מטרת הבקרה 8.5
אימות מאובטח הוא השיטה העיקרית שבה משתמשים אנושיים ושאינם אנושיים בניסיון לנצל את נכסי ה-ICT של הארגון.
במהלך העשור האחרון, טכנולוגיית האימות עברה שינוי מהותי מאימותים מסורתיים מבוססי שם משתמש/סיסמה למגוון טכניקות משלימות הכוללות מידע ביומטרי, בקרות גישה לוגיות ופיזיות, אימות מכשירים חיצוניים, קודי SMS וסיסמאות חד-פעמיות (OTP).
27002:2022-8.5 ממקם את כל זה בהקשר ומייעץ לארגונים כיצד בדיוק עליהם לשלוט בגישה למערכות ולנכסי ה-ICT שלהם באמצעות שער התחברות מאובטח.
בקרה 8.5 היא בקרה מונעת אשר שומרת על סיכונים על ידי יישום טכנולוגיה וקביעת נהלי אימות מאובטחים ספציפיים לנושא, אשר מבטיחים שמשתמשים וזהויות אנושיים ולא אנושיים יעברו הליך אימות חזק ומאובטח בעת ניסיון לגשת למשאבי טכנולוגיית מידע ותקשורת.
טבלת בקרה של תכונות 8.5
| סוג הבקרה | מאפייני אבטחת מידע | מושגי אבטחת סייבר | יכולות מבצעיות | תחומי אבטחה |
|---|---|---|---|---|
| #מוֹנֵעַ | #סודיות | #לְהַגֵן | #ניהול זהות וגישה | #הֲגָנָה |
| #יושרה | ||||
| #זמינות |
בעלות על שליטה 8.5
בקרה 8.5 עוסקת ביכולת של ארגון לשלוט בגישה לרשת שלו (והמידע והנתונים הכלולים בתוכה) בצמתים קריטיים, כגון שער כניסה.
בעוד שהבקרה אכן עוסקת באבטחת מידע ונתונים כתפיסה רחבה יותר, ההדרכה התפעולית היא בעיקר בעלת אופי טכני.
ככזה, הבעלות צריכה להיות בידי ראש מחלקת ה-IT (או מקביל ארגוני), אשר אחראי על פונקציות ניהול ה-IT היומיומיות של הארגון.
ISO 27001 בקלות
יתרון של 81% מהיום הראשון
עשינו את העבודה הקשה בשבילך, ונתנו לך התחלה של 81% מרגע הכניסה. כל שעליכם לעשות הוא להשלים את החסר.
הנחיות כלליות בנושא בקרה 8.5
Control 8.5 מבקש מארגונים לשקול בקרות אימות הרלוונטיות לסוג ולרגישות של הנתונים והרשת שאליהם ניגשים, כולל:
- אימות רב-גורמי (MFA)
- אישורים דיגיטליים
- בקרות גישה חכמות (כרטיסים חכמים)
- כניסות ביומטריות
- אסימונים מאובטחים
המטרה העליונה של בקרות האימות המאובטחות של ארגון צריכה להיות למנוע ו/או למזער את הסיכון לגישה בלתי מורשית למערכות המוגנות שלו.
כדי להשיג זאת, Control 8.5 מתאר 12 נקודות הנחיה עיקריות. ארגונים צריכים:
- הגבל את הצגת המידע עד לאחר ניסיון אימות מוצלח.
- הצג אזהרה מוקדמת כניסה המציינת בבירור שיש לגשת למידע רק על ידי משתמשים מורשים.
- צמצם למינימום את הסיוע שהוא מספק למשתמשים לא מאומתים המנסים לגשת למערכת, למשל ארגונים לא צריכים לחשוף איזה חלק ספציפי של ניסיון התחברות שגוי, כגון היבט ביומטרי של התחברות ל-MFA, ובמקום זאת פשוט לציין שניסיון ההתחברות נכשל. .
- אמת את ניסיון ההתחברות רק כאשר כל המידע הנדרש נמסר לשירות ההתחברות, לשמירה על האבטחה.
- הטמע אמצעי אבטחה סטנדרטיים בתעשייה המגנים מפני גישה גורפת ו/או התקפות כוח גס על פורטלי התחברות. אמצעים אלה יכולים לכלול:
- בקרות CAPTCHA
- אכיפת איפוס סיסמה לאחר כמות מוגדרת של ניסיונות כניסה כושלים
- מניעת ניסיונות כניסה נוספים בעקבות מספר מוגדר מראש של ניסיונות כושלים
- הקלטת כל ניסיונות ההתחברות הכושלים עבור למטרות ביקורת ואבטחה, לרבות השימוש בהם בהליכים פליליים ו/או רגולטוריים.
- ייזום א אירוע ביטחוני בכל פעם שמתגלה אי התאמה גדולה בכניסה, כגון חדירה נתפסת. במקרים אלה, יש ליידע את כל הצוות הפנימי הרלוונטי, במיוחד אלה עם גישת מנהל מערכות או כל יכולת להילחם בניסיונות התחברות זדוניים.
- לאחר אימות התחברות, העבר פיסות מידע מסוימות למקור נתונים נפרד שמפרטים:
- התאריך והשעה של הכניסה המוצלחת הקודמת
- רשימה של כל ניסיונות ההתחברות מאז הכניסה האחרונה שאושרה
- הצג סיסמאות ככוכביות (או סמלים מופשטים באופן דומה), כאשר אין צורך דחוף שלא לעשות זאת (למשל נגישות למשתמש).
