ISO 27001:2022 Anhang A Kontrolle 5.18

Zugriffsrechte – Hinweise zur Gewährung und zum Widerruf

Um Zugriffsrechte für alle Arten von Benutzern auf alle Systeme und Dienste zuzuweisen oder zu entziehen, muss ein Prozess implementiert werden (so einfach und dokumentiert er auch sein mag). Im Idealfall würde es mit den oben genannten Punkten und der umfassenderen HR-Sicherheitsinitiative in Einklang stehen.

Die Bereitstellung oder der Widerruf eines Informationssystems oder -dienstes sollte auf der Grundlage der folgenden Kriterien erfolgen: Autorisierung durch den Eigentümer des Informationssystems oder -dienstes, Überprüfung, ob der Zugriff für die ausgeübte Rolle angemessen ist, und Schutz vor Bereitstellung vor Erhalt der Autorisierung.

Im Rahmen eines geschäftsorientierten Ansatzes sollte Benutzern stets Zugriff gemäß den Geschäftsanforderungen gewährt werden. Das hört sich vielleicht bürokratisch an, muss es aber nicht sein. Durch die Implementierung effektiver Verfahren mit rollenbasiertem Zugriff auf Systeme und Dienste kann dieses Problem effektiv angegangen werden.

Überprüfung der Benutzerzugriffsrechte

Asset-Eigentümer müssen die Zugriffsrechte der Benutzer regelmäßig bei einzelnen Änderungen (Einstieg, Rollenwechsel und Austritte) und bei umfassenderen Prüfungen des Systemzugriffs überprüfen.

Aufgrund des damit verbundenen höheren Risikos sollten Genehmigungen häufiger überprüft werden privilegierte Zugriffsrechte. Wie bei 9.2 sollte dies mindestens einmal jährlich oder immer dann erfolgen, wenn wesentliche Änderungen vorgenommen wurden.

Zugriffsrechte entfernen oder anpassen

Es ist erforderlich, die Zugriffsrechte aller Mitarbeiter und externen Benutzer auf Informationen und Informationsverarbeitungseinrichtungen bei Beendigung ihres Arbeitsverhältnisses, Vertrags oder ihrer Vereinbarung zu entziehen (oder ihre Zugriffsrechte gegebenenfalls bei einem Rollenwechsel anzupassen).

Wenn Ausstiegsrichtlinien und -verfahren gut konzipiert und auf A.7 abgestimmt sind, wird dies auch erreicht und zu Prüfungszwecken nachgewiesen wenn Mitarbeiter ausscheiden.

Für die Zuweisung und den Widerruf von Zugriffsrechten an authentifizierte Personen müssen Organisationen die folgenden Regeln und Kontrollen einführen:

• Um auf relevante Informationsressourcen zugreifen und diese nutzen zu können, muss der Eigentümer der Informationsressourcen den Zugriff und die Nutzung genehmigen. Darüber hinaus sollten Organisationen erwägen, vor der Gewährung von Zugriffsrechten eine gesonderte Genehmigung des Managements einzuholen.
• Dabei müssen die geschäftlichen Anforderungen der Organisation und ihre Richtlinien berücksichtigt werden zum Thema Zugangskontrolle.
• Organisationen sollten die Aufgabentrennung in Betracht ziehen. Beispielsweise können die Genehmigung und Umsetzung von Zugriffsrechten durch separate Personen erfolgen.
• Die Zugriffsrechte einer Person sollten sofort widerrufen werden, wenn sie keinen Zugriff mehr auf Informationsbestände benötigt, insbesondere wenn sie die Organisation verlassen hat.
• Ein vorübergehendes Zutrittsrecht kann Mitarbeitern oder anderen Mitarbeitern, die vorübergehend für die Organisation tätig sind, gewährt werden. Wenn sie nicht mehr bei der Organisation beschäftigt sind, sollten ihnen ihre Rechte entzogen werden.
• Die Zugriffskontrollrichtlinie der Organisation sollte die Zugriffsebene einer Person festlegen und regelmäßig überprüft und verifiziert werden. Darüber hinaus sollten andere Anforderungen an die Informationssicherheit eingehalten werden, beispielsweise ISO 27001:2022 Control 5.3, in dem die Aufgabentrennung festgelegt ist.
• Die Organisation sollte sicherstellen, dass die Zugriffsrechte aktiviert werden, sobald der entsprechende Autorisierungsprozess abgeschlossen ist.
• Die mit jeder Identifikation verknüpften Zugangsrechte, beispielsweise ein Ausweis oder eine physische Person, sollten in einem zentralen Zugangskontrollverwaltungssystem verwaltet werden.
• Es ist unbedingt erforderlich, die Zugriffsrechte einer Person zu aktualisieren, wenn sich ihre Rolle oder Pflichten ändern.
• Die folgenden Methoden können verwendet werden, um physische oder logische Zugriffsrechte zu entfernen oder zu ändern: Entfernen oder Ersetzen von Schlüsseln, Ausweisen oder Authentifizierungsinformationen.
• Das Protokollieren und Verwalten von Änderungen an den physischen und logischen Zugriffsrechten eines Benutzers ist obligatorisch.

Ergänzende Richtlinien zur Überprüfung von Zugriffsrechten

Bei regelmäßigen Überprüfungen der physischen und logischen Zugriffsrechte sollte Folgendes berücksichtigt werden:

• Wenn ein Benutzer innerhalb derselben Organisation befördert oder herabgestuft wird oder wenn sein Arbeitsverhältnis endet, können sich seine Zugriffsrechte ändern.
• Autorisierungsverfahren für den Privilegienzugriff.

