ISO 27701 – סעיף 6.6.2 – ניהול גישת משתמשים

ISO 27701 סעיף 6.6.2: מדריך לניהול גישת משתמשים

ניהול גישת משתמשים קובע את השיטות באמצעות גישה למשתמשים PII ומידע הקשור לפרטיות, וכיצד ארגונים יכולים לשלוט בגישה כזו באמצעות מגוון אמצעים פיזיים והגיוניים.

מה מכוסה בסעיף 27701 של ISO 6.6.2

ISO 27701 6.6.2 הוא סעיף גדול יחסית (בהתחשב בנושא), המכיל שישה סעיפי משנה המתייחסים לאספקה, שימוש וניהול של זכויות גישה למשתמש.

כל סעיף משנה מכיל מידע מתת-סעיף צמוד ב-ISO 27002, עם הנחיות המותאמות להגנה על פרטיות ו-PII, במקום לאבטחת מידע כללית:

• ISO 6.6.2.1 – רישום משתמש וביטול רישום (References ISO 27002 control 5.16).
• ISO 6.6.2.2 - הקצאת גישה למשתמש (References ISO 27002 control 5.18).
• ISO 6.6.2.3 – ניהול זכויות גישה מורשות (References ISO 27002 control 8.2).
• ISO 6.6.2.4 – ניהול מידע אימות סודי של משתמשים (References ISO 27002 control 5.17).
• ISO 6.6.2.5 - סקירת זכויות גישה למשתמש (References ISO 27002 control 5.18).
• ISO 6.6.2.6 – הסרה או התאמה של זכויות גישה (References ISO 27002 control 5.18).

שני סעיפים מכילים הנחיות שיש להן פוטנציאל להשפיע על ציות ל-GDPR בבריטניה, והמאמרים הרלוונטיים סופקו לנוחיותך.

לאורך כל הסעיפים שלו, ISO 27701 6.6.2 אינו מכיל הנחיות נוספות מ-ISO לגבי השימוש ב-PIMS.

שים לב שהציטוטים של GDPR הם למטרות אינדיקטיביות בלבד. ארגונים צריכים לבחון את החקיקה ולעשות שיקול דעת בעצמם על אילו חלקים בחוק חלים עליהם.

ISO 27701 סעיף 6.6.2.1 - רישום וביטול רישום משתמשים

הפניות ISO 27002 בקרה 5.16

רישום המשתמש נשלט על ידי השימוש ב'זהויות' שהוקצו. זהויות מספקות לארגונים מסגרת לניהול גישת משתמשים ל-PII ולנכסים וחומרים הקשורים לפרטיות, בגבולות הרשת.

הארגון צריך לעקוב אחר שש נקודות הנחיה עיקריות, על מנת להבטיח שזהויות מנוהלות כהלכה, ו-PII מוגן בכל מקום שבו הוא מאוחסן, מעובד או נגיש:

1. כאשר זהויות מוקצות לבן אדם, רק אותו אדם רשאי לאמת ו/או להשתמש בזהות זו, בעת גישה ל-PII.
2. יש לפרוס זהויות משותפות - מספר אנשים הרשומים על אותה זהות - רק כדי לעמוד בסט ייחודי של דרישות תפעוליות.
3. יש להתייחס ולנהל ישויות לא אנושיות באופן שונה מזהויות מבוססות משתמשים שניגשים ל-PII ולחומר הקשור לפרטיות.
4. יש להסיר זהויות ברגע שכבר אין בהן צורך - במיוחד אלה עם גישה ל-PII או לתפקידים מבוססי פרטיות.
5. ארגונים צריכים להיצמד לכלל 'ישות אחת, זהות אחת' בעת הפצת זהויות ברחבי הרשת.
6. רישומים צריכים להירשם ולתעד באמצעות תיעוד ברור, כולל חותמות זמן, רמות גישה ופרטי זהות.

ארגונים שעובדים בשיתוף פעולה עם ארגונים חיצוניים (במיוחד פלטפורמות מבוססות ענן) צריכים להבין את הסיכונים הכרוכים בפרקטיקות כאלה, ולנקוט בצעדים כדי להבטיח ש-PII לא יושפע לרעה בתהליך (ראה ISO 27002 בקרות 5.19 ו-5.17).

בקרות ISO 27002 רלוונטיות

• ISO 27002 5.17
• ISO 27002 5.19

מאמרי GDPR ישימים

• סעיף 5 – (1)(ו)

ISO 27701 סעיף 6.6.2.2 - הקצאת גישה למשתמש

הפניות ISO 27002 בקרה 5.18

'זכויות גישה' קובעות את האופן שבו הגישה למידע אישי ומידע הקשור לפרטיות ניתנת וגם בוטלה, תוך שימוש באותה מערכת של עקרונות מנחים.