- איסור מוחלט על שיתוף או הצגה של סיסמאות כטקסט ברור וקריא.
- שמור על מדיניות של סיום הפעלות התחברות רדומות לאחר פרק זמן מסוים. זה רלוונטי במיוחד עבור הפעלות שפעילות במקומות בסיכון גבוה (סביבות עבודה מרוחקות) או על נכסים שסופקו על ידי המשתמש כגון מחשבים ניידים אישיים או טלפונים ניידים.
- הגבלת משך הזמן שבו הפעלה מאומתת יכולה להישאר פתוחה - גם כשהיא פעילה - ביחס למידע שאליו ניגשים (כלומר מידע קריטי לעסק או יישומים רגישים מבחינה פיננסית).
הדרכה - כניסות ביומטריות
ISO ממליצה כי בשל מספר גורמים הקשורים ליעילות ולשלמות של תהליכי התחברות ביומטריים על פני אמצעים מסורתיים (סיסמאות, MFA, טוקנים וכו'), אין להשתמש בשיטות אימות ביומטריות בנפרד , ויש ללוות אותן בטכניקת התחברות נוספת אחת לפחות.
ניהול כל דרישות התאימות, הכל במקום אחד
ISMS.online תומך ביותר מ-100 תקנים ותקנות, ומעניק לך פלטפורמה אחת לכל צרכי התאימות שלך.
שינויים והבדלים מ-ISO 27002:2013
27002:2022-8.5 מחליף את 27002:2014-9.4.2 (נהלי כניסה מאובטחים).
27002:2022-8.5 מכיל את אותן 12 נקודות הנחיה כמו מקבילתו משנת 2013 , עם התאמות קלות בניסוח, ועוקב אחר אותה מערכת של עקרונות אבטחה בסיסיים.
בהתאם לעלייה של טכנולוגיות MFA וכניסה ביומטרית בעשור האחרון, 27002:2022-8.5 מכיל הדרכה מפורשת על השימוש בשתי הטכניקות שעל ארגונים לשקול בעת ניסוח ערכת בקרות כניסה משלהם.
בקרות חדשות ISO 27002
| מזהה בקרה ISO/IEC 27002:2022 | מזהה בקרה ISO/IEC 27002:2013 | שם בקרה |
|---|---|---|
| 5.7 | NEW | אינטליגנציה מאיימת |
| 5.23 | NEW | אבטחת מידע לשימוש בשירותי ענן |
| 5.30 | NEW | מוכנות ICT להמשכיות עסקית |
| 7.4 | NEW | ניטור אבטחה פיזית |
| 8.9 | NEW | ניהול תצורה |
| 8.10 | NEW | מחיקת מידע |
| 8.11 | NEW | מיסוך נתונים |
| 8.12 | NEW | מניעת דליפת נתונים |
| 8.16 | NEW | פעילויות ניטור |
| 8.23 | NEW | סינון אינטרנט |
| 8.28 | NEW | קידוד מאובטח |
| מזהה בקרה ISO/IEC 27002:2022 | מזהה בקרה ISO/IEC 27002:2013 | שם בקרה |
|---|---|---|
| 6.1 | 07.1.1 | סריקה |
| 6.2 | 07.1.2 | תנאי העסקה |
| 6.3 | 07.2.2 | מודעות, חינוך והדרכה לאבטחת מידע |
| 6.4 | 07.2.3 | תהליך משמעתי |
| 6.5 | 07.3.1 | אחריות לאחר סיום או שינוי עבודה |
| 6.6 | 13.2.4 | הסכמי סודיות או סודיות |
| 6.7 | 06.2.2 | עבודה מרחוק |
| 6.8 | 16.1.2, 16.1.3 | דיווח על אירועי אבטחת מידע |
| מזהה בקרה ISO/IEC 27002:2022 | מזהה בקרה ISO/IEC 27002:2013 | שם בקרה |
|---|---|---|
| 7.1 | 11.1.1 | היקפי אבטחה פיזית |
| 7.2 | 11.1.2, 11.1.6 | כניסה פיזית |
| 7.3 | 11.1.3 | אבטחת משרדים, חדרים ומתקנים |
| 7.4 | NEW | ניטור אבטחה פיזית |
| 7.5 | 11.1.4 | הגנה מפני איומים פיזיים וסביבתיים |
| 7.6 | 11.1.5 | עבודה באזורים מאובטחים |
| 7.7 | 11.2.9 | שולחן כתיבה ברור ומסך ברור |
| 7.8 | 11.2.1 | מיקום ומיגון ציוד |
| 7.9 | 11.2.6 | אבטחת נכסים מחוץ לשטח |
| 7.10 | 08.3.1, 08.3.2, 08.3.3, 11.2.5 | אחסון מדיה |
| 7.11 | 11.2.2 | כלי עזר תומכים |
| 7.12 | 11.2.3 | אבטחת כבלים |
| 7.13 | 11.2.4 | תחזוקת ציוד |
| 7.14 | 11.2.7 | סילוק מאובטח או שימוש חוזר בציוד |
כיצד ISMS.online עוזר
הפלטפורמה מבוססת הענן שלנו מספקת לכם מסגרת חזקה של בקרות אבטחת מידע, כך שתוכלו לבדוק את תהליך ה-ISMS שלכם תוך כדי תנועה ולוודא שהוא עומד בדרישות ISO 27000k. בשימוש נכון, ISMS.online יכול לסייע לכם להשיג הסמכה במינימום זמן ומשאבים.
צרו קשר עוד היום כדי להזמין הדגמה.
