ISO 27002:2022, Control 5.17 – Authentifizierungsinformationen

Eigentum an der Kontrolle 5.17

In Anbetracht der Tatsache, dass Kontrolle 5.17 die Festlegung und Umsetzung organisationsweiter Regeln, Verfahren und Maßnahmen für die Zuweisung und Verwaltung von Authentifizierungsinformationen beinhaltet, sollten Informationssicherheitsbeauftragte für die Einhaltung von Kontrolle 5.17 verantwortlich sein.

Leitfaden zur Zuweisung von Authentifizierungsinformationen

Organisationen sollten die folgenden sechs Anforderungen für die Zuweisung und Verwaltung von Authentifizierungsinformationen erfüllen:

• Wenn persönliche Passwörter oder persönliche Identifikationsnummern für die Registrierung neuer Benutzer automatisch generiert werden, sollten diese nicht erraten werden können. Darüber hinaus sollten Passwörter für jeden Benutzer eindeutig sein und es muss obligatorisch sein, Passwörter nach der ersten Verwendung zu ändern.
• Organisationen sollten robuste Verfahren zur Authentifizierung der Identität eines Benutzers einrichten, bevor ihm neue oder Ersatzauthentifizierungsinformationen gewährt oder ihm vorübergehende Informationen bereitgestellt werden.
• Organisationen sollten die sichere Übertragung von Authentifizierungsinformationen an Einzelpersonen über sichere Kanäle gewährleisten und diese Informationen nicht über unsichere elektronische Nachrichten (z. B. Klartext) senden.
• Benutzer sollten den Erhalt der Authentifizierungsinformationen bestätigen.
• Nach der Installation neuer IT-Systeme und Softwareprogramme sollten Unternehmen die Standardauthentifizierungsinformationen sofort ändern.
• Organisationen sollten Aufzeichnungen über alle wichtigen Ereignisse im Zusammenhang mit der Verwaltung und Zuweisung von Authentifizierungsinformationen erstellen und pflegen. Darüber hinaus sollten diese Aufzeichnungen vertraulich behandelt werden und Aufzeichnungsmethoden sollten zugelassen werden, beispielsweise durch die Verwendung eines zugelassenen Passwort-Tools.

Hinweise zu den Verantwortlichkeiten des Benutzers

Benutzer, die auf Authentifizierungsinformationen zugreifen und diese verwenden können, sollten angewiesen werden, Folgendes einzuhalten:

1. Benutzer müssen die Vertraulichkeit geheimer Authentifizierungsinformationen wie Passwörter wahren und sollten diese geheimen Informationen nicht an Dritte weitergeben. Wenn mehrere Benutzer an der Verwendung von Authentifizierungsinformationen beteiligt sind oder die Informationen mit nicht personenbezogenen Einheiten verknüpft sind, sollten die Authentifizierungsinformationen nicht an Unbefugte weitergegeben werden.
2. Benutzer müssen ihre Passwörter sofort ändern, wenn die Vertraulichkeit ihrer Passwörter gefährdet ist.
3. Benutzer sollten schwer zu erratende, sichere Passwörter auswählen und dabei die Best Practices der Branche befolgen. Zum Beispiel:
• Passwörter sollten nicht auf der Grundlage leicht erhältlicher persönlicher Informationen wie Namen oder Geburtsdaten ausgewählt werden.
• Passwörter sollten nicht auf der Grundlage leicht zu erratender Passwörter erstellt werden.
• Passwörter sollten keine Wörter aus dem Wörterbuch oder Kombinationen dieser Wörter enthalten.
• Im Passwort sollten alphanumerische Zeichen und Sonderzeichen verwendet werden.
• Es sollte eine Mindestlänge für Passwörter geben.
4. Benutzer sollten nicht dasselbe Passwort für verschiedene Dienste verwenden.
5. Organisationen sollten die Anforderungen für die Erstellung und Verwendung von Passwörtern in ihre Arbeitsverträge mit ihren Mitarbeitern aufnehmen.

Anleitung zu Passwortverwaltungssystemen

Organisationen sollten bei der Einrichtung eines Passwortverwaltungssystems Folgendes beachten:

• Benutzern sollte die Möglichkeit gegeben werden, ihre Passwörter zu erstellen und zu ändern, und es sollte ein Bestätigungsverfahren vorhanden sein, um sicherzustellen, dass Eingabefehler erkannt und behoben werden.
• Unternehmen sollten einen starken Prozess zur Passwortauswahl implementieren und dabei die Best Practices der Branche für die Passwortauswahl berücksichtigen.
• Benutzer