ISO 27002:2022, Control 5.16 – Identitätsmanagement

Allgemeine Anleitung

Die Einhaltung von Kontrolle 5.16 wird durch eine Kombination aus der Sicherstellung, dass identitätsbasierte Verfahren in Richtliniendokumenten klar dargelegt werden, und der Überwachung der täglichen Einhaltung durch das Personal erreicht.

5.16 listet sechs Hauptverfahren auf, die eine Organisation befolgen muss, um die erforderlichen Standards für Informationssicherheit und Cybersicherheits-Governance zu erfüllen:

• Wenn einer Person Identitäten zugewiesen werden, darf sich nur diese bestimmte Person beim Zugriff auf Netzwerkressourcen mit dieser Identität authentifizieren und/oder verwenden.
  
  

  Compliance – IT-Richtlinien müssen klar festlegen, dass Benutzer keine Anmeldeinformationen weitergeben oder anderen Benutzern erlauben dürfen, sich mit einer anderen als der ihnen zugewiesenen Identität im Netzwerk zu bewegen.

• Manchmal kann es notwendig sein, mehreren Personen eine Identität zuzuweisen – auch bekannt als „gemeinsame Identität“. Dieser Ansatz sollte sparsam und nur zur Erfüllung expliziter betrieblicher Anforderungen eingesetzt werden.
  
  

  Compliance – Organisationen sollten die Registrierung gemeinsamer Identitäten als ein von Einzelbenutzeridentitäten getrenntes Verfahren mit einem speziellen Genehmigungsworkflow behandeln.

• Sogenannte „nichtmenschliche“ Entitäten (wie der Name schon sagt, jede Identität, die nicht mit einem tatsächlichen Benutzer verknüpft ist) sollten bei der Registrierung anders betrachtet werden als benutzerbasierte Identitäten.
  
  

  Compliance – Wie bei gemeinsamen Identitäten sollten nichtmenschliche Identitäten wiederum über einen eigenen Genehmigungs- und Registrierungsprozess verfügen, der den zugrunde liegenden Unterschied zwischen der Zuweisung einer Identität an eine Person und der Gewährung einer Identität an einen Vermögenswert, eine Anwendung oder ein Gerät anerkennt.

• Nicht mehr benötigte Identitäten (Abgänger, redundante Assets usw.) sollten je nach Bedarf von einem Netzwerkadministrator deaktiviert oder vollständig entfernt werden.
  
  

  Compliance – IT-Mitarbeiter sollten führen regelmäßige Audits durch die Identitäten in der Reihenfolge ihrer Verwendung auflisten und angeben, welche Entitäten (menschliche oder nichtmenschliche) suspendiert oder gelöscht werden können. Personalmitarbeiter sollten das Identitätsmanagement in ihre Offboarding-Verfahren einbeziehen und die IT-Mitarbeiter rechtzeitig über Abgänge informieren.

• Doppelte Identitäten sollten unbedingt vermieden werden. Unternehmen sollten sich grundsätzlich an die Regel „Eine Einheit, eine Identität“ halten.
  
  

  Compliance – IT-Mitarbeiter sollten bei der Zuweisung von Rollen in einem Netzwerk wachsam bleiben und sicherstellen, dass Entitäten keine Zugriffsrechte basierend auf mehreren Identitäten gewährt werden.

• Über alle „wesentlichen Ereignisse“ in Bezug auf Identitätsmanagement und Authentifizierungsinformationen sollten angemessene Aufzeichnungen geführt werden.
  
  

  Compliance – Der Begriff „bedeutendes Ereignis“ kann auf verschiedene Arten interpretiert werden, jedoch auf einer grundlegenden Ebene Organisationen brauchen um sicherzustellen, dass ihre Governance-Verfahren eine Dokumentation der Identitätsregistrierung, robuste Protokolle für Änderungsanfragen mit einem geeigneten Genehmigungsverfahren und die Möglichkeit umfassen, jederzeit eine umfassende Liste der zugewiesenen Identitäten zu erstellen.