הענקת וביטול זכויות גישה

נהלי הגישה צריכים לכלול:

• הרשאה והרשאה מהבעלים (או ההנהלה) של המידע או הנכס (ראה ISO 27002 בקרת 5.9).
• כל דרישות מסחריות, משפטיות או תפעוליות הרווחות.
• הכרה בצורך להפריד בין תפקידים, על מנת לשפר את אבטחת ה-PII ולבנות פעולת הגנה על פרטיות עמידה יותר.
• בקרות לביטול זכויות גישה, כאשר הגישה אינה נדרשת עוד (עוזבים וכו').
• אמצעי גישה לזמן עבור עובדים זמניים או קבלנים.
• רישום מרוכז של זכויות גישה שניתנו לגופים אנושיים ולא אנושיים כאחד.
• אמצעים לשינוי זכויות הגישה של כל כוח אדם או קבלני צד שלישי שהחליפו תפקידי עבודה.

סקירת זכויות גישה

ארגונים צריכים לערוך סקירות תקופתיות של זכויות גישה ברחבי הרשת, כולל:

• בניית שלילת זכויות גישה לתוך נהלי משאבי אנוש מחוץ למטוס (ראה ISO 27002 בקרות 6.1 ו-6.5) ותהליכי עבודה לשינוי תפקידים.
• בקשות לזכויות גישה 'מורשות'.

ניהול שינויים ועזיבים

כוח אדם שעוזב את הארגון (במזיד או כעובד שפוטר), וכאלה שהם מושא בקשת שינוי, צריכים לתקן את זכויות הגישה שלהם בהתבסס על נהלי ניהול סיכונים חזקים, כולל:

• מקור השינוי/סיום, לרבות הסיבה הבסיסית.
• תפקיד התפקיד הנוכחי של המשתמש ואחריות מצורפת.
• המידע והנכסים הנגישים כעת - כולל רמות הסיכון והערך שלהם לארגון.

הדרכה משלימה

חוזי העסקה וחוזי קבלן/שירות צריכים לכלול הסבר על מה שקורה בעקבות כל ניסיונות לגישה לא מורשית (ראה ISO 27002 בקרות 5.20, 6.2, 6.4, 6.6).

בקרות ISO 27002 רלוונטיות

• ISO 27002 5.9
• ISO 27002 5.20
• ISO 27002 6.2
• ISO 27002 6.4
• ISO 27002 6.6

מאמרי GDPR ישימים

• סעיף 5 – (1)(ו)

ISO 27701 סעיף 6.6.2.3 - ניהול זכויות גישה מועדפות

הפניות ISO 27002 בקרה 8.2

זכויות גישה מיוחסות מספקות לארגונים את היכולת לשלוט בו זמנית בגישה ל-PII ולאפליקציות ונכסים הקשורים לפרטיות, ולשמור על שלמות ה-PII ברחבי הרשת שלהם.

ניצול לא מורשה של הרשאות מנהל מערכת (או הרשאות RBAC מוגברות), הוא אחד הגורמים העיקריים להפרעות ICT ברחבי העולם.

בעת ניהול זכויות גישה מורשות מתוך מחשבה על הגנה על פרטיות, ארגונים צריכים:

• נסח רשימה של משתמשים הזקוקים לגישה מוסמכת.
• הטמעת נהלים שמקצים זכויות גישה מורשות למשתמשים על בסיס "אירוע לפי אירוע" – כלומר למשתמש ניתנת רמת גישה התואמת את תפקידו.
• פעל עם תהליך הרשאה ברור העוסק בבקשות לגישה מוסמכת.
• שמור רישום מרוכז של בקשות גישה מורשות.
• שים לב לתאריכי תפוגה של גישה, היכן שצוין.
• ודא שהמשתמשים מודעים לכל הרשאות גישה מורשות שהוענקו להם.
• לאכוף אימות מחדש לפני שמשתמשים ישתמשו בזכויות גישה מורשות.
• סקור מעת לעת את זכויות הגישה המורשות בכל הארגון (ראה ISO 27002 בקרת 5.18).
• שקול ליישם נוהל "שבירת זכוכית" על ידי הבטחת זכויות גישה מורשות בתוך חלונות קפדניים, כפי שהוכתב על ידי אופי הבקשה.
• אסור להשתמש בפרטי התחברות גנריים ובסיסמאות הניתנות לניחוש (ראה ISO 27002 בקרת 5.17).
• הקצה זהות אחת לכל משתמש, אסוף לקבוצות גישה במידת הצורך.
• ודא שגישה מוסמכת ניתנת שמורה למשימות קריטיות בלבד - כגון תחזוקה חיונית או פעילות הקשורה לאירועים.

