מטרת הבקרה 8.5
אימות מאובטח הוא השיטה העיקרית שבה משתמשים אנושיים ושאינם אנושיים בניסיון לנצל את נכסי ה-ICT של הארגון.
במהלך העשור האחרון, טכנולוגיית האימות עברה שינוי מהותי מאימותים מסורתיים מבוססי שם משתמש/סיסמה. מגוון טכניקות משלימות הכולל מידע ביומטרי, בקרות גישה לוגיות ופיזיות, אימות מכשיר חיצוני, קודי SMS וסיסמאות חד פעמיות (OTP).
27002:2022-8.5 מכניס את כל זה להקשר ומייעץ לארגונים כיצד בדיוק הם צריכים להיות שליטה בגישה למערכות ה-ICT ולנכסים שלהם באמצעות שער כניסה מאובטח.
שליטה 8.5 היא א בקרה מונעת זֶה שומר על סיכון על ידי הטמעת טכנולוגיה והקמת נהלי אימות מאובטחים ספציפיים לנושא המבטיחים שמשתמשים וזהויות אנושיים ושאינם אנושיים יעברו הליך אימות חזק ומאובטח בעת ניסיון לגשת למשאבי ICT.
טבלת בקרה של תכונות 8.5
| סוג הבקרה | מאפייני אבטחת מידע | מושגי אבטחת סייבר | יכולות מבצעיות | תחומי אבטחה |
|---|---|---|---|---|
| #מוֹנֵעַ | #סודיות | #לְהַגֵן | #ניהול זהות וגישה | #הֲגָנָה |
| #יושרה | ||||
| #זמינות |
בעלות על שליטה 8.5
בקרה 8.5 עוסקת ביכולת של ארגון לשלוט בגישה לרשת שלו (והמידע והנתונים הכלולים בתוכה) בצמתים קריטיים, כגון שער כניסה.
בעוד שהבקרה אכן עוסקת באבטחת מידע ונתונים כתפיסה רחבה יותר, ההדרכה התפעולית היא בעיקר בעלת אופי טכני.
ככזה, הבעלות צריכה להיות אצל ראש ה-IT (או שווה ערך ארגוני), המחזיק אחריות על פונקציות ניהול ה-IT השוטפות של הארגון.
ISO 27001 בקלות
יתרון של 81% מהיום הראשון
עשינו את העבודה הקשה בשבילך, ונתנו לך התחלה של 81% מרגע הכניסה. כל שעליכם לעשות הוא להשלים את החסר.
הנחיות כלליות בנושא בקרה 8.5
Control 8.5 מבקש מארגונים לשקול בקרות אימות הרלוונטיות לסוג ולרגישות של הנתונים והרשת שאליהם ניגשים, כולל:
- אימות רב-גורמי (MFA)
- אישורים דיגיטליים
- בקרות גישה חכמות (כרטיסים חכמים)
- כניסות ביומטריות
- אסימונים מאובטחים
המטרה העליונה של בקרות האימות המאובטחות של ארגון צריכה להיות למנוע ו/או למזער את הסיכון של גישה לא מורשית למערכות המוגנות שלה.
כדי להשיג זאת, Control 8.5 מתאר 12 נקודות הנחיה עיקריות. ארגונים צריכים:
- הגבל את הצגת המידע עד לאחר ניסיון אימות מוצלח.
- הצג אזהרה מוקדמת כניסה המציינת בבירור שיש לגשת למידע רק על ידי משתמשים מורשים.
- צמצם למינימום את הסיוע שהוא מספק למשתמשים לא מאומתים המנסים לגשת למערכת, למשל ארגונים לא צריכים לחשוף איזה חלק ספציפי של ניסיון התחברות שגוי, כגון היבט ביומטרי של התחברות ל-MFA, ובמקום זאת פשוט לציין שניסיון ההתחברות נכשל. .
- אמת את ניסיון ההתחברות רק כאשר כל המידע הנדרש נמסר לשירות ההתחברות, לשמירה על האבטחה.
- הטמע אמצעי אבטחה סטנדרטיים בתעשייה המגנים מפני גישה גורפת ו/או התקפות כוח גס על פורטלי התחברות. אמצעים אלה יכולים לכלול:
- בקרות CAPTCHA
- אכיפת איפוס סיסמה לאחר כמות מוגדרת של ניסיונות כניסה כושלים
- מניעת ניסיונות כניסה נוספים בעקבות מספר מוגדר מראש של ניסיונות כושלים
- הקלטת כל ניסיונות ההתחברות הכושלים עבור למטרות ביקורת ואבטחה, לרבות השימוש בהם בהליכים פליליים ו/או רגולטוריים.
- ייזום א אירוע ביטחוני בכל פעם שמתגלה אי התאמה גדולה בכניסה, כגון חדירה נתפסת. במקרים אלה, יש ליידע את כל הצוות הפנימי הרלוונטי, במיוחד אלה עם גישת מנהל מערכות או כל יכולת להילחם בניסיונות התחברות זדוניים.
- לאחר אימות התחברות, העבר פיסות מידע מסוימות למקור נתונים נפרד שמפרטים:
- התאריך והשעה של הכניסה המוצלחת הקודמת
- רשימה של כל ניסיונות ההתחברות מאז הכניסה האחרונה שאושרה
- הצג סיסמאות ככוכביות (או סמלים מופשטים באופן דומה), כאשר אין צורך דחוף שלא לעשות זאת (למשל נגישות למשתמש).
- איסור מוחלט על שיתוף או הצגה של סיסמאות כטקסט ברור וקריא.
- שמור על מדיניות של סיום הפעלות התחברות רדומות לאחר פרק זמן מסוים. זה רלוונטי במיוחד עבור הפעלות שפעילות במקומות בסיכון גבוה (סביבות עבודה מרוחקות) או על נכסים שסופקו על ידי המשתמש כגון מחשבים ניידים אישיים או טלפונים ניידים.
- הגבלת משך הזמן שבו הפעלה מאומתת יכולה להישאר פתוחה - גם כשהיא פעילה - ביחס למידע שאליו ניגשים (כלומר מידע קריטי לעסק או יישומים רגישים מבחינה פיננסית).
הדרכה - כניסות ביומטריות
ISO ממליצה כי בשל מספר גורמים הקשורים לאפקטיביות ושלמותם של תהליכי כניסה ביומטריים על פני אמצעים מסורתיים (סיסמאות, MFA, אסימונים וכו'), שיטות אימות ביומטרי לא אמור לשמש בבידוד, ובליווי לפחות טכניקת כניסה אחת נוספת.
ניהול כל דרישות התאימות, הכל במקום אחד
ISMS.online תומך ביותר מ-100 תקנים ותקנות, ומעניק לך פלטפורמה אחת לכל צרכי התאימות שלך.
שינויים והבדלים מ-ISO 27002:2013
27002:2022-8.5 מחליף את 27002:2014-9.4.2 (נהלי כניסה מאובטחים).
27002:2022-8.5 מכיל את אותן 12 נקודות הנחיה כמו המקבילה לשנת 2013, עם התאמות קלות בנוסח, ועוקבת אחר אותה מערכת של עקרונות אבטחה הבסיסיים.
בהתאם לעלייה של טכנולוגיות MFA וכניסה ביומטרית בעשור האחרון, 27002:2022-8.5 מכיל הדרכה מפורשת על השימוש בשתי הטכניקות שעל ארגונים לשקול בעת ניסוח ערכת בקרות כניסה משלהם.
בקרות חדשות ISO 27002
| מזהה בקרה ISO/IEC 27002:2022 | מזהה בקרה ISO/IEC 27002:2013 | שם בקרה |
|---|---|---|
| 5.7 | NEW | אינטליגנציה מאיימת |
| 5.23 | NEW | אבטחת מידע לשימוש בשירותי ענן |
| 5.30 | NEW | מוכנות ICT להמשכיות עסקית |
| 7.4 | NEW | ניטור אבטחה פיזית |
| 8.9 | NEW | ניהול תצורה |
| 8.10 | NEW | מחיקת מידע |
| 8.11 | NEW | מיסוך נתונים |
| 8.12 | NEW | מניעת דליפת נתונים |
| 8.16 | NEW | פעילויות ניטור |
| 8.23 | NEW | סינון אינטרנט |
| 8.28 | NEW | קידוד מאובטח |
| מזהה בקרה ISO/IEC 27002:2022 | מזהה בקרה ISO/IEC 27002:2013 | שם בקרה |
|---|---|---|
| 6.1 | 07.1.1 | סריקה |
| 6.2 | 07.1.2 | תנאי העסקה |
| 6.3 | 07.2.2 | מודעות, חינוך והדרכה לאבטחת מידע |
| 6.4 | 07.2.3 | תהליך משמעתי |
| 6.5 | 07.3.1 | אחריות לאחר סיום או שינוי עבודה |
| 6.6 | 13.2.4 | הסכמי סודיות או סודיות |
| 6.7 | 06.2.2 | עבודה מרחוק |
| 6.8 | 16.1.2, 16.1.3 | דיווח על אירועי אבטחת מידע |
| מזהה בקרה ISO/IEC 27002:2022 | מזהה בקרה ISO/IEC 27002:2013 | שם בקרה |
|---|---|---|
| 7.1 | 11.1.1 | היקפי אבטחה פיזית |
| 7.2 | 11.1.2, 11.1.6 | כניסה פיזית |
| 7.3 | 11.1.3 | אבטחת משרדים, חדרים ומתקנים |
| 7.4 | NEW | ניטור אבטחה פיזית |
| 7.5 | 11.1.4 | הגנה מפני איומים פיזיים וסביבתיים |
| 7.6 | 11.1.5 | עבודה באזורים מאובטחים |
| 7.7 | 11.2.9 | שולחן כתיבה ברור ומסך ברור |
| 7.8 | 11.2.1 | מיקום ומיגון ציוד |
| 7.9 | 11.2.6 | אבטחת נכסים מחוץ לשטח |
| 7.10 | 08.3.1, 08.3.2, 08.3.3, 11.2.5 | אחסון מדיה |
| 7.11 | 11.2.2 | כלי עזר תומכים |
| 7.12 | 11.2.3 | אבטחת כבלים |
| 7.13 | 11.2.4 | תחזוקת ציוד |
| 7.14 | 11.2.7 | סילוק מאובטח או שימוש חוזר בציוד |
כיצד ISMS.online עוזר
הפלטפורמה מבוססת הענן שלנו מספקת לך מסגרת חזקה של בקרות אבטחת מידע כדי שתוכל רשימת בדיקה לתהליך ה-ISMS שלך בזמן שאתה הולך כדי לוודא שהוא עומד בדרישות ISO 27000k. בשימוש נכון, ISMS. באינטרנט יכול לעזור לך השגת הסמכה במינימום זמן ומשאבים.
צור קשר עוד היום כדי הזמן הדגמה.