Ergänzende Anleitung

Neben den sechs wichtigsten betrieblichen Überlegungen listet 5.16 auch vier Schritte auf, die Organisationen bei der Erstellung und Gewährung einer Identität befolgen müssen Zugriff auf Netzwerkressourcen (Das Ändern oder Entfernen von Zugriffsrechten wird in Steuerung 5.18 behandelt):

• Erstellen Sie einen Business Case bevor eine Identität erstellt wird
  
  

  Compliance – Es ist wichtig anzuerkennen, dass das Identitätsmanagement mit jeder neu geschaffenen Identität exponentiell schwieriger wird. Organisationen sollten nur dann neue Identitäten schaffen, wenn ein klarer Bedarf dafür besteht.

• Stellen Sie sicher, dass die Entität, der die Identität zugewiesen wird (menschlich oder nicht-menschlich), unabhängig überprüft wurde.
  
  

  Compliance – Sobald ein Geschäftsfall genehmigt wurde, sollten die Verfahren zur Identitäts- und Zugriffsverwaltung Schritte enthalten, um sicherzustellen, dass die Person oder der Vermögenswert, der eine neue Identität erhält, über die erforderliche Befugnis dazu verfügt, bevor eine Identität erstellt wird.

• Identität etablieren
  
  

  Sobald die Entität verifiziert wurde, sollten die IT-Mitarbeiter eine Identität erstellen, die den Anforderungen des Geschäftsfalls entspricht und sich auf die Angaben in den Dokumentationen der Änderungsanträge beschränkt.

• Endgültige Konfiguration und Aktivierung
  
  Das endgültige Schritt im Prozess beinhaltet Zuweisen einer Identität zu den verschiedenen zugriffsbasierten Berechtigungen und Rollen (RBAC) und allen damit verbundenen Authentifizierungsdiensten, die erforderlich sind.

Änderungen gegenüber ISO 27002:2013

Allgemeines

27002:2022 / 5.16 ersetzt 27002:2013/9.2.1 (Benutzerregistrierung und -abmeldung) – das selbst Teil des Kontrollsatzes für die Benutzerzugriffsverwaltung von 27002:2013 war. Obwohl es einige Ähnlichkeiten zwischen den beiden Kontrollen gibt – vor allem in den Wartungsprotokollen und der Deaktivierung redundanter IDs – enthält 5.16 einen weitaus umfassenderen Satz von Richtlinien, die darauf abzielen, das Identitäts- und Zugriffsmanagement als End-to-End-Konzept zu behandeln.

Menschliche vs. nichtmenschliche Identitäten

Der Hauptunterschied zwischen der Kontrolle von 2022 und ihrem Vorgänger von 2013 besteht darin, dass anerkannt wird, dass es zwar Unterschiede im Registrierungsprozess gibt, menschliche und nichtmenschliche Identitäten jedoch für allgemeine Netzwerkverwaltungszwecke nicht mehr als voneinander getrennt behandelt werden.

Mit dem Aufkommen moderner Identitäts- und Zugriffsverwaltung und Windows-basierter RBAC-Protokolle sprechen IT-Governance und Best-Practice-Richtlinien mehr oder weniger austauschbar von menschlichen und nichtmenschlichen Identitäten. 27002:2013/9.2.1 enthält keine Anleitung zur Verwaltung nichtmenschlicher Identitäten und befasst sich ausschließlich mit der Verwaltung sogenannter „Benutzer-IDs“ (d. h. Anmeldeinformationen, die für den Zugriff auf ein Netzwerk verwendet werden, zusammen mit a Passwort).

Dokumentation

Wie wir gesehen haben, enthält 27002:2013/5.16 explizite Leitlinien nicht nur zu den allgemeinen Sicherheitsauswirkungen der Identitätsverwaltung, sondern auch dazu, wie Organisationen Informationen vor der Zuweisung einer Identität und während ihres gesamten Lebenszyklus aufzeichnen und verarbeiten sollten. Im Vergleich dazu erwähnt 27002:2013/9.2.1 die begleitende Rolle der IT-Governance nur kurz und beschränkt sich auf die physische Praxis der Identitätsverwaltung, wie sie von IT-Mitarbeitern durchgeführt wird.