 27002:2013/(9.2.2, 9.2.5, 9.2.6).
גרסת 2022 מכילה דרישות מקיפות יותר להענקה וביטול של זכויות גישה
למרות ש-Control 9.2.2 בגרסת 2013 מונה שש דרישות להקצאה וביטול של זכויות גישה, Control 5.18 ב-2022 מציג שלוש דרישות חדשות בנוסף לשש הדרישות הללו:
- ניתן לספק לכוח אדם או צוות אחר שעובד עבור הארגון באופן זמני זכויות גישה זמניות. יש לבטל זכויות אלו כאשר הן אינן מבצעות עוד עבודה עבור הארגון.
- הסרה או שינוי של זכויות גישה פיזיות או לוגיות יכולות להתבצע באמצעות השיטות הבאות: הסרה או החלפה של מפתחות, תעודות זהות או מידע אימות.
- יש לרשום ולתחזק שינויים בזכויות הגישה הפיזיות והלוגיות של המשתמש.
גרסת 2013 מכילה דרישות מפורטות יותר עבור זכויות גישה מורשות
בקרה 9.5 בגרסה 2013 קבעה במפורש שארגונים צריכים לבדוק את ההרשאה לזכויות גישה מורשות במרווחים תכופים יותר מאשר זכויות גישה אחרות. בקרת 5.18 בגרסה 2022, להיפך, לא כללה דרישה זו.
בקרות חדשות ISO 27002
| מזהה בקרה ISO/IEC 27002:2022 | מזהה בקרה ISO/IEC 27002:2013 | שם בקרה |
|---|---|---|
| 5.7 | NEW | אינטליגנציה מאיימת |
| 5.23 | NEW | אבטחת מידע לשימוש בשירותי ענן |
| 5.30 | NEW | מוכנות ICT להמשכיות עסקית |
| 7.4 | NEW | ניטור אבטחה פיזית |
| 8.9 | NEW | ניהול תצורה |
| 8.10 | NEW | מחיקת מידע |
| 8.11 | NEW | מיסוך נתונים |
| 8.12 | NEW | מניעת דליפת נתונים |
| 8.16 | NEW | פעילויות ניטור |
| 8.23 | NEW | סינון אינטרנט |
| 8.28 | NEW | קידוד מאובטח |
| מזהה בקרה ISO/IEC 27002:2022 | מזהה בקרה ISO/IEC 27002:2013 | שם בקרה |
|---|---|---|
| 6.1 | 07.1.1 | סריקה |
| 6.2 | 07.1.2 | תנאי העסקה |
| 6.3 | 07.2.2 | מודעות, חינוך והדרכה לאבטחת מידע |
| 6.4 | 07.2.3 | תהליך משמעתי |
| 6.5 | 07.3.1 | אחריות לאחר סיום או שינוי עבודה |
| 6.6 | 13.2.4 | הסכמי סודיות או סודיות |
| 6.7 | 06.2.2 | עבודה מרחוק |
| 6.8 | 16.1.2, 16.1.3 | דיווח על אירועי אבטחת מידע |
| מזהה בקרה ISO/IEC 27002:2022 | מזהה בקרה ISO/IEC 27002:2013 | שם בקרה |
|---|---|---|
| 7.1 | 11.1.1 | היקפי אבטחה פיזית |
| 7.2 | 11.1.2, 11.1.6 | כניסה פיזית |
| 7.3 | 11.1.3 | אבטחת משרדים, חדרים ומתקנים |
| 7.4 | NEW | ניטור אבטחה פיזית |
| 7.5 | 11.1.4 | הגנה מפני איומים פיזיים וסביבתיים |
| 7.6 | 11.1.5 | עבודה באזורים מאובטחים |
| 7.7 | 11.2.9 | שולחן כתיבה ברור ומסך ברור |
| 7.8 | 11.2.1 | מיקום ומיגון ציוד |
| 7.9 | 11.2.6 | אבטחת נכסים מחוץ לשטח |
| 7.10 | 08.3.1, 08.3.2, 08.3.3, 11.2.5 | אחסון מדיה |
| 7.11 | 11.2.2 | כלי עזר תומכים |
| 7.12 | 11.2.3 | אבטחת כבלים |
| 7.13 | 11.2.4 | תחזוקת ציוד |
| 7.14 | 11.2.7 | סילוק מאובטח או שימוש חוזר בציוד |
כיצד ISMS.online עוזר
ISMS.online היא פלטפורמה מבוססת ענן המציעה סיוע ביישום תקן ISO 2702 בצורה יעילה וחסכונית.
הוא מספק לארגונים גישה קלה למידע עדכני על מצב התאימות שלהם בכל עת באמצעות ממשק לוח המחוונים הידידותי למשתמש שלו, המאפשר למנהלים לעקוב אחר ההתקדמות שלהם לקראת השגת תאימות במהירות ובקלות.
צור קשר עוד היום כדי הזמן הדגמה.
