מטרת הבקרה 8.2
שימוש זדוני או שגוי בהרשאות מוגברות של מנהל מערכת הוא אחד הגורמים העיקריים להפרעות ICT ברשתות מסחריות בכל רחבי העולם.
זכויות גישה מורשות מאפשרות לארגונים לשלוט בגישה לתשתית, ליישומים, לנכסים ולשמור על שלמות כל הנתונים והמערכות המאוחסנים.
שליטה 8.2 היא א בקרה מונעת זֶה שומר על סיכון על ידי הקמת הרשאה תהליך המטפל בכל בקשות הגישה על פני רשת ה-ICT של הארגון והנכסים הנלווים.
טבלת בקרה של תכונות 8.2
| סוג הבקרה | מאפייני אבטחת מידע | מושגי אבטחת סייבר | יכולות מבצעיות | תחומי אבטחה |
|---|---|---|---|---|
| #מוֹנֵעַ | #סודיות | #לְהַגֵן | #ניהול זהות וגישה | #הֲגָנָה |
| #יושרה | ||||
| #זמינות |
בעלות על שליטה 8.2
בקרה 8.6 עוסקת ב- an היכולת של הארגון לשלוט בגישה לנתונים דרך חשבונות משתמש הנהנים מזכויות גישה משופרות.
ככזה, הבעלות צריכה להיות אצל ראש ה-IT (או שווה ערך ארגוני), המחזיק אחריות על הארגון היכולת לנהל ולפקח על חשבונות משתמש של דומיין או יישומים מורשים.
קבל headstart של 81%.
עשינו את העבודה הקשה בשבילך, ונתנו לך התחלה של 81% מרגע הכניסה.
כל שעליכם לעשות הוא להשלים את החסר.
הנחיות כלליות בנושא בקרה 8.2
בקרה 8.2 מתווה 12 נקודות הנחיה עיקריות לכך ארגונים צריכים לפעול בהתאם למדיניות "נושא ספציפית" בנושא בקרת גישה (ראה בקרה 5.15) המכוונת לפונקציות עסקיות בודדות.
ארגונים צריכים:
- זהה רשימה של משתמשים הזקוקים לכל מידה של גישה מוסמכת - או עבור מערכת בודדת - כגון יישום מסד נתונים, או מערכת הפעלה בסיסית.
- לשמור על מדיניות המקצה זכויות גישה מורשות למשתמשים במה שמכונה "אירוע על בסיס אירוע" - יש להעניק למשתמשים רמות גישה המבוססות על המינימום הנדרש עבורם לביצוע תפקידם.
- מתווה תהליך הרשאה ברור העוסק בכל הבקשות לגישה מועדפת, לרבות שמירה על רישום של כל זכויות הגישה שיושמו.
- ודא שזכויות הגישה כפופות לתאריכי תפוגה רלוונטיים.
- נקוט בצעדים כדי להבטיח שמשתמשים כן מודע במפורש של כל פרק זמן שבו הם פועלים עם גישה מיוחסת למערכת.
- במקרים רלוונטיים, המשתמשים מתבקשים לאמת מחדש לפני השימוש בזכויות גישה מורשות, על מנת להשפיע על אבטחת מידע/נתונים מוגברת.
- בצע ביקורת תקופתית של זכויות גישה מורשות, במיוחד לאחר תקופה של שינויים ארגוניים. יש לבדוק את זכויות הגישה של המשתמשים בהתבסס על "חובותיהם, תפקידיהם, אחריותם וכשירותם" (ראה בקרה 5.18).
- שקול לפעול עם מה שמכונה נוהל "שבירת זכוכית" - כלומר להבטיח שזכויות גישה מורשות מוענקות בתוך חלונות זמן מבוקרים היטב העומדים בדרישות המינימום לביצוע פעולה (שינויים קריטיים, ניהול מערכת וכו').
- ודא שכל פעילויות הגישה המורשות נרשמות בהתאם.
- מנע את השימוש בפרטי התחברות כלליים למערכת (במיוחד שמות משתמש וסיסמאות סטנדרטיים) (ראה בקרה 5.17).
- שמור על מדיניות של הקצאת משתמשים עם זהות נפרדת, המאפשרת שליטה הדוקה יותר על זכויות גישה מורשות. לאחר מכן ניתן לקבץ זהויות כאלה יחד, כאשר לקבוצה המשויכת ניתנות רמות שונות של זכויות גישה.
- ודא שזכויות גישה מורשות נשמרות למשימות קריטיות בלבד, הקשורות להמשך תפעול רשת ICT מתפקדת - כגון ניהול מערכת ותחזוקת רשת.
בקרות תומכות
- 5.15
ציות לא חייב להיות מסובך.
עשינו את העבודה הקשה בשבילך, ונתנו לך התחלה של 81% מרגע הכניסה.
כל שעליכם לעשות הוא להשלים את החסר.
שינויים והבדלים מ-ISO 27002:2013
בקרה 27002:2022-8.2 מחליפה את 27002:2013-9.2.3 (ניהול זכויות גישה מורשות).
27002:2022-8.2 מכיל 5 נקודות הנחיה עיקריות שאינן מפורשות במקביל שלה משנת 2013:
- 27002:2022-8.2 אינו דורש במפורש מזהה משתמש אחר עבור זכויות גישה מורשות.
- 27002:2022-8.2 מדגיש את הצורך באימות מחדש לפני קבלת זכויות גישה מורשות.