Hinweise zu Änderungen im Beschäftigungsverhältnis oder zur Beendigung des Beschäftigungsverhältnisses

Risikofaktoren sollten berücksichtigt werden bei der Bewertung und Änderung der Zugriffsrechte eines Mitarbeiters auf Informationsverarbeitungssysteme. Dies geschieht, bevor sie innerhalb derselben Organisation befördert oder herabgestuft werden:

• Dazu gehört die Feststellung, ob der Mitarbeiter den Kündigungsprozess eingeleitet hat oder die Organisation ihn eingeleitet hat, sowie den Grund für die Kündigung.
• Eine Beschreibung der aktuellen Verantwortlichkeiten des Mitarbeiters innerhalb der Organisation.
• Der Zugriff der Mitarbeiter auf Informationsressourcen sowie deren Bedeutung und Wert.

Weitere Ergänzungshinweise

Es wird empfohlen, dass Organisationen Benutzerzugriffsrollen entsprechend ihren Geschäftsanforderungen einrichten. Zusätzlich zu den Arten und der Anzahl der Zugriffsrechte, die jeder Benutzergruppe gewährt werden sollen, sollten diese Rollen die Art der Zugriffsrechte festlegen.

Das Erstellen solcher Rollen wird es ermöglichen Zugriffsanfragen und Rechte können einfacher verwaltet und überprüft werden.

Es wird empfohlen, dass Organisationen in ihre Arbeits-/Dienstverträge mit ihren Mitarbeitern Bestimmungen aufnehmen, die den unbefugten Zugriff auf ihre Systeme und die Sanktionen für einen solchen Zugriff regeln. Anhang A-Kontrollen 5.20, 6.2, 6.4 und 6.6 sollten befolgt werden.

Unternehmen müssen im Umgang mit verärgerten Mitarbeitern, die vom Management entlassen werden, vorsichtig sein, da diese möglicherweise absichtlich Informationssysteme beschädigen.

Organisationen, die sich für die Verwendung von Klontechniken zur Gewährung von Zugriffsrechten entscheiden, sollten dies auf der Grundlage der von der Organisation definierten Rollen tun.

Beim Klonen besteht das Risiko, dass übermäßige Zugriffsrechte gewährt werden.

Was sind die Änderungen und Unterschiede zur ISO 27001:2013?

ISO 27001:2022 Anhang A 5.18 ersetzt ISO 27001:2013 Anhang A: Regelungen 9.2.2, 9.2.5 und 9.2.6.

Die Version 2022 enthält umfassendere Anforderungen für die Gewährung und den Widerruf von Zugriffsrechten

In der Version 2013 von Annex A Control 9.2.2 wurden sechs Anforderungen für die Zuweisung und den Widerruf von Zugriffsrechten dargelegt; Allerdings führt Annex A Control 5.18 zusätzlich zu diesen sechs drei zusätzliche Anforderungen ein:

1. Befristete Zutrittsrechte können Mitarbeitern oder anderen für die Organisation tätigen Mitarbeitern vorübergehend gewährt werden. Sobald sie ihre Tätigkeit für die Organisation beenden, sollten diese Rechte widerrufen werden.
2. Das Entfernen oder Ändern physischer oder logischer Zugriffsrechte kann auf folgende Weise erfolgen: Entfernen oder Ersetzen von Schlüsseln, Ausweisen oder Authentifizierungsinformationen.
3. Änderungen der physischen oder logischen Zugriffsrechte eines Benutzers sollten protokolliert und dokumentiert werden.

Die Anforderungen an privilegierte Zugriffsrechte sind in der Version 2013 detaillierter

Gemäß ISO 27001:2013 heißt es in Annex A Control 9.5 ausdrücklich, dass Organisationen die Autorisierung für privilegierte Zugriffsrechte häufiger überprüfen sollten als für andere Zugriffsrechte. Diese Anforderung war in Annex A Control 5.18 in Version 2022 nicht enthalten.

Tabelle aller ISO 27001:2022 Anhang A-Kontrollen

In der Tabelle unten finden Sie weitere Informationen zu den einzelnen Personen ISO 27001:2022 Anhang A Steuern.

Wie ISMS.online hilft

ISO 27001:2022, Anhang A 5.18, ist einer der am meisten diskutierten Abschnitte. Viele argumentieren, dass es sich um die wichtigste Klausel im gesamten Dokument handelt.

Das liegt daran, dass das Ganze Informationssicherheits-Managementsystem (ISMS) basiert darauf, sicherzustellen, dass die entsprechenden Personen zur richtigen Zeit Zugriff auf die richtigen Informationen haben. Um Erfolg zu haben, muss man alles richtig machen, aber es kann schwerwiegende Auswirkungen auf Ihr Unternehmen haben.

Stellen Sie sich zum Beispiel vor, Sie hätten versehentlich vertrauliche Mitarbeiterinformationen an die falsche Person weitergegeben, beispielsweise das Gehalt jedes Mitarbeiters.

Ein Fehler könnte hier schwerwiegende Folgen haben, daher lohnt es sich, sich die Zeit zu nehmen, die Sache gründlich zu überdenken.

Unsere Plattform kann äußerst hilfreich sein diesbezüglich. Dadurch bleibt die gesamte Struktur erhalten ISO 27001 und ermöglicht es Ihnen, die von uns bereitgestellten Inhalte zu übernehmen, anzupassen und zu ergänzen. Dies verschafft Ihnen einen erheblichen Vorteil. Warum nicht Vereinbaren Sie eine Demo, um mehr zu erfahren?