ISO 27002:2022, בקרה 8.2 – זכויות גישה מורשות

הנחיות כלליות בנושא בקרה 8.2

בקרה 8.2 מתווה 12 נקודות הנחיה עיקריות לכך ארגונים צריכים לפעול בהתאם למדיניות "נושא ספציפית" בנושא בקרת גישה (ראה בקרה 5.15) המכוונת לפונקציות עסקיות בודדות.

ארגונים צריכים:

1. זהה רשימה של משתמשים הזקוקים לכל מידה של גישה מוסמכת - או עבור מערכת בודדת - כגון יישום מסד נתונים, או מערכת הפעלה בסיסית.
2. לשמור על מדיניות המקצה זכויות גישה מורשות למשתמשים במה שמכונה "אירוע על בסיס אירוע" - יש להעניק למשתמשים רמות גישה המבוססות על המינימום הנדרש עבורם לביצוע תפקידם.
3. מתווה תהליך הרשאה ברור העוסק בכל הבקשות לגישה מועדפת, לרבות שמירה על רישום של כל זכויות הגישה שיושמו.
4. ודא שזכויות הגישה כפופות לתאריכי תפוגה רלוונטיים.
5. נקוט בצעדים כדי להבטיח שמשתמשים כן מודע במפורש של כל פרק זמן שבו הם פועלים עם גישה מיוחסת למערכת.
6. במקרים רלוונטיים, המשתמשים מתבקשים לאמת מחדש לפני השימוש בזכויות גישה מורשות, על מנת להשפיע על אבטחת מידע/נתונים מוגברת.
7. בצע ביקורת תקופתית של זכויות גישה מורשות, במיוחד לאחר תקופה של שינויים ארגוניים. יש לבדוק את זכויות הגישה של המשתמשים בהתבסס על "חובותיהם, תפקידיהם, אחריותם וכשירותם" (ראה בקרה 5.18).
8. שקול לפעול עם מה שמכונה נוהל "שבירת זכוכית" - כלומר להבטיח שזכויות גישה מורשות מוענקות בתוך חלונות זמן מבוקרים היטב העומדים בדרישות המינימום לביצוע פעולה (שינויים קריטיים, ניהול מערכת וכו').
9. ודא שכל פעילויות הגישה המורשות נרשמות בהתאם.
10. מנע את השימוש בפרטי התחברות כלליים למערכת (במיוחד שמות משתמש וסיסמאות סטנדרטיים) (ראה בקרה 5.17).
11. שמור על מדיניות של הקצאת משתמשים עם זהות נפרדת, המאפשרת שליטה הדוקה יותר על זכויות גישה מורשות. לאחר מכן ניתן לקבץ זהויות כאלה יחד, כאשר לקבוצה המשויכת ניתנות רמות שונות של זכויות גישה.
12. ודא שזכויות גישה מורשות נשמרות למשימות קריטיות בלבד, הקשורות להמשך תפעול רשת ICT מתפקדת - כגון ניהול מערכת ותחזוקת רשת.

בקרות תומכות

• 5.15

שינויים והבדלים מ-ISO 27002:2013

בקרה 27002:2022-8.2 מחליפה את 27002:2013-9.2.3 (ניהול זכויות גישה מורשות).

27002:2022-8.2 מכיל 5 נקודות הנחיה עיקריות שאינן מפורשות במקביל שלה משנת 2013:

1. 27002:2022-8.2 אינו דורש במפורש מזהה משתמש אחר עבור זכויות גישה מורשות.
2. 27002:2022-8.2 מדגיש את הצורך באימות מחדש לפני קבלת זכויות גישה מורשות.
3. 27002:2022-8.2 תומך בגישת שבירת זכוכית בעת ביצוע מטלות תחזוקה קריטיות, המבוססת על חלונות זמן מבוקרים היטב.
4. 27002:2022-8.2 מבקש מארגונים לשמור יומני גישה מיוחסים יסודיים, למטרות ביקורת.
5. 27002:2022-8.2 מבקש מארגונים להגביל את השימוש בזכויות גישה מורשות למשימות ניהוליות.

כיצד ISMS.online עוזר

ISO 27002, בקרה 6.6, מכסה את הצורך של ארגונים למנוע דליפת מידע סודי על ידי קביעת הסכמי סודיות עם בעלי עניין וכוח אדם.

הפלטפורמה מבוססת הענן שלנו מספקת סט שלם של כלים כדי לסייע לארגונים בהקמת מערכת ניהול אבטחת מידע (ISMS) לפי ISO 27002.

כלים אלה כוללים:

• ספריית תבניות למסמכים ארגוניים נפוצים.
• קבוצה של מדיניות ונהלים מוגדרים מראש.
• כלי ביקורת לתמיכה בביקורות פנימיות.
• ממשק תצורה להתאמה אישית מדיניות ISMS ונהלים.
• זרימת עבודה של אישור עבור כל השינויים שנעשו במדיניות ובנהלים.
• רשימת בדיקה כדי לוודא שהמדיניות ותהליכי אבטחת המידע שלך עומדים בסטנדרטים הבינלאומיים המאושרים.

ISMS.Online מאפשר למשתמשים גם:

• נהל את כל ההיבטים של ה-ISMS מחזור חיים בקלות.
• קבל תובנות בזמן אמת לגבי מצב האבטחה שלהם ופערי התאימות.
• השתלב עם מערכות אחרות כמו משאבי אנוש, כספים וניהול פרויקטים.
• להוכיח ציות שלהם ISMS עם ISO 27001 DELETE THIS

הכלי ISMS.Online מספק גם הדרכה כיצד ליישם את ה-ISMS שלך בצורה הטובה ביותר על ידי מתן עצות כיצד ליצור מדיניות ונהלים הקשורים להיבטים כגון ניהול סיכונים, הדרכה למודעות אבטחת כוח אדם ותכנון תגובה לאירועים.