- 27002:2022-8.2 תומך בגישת שבירת זכוכית בעת ביצוע מטלות תחזוקה קריטיות, המבוססת על חלונות זמן מבוקרים היטב.
- 27002:2022-8.2 מבקש מארגונים לשמור יומני גישה מיוחסים יסודיים, למטרות ביקורת.
- 27002:2022-8.2 מבקש מארגונים להגביל את השימוש בזכויות גישה מורשות למשימות ניהוליות.
בקרות חדשות ISO 27002
פקדים חדשים
| מזהה בקרה ISO/IEC 27002:2022 | ISO/IEC 27002:2013 מזהה בקרה | שם בקרה |
|---|---|---|
| 5.7 | חדש | אינטליגנציה מאיימת |
| 5.23 | חדש | אבטחת מידע לשימוש בשירותי ענן |
| 5.30 | חדש | מוכנות ICT להמשכיות עסקית |
| 7.4 | חדש | ניטור אבטחה פיזית |
| 8.9 | חדש | ניהול תצורה |
| 8.10 | חדש | מחיקת מידע |
| 8.11 | חדש | מיסוך נתונים |
| 8.12 | חדש | מניעת דליפת נתונים |
| 8.16 | חדש | פעילויות ניטור |
| 8.23 | חדש | סינון אינטרנט |
| 8.28 | חדש | קידוד מאובטח |
בקרות ארגוניות
אנשים בקרות
| מזהה בקרה ISO/IEC 27002:2022 | ISO/IEC 27002:2013 מזהה בקרה | שם בקרה |
|---|---|---|
| 6.1 | 07.1.1 | סריקה |
| 6.2 | 07.1.2 | תנאי העסקה |
| 6.3 | 07.2.2 | מודעות, חינוך והדרכה לאבטחת מידע |
| 6.4 | 07.2.3 | תהליך משמעתי |
| 6.5 | 07.3.1 | אחריות לאחר סיום או שינוי עבודה |
| 6.6 | 13.2.4 | הסכמי סודיות או סודיות |
| 6.7 | 06.2.2 | עבודה מרחוק |
| 6.8 | 16.1.2, 16.1.3 | דיווח על אירועי אבטחת מידע |
בקרות פיזיות
| מזהה בקרה ISO/IEC 27002:2022 | ISO/IEC 27002:2013 מזהה בקרה | שם בקרה |
|---|---|---|
| 7.1 | 11.1.1 | היקפי אבטחה פיזית |
| 7.2 | 11.1.2, 11.1.6 | כניסה פיזית |
| 7.3 | 11.1.3 | אבטחת משרדים, חדרים ומתקנים |
| 7.4 | חדש | ניטור אבטחה פיזית |
| 7.5 | 11.1.4 | הגנה מפני איומים פיזיים וסביבתיים |
| 7.6 | 11.1.5 | עבודה באזורים מאובטחים |
| 7.7 | 11.2.9 | שולחן כתיבה ברור ומסך ברור |
| 7.8 | 11.2.1 | מיקום ומיגון ציוד |
| 7.9 | 11.2.6 | אבטחת נכסים מחוץ לשטח |
| 7.10 | 08.3.1, 08.3.2, 08.3.3, 11.2.5 | אחסון מדיה |
| 7.11 | 11.2.2 | כלי עזר תומכים |
| 7.12 | 11.2.3 | אבטחת כבלים |
| 7.13 | 11.2.4 | תחזוקת ציוד |
| 7.14 | 11.2.7 | סילוק מאובטח או שימוש חוזר בציוד |
בקרות טכנולוגיות
כיצד ISMS.online עוזר
ISO 27002, בקרה 6.6, מכסה את הצורך של ארגונים למנוע דליפת מידע סודי על ידי קביעת הסכמי סודיות עם בעלי עניין וכוח אדם.
הפלטפורמה מבוססת הענן שלנו מספקת סט שלם של כלים כדי לסייע לארגונים בהקמת מערכת ניהול אבטחת מידע (ISMS) לפי ISO 27002.
כלים אלה כוללים:
- ספריית תבניות למסמכים ארגוניים נפוצים.
- קבוצה של מדיניות ונהלים מוגדרים מראש.
- כלי ביקורת לתמיכה בביקורות פנימיות.
- ממשק תצורה להתאמה אישית מדיניות ISMS ונהלים.
- זרימת עבודה של אישור עבור כל השינויים שנעשו במדיניות ובנהלים.
- רשימת בדיקה כדי לוודא שהמדיניות ותהליכי אבטחת המידע שלך עומדים בסטנדרטים הבינלאומיים המאושרים.
ISMS.Online מאפשר למשתמשים גם:
- נהל את כל ההיבטים של ה-ISMS מחזור חיים בקלות.
- קבל תובנות בזמן אמת לגבי מצב האבטחה שלהם ופערי התאימות.
- השתלב עם מערכות אחרות כמו משאבי אנוש, כספים וניהול פרויקטים.
- להוכיח ציות שלהם ISMS עם ISO 27001 DELETE THIS
הכלי ISMS.Online מספק גם הדרכה כיצד ליישם את ה-ISMS שלך בצורה הטובה ביותר על ידי מתן עצות כיצד ליצור מדיניות ונהלים הקשורים להיבטים כגון ניהול סיכונים, הדרכה למודעות אבטחת כוח אדם ותכנון תגובה לאירועים.
קפוץ לנושא