בקרות ISO 27002 רלוונטיות

• ISO 27002 5.17
• ISO 27002 5.18

ISO 27701 סעיף 6.6.2.4 - ניהול מידע אימות סודי של משתמשים

הפניות ISO 27002 בקרה 5.17

יש להפיץ ולנהל את פרטי האימות כך:

• מידע אימות שנוצר באופן אוטומטי (סיסמאות וכו') נשמר בסוד מכל מי שאינו מורשה להשתמש בהם, אינו ניתן לניחוש ומנוהל באופן שמאלץ משתמש לשנות אותם לאחר הכניסה הראשונית.
• לפני הנפקה או החלפה של פרטי אימות, נקבעים נהלים לאימות זהות האדם שדורש אותם.
• הערוצים המאובטחים הנכונים משמשים להעברת פרטי אימות (כלומר לא באמצעות דואר אלקטרוני).
• לאחר שהפרטים הועברו בהצלחה לכל מי שצריך אותם, המשתמש/ים מאשרים קבלה בזמן.
• כל מידע אימות שסופק על ידי הספק (כגון ברירת המחדל של שם המשתמש והסיסמה הנתבים וחומות האש) משתנה עם הקבלה.
• נשמרים רישומים של אירועי אימות רלוונטיים - במיוחד לגבי ההקצאה הראשונית והניהול הבא של פרטי האימות.

כל צוות המשתמש במידע אימות ארגוני צריך לוודא כי:

• הכל פרטי האימות נשמרים חסויים לחלוטין.
• אם פרטי האימות נפגעים, מוצגים או שותפים על ידי כל אחד מלבד הבעלים המקורי, פרטים אלה ישתנו מיד.
• כל סיסמאות נוצרות ו/או נוצרות בהתאם למדיניות הסיסמאות של הארגון, והסיסמאות הן ייחודיות בפלטפורמות שונות (כלומר, סיסמאות דומיין אינן זהות לסיסמאות של שירותי ענן).
• חוזי העסקה מכילים דרישה מפורשת לציית למדיניות הסיסמאות של החברה (ראה ISO 27002 בקרת 6.2).

מערכות ניהול סיסמאות

ארגונים צריכים לשקול ליישם מערכת ניהול סיסמאות (יישומים מיוחדים לבקרת סיסמאות) ש:

• נותן מענה למשתמשים שצריכים לשנות כל סיסמה שבה הם משתמשים.
• מתוכנת לדחות סיסמאות הנופלות מחוץ להנחיות השיטות המומלצות.
• מאלץ משתמשים לשנות את הסיסמה שנוצרה על ידי המערכת, לאחר שהם משתמשים בה בפעם הראשונה.
• אינו מתיר המשך שימוש בסיסמאות ישנות, או ביטויים דומים ושילובים אלפאנומריים.
• מסתיר סיסמאות בזמן שהן מוזנות.
• מאחסן ושולח מידע סיסמה בצורה מאובטחת.
• מספק הצפנת סיסמה וטכניקות הצפנה דומות (ראה ISO 27002 בקרת 8.24).

כדי להגן על PII ולשפר את מאמצי ההגנה על הפרטיות הארגונית, סיסמאות צריכות לפעול לפי ארבעה עקרונות מנחים:

1. אין לבנות סיסמאות סביב מידע שניתן לנחש או ביוגרפי.
2. סיסמאות לא צריכות להכיל מילים ניתנות לזיהוי, במקום תווים אלפאנומריים אקראיים.
3. יש להשתמש בתווים מיוחדים כדי להגביר את מורכבות הסיסמה.
4. לכל הסיסמאות צריך להיות אורך מינימלי (אידיאלי 12 תווים).

ארגונים צריכים לשקול גם שימוש בפרוטוקולי אימות כגון כניסה יחידה (SSO) כדי לשפר את אבטחת הסיסמה, אך יש לשקול אמצעים כאלה רק לצד הדרישות הטכניות והתפעוליות הייחודיות של הארגון.

בקרות ISO 27002 רלוונטיות

• ISO 27002 6.2
• ISO 27002 8.24

ISO 27701 סעיף 6.6.2.5 - סקירה של זכויות גישה למשתמש

הפניות ISO 27002 בקרה 5.18

ראה לעיל (ISO 27701 סעיף 6.6.2.2).

ISO 27701 סעיף 6.6.2.6 - הסרה או התאמה של זכויות גישה

הפניות ISO 27002 בקרה 5.18

ראה לעיל (ISO 27701 סעיף 6.6.2.2).

בקרות תומכות מ-ISO 27002 ו-GDPR

כיצד ISMS.online עוזר

על ידי הוספת PIMS ל-ISMS שלך בפלטפורמת ISMS.online, עמדת האבטחה שלך נשארת במקום אחד ותימנע כפילות במקום שבו התקנים חופפים.

עם ה-PIMS שלך נגיש באופן מיידי לבעלי עניין, מעולם לא היה קל יותר לנטר, לדווח ולבקר מול ISO 27002 ו-ISO 27701 בלחיצת כפתור.

למידע נוסף על ידי הזמנת הדגמה מעשית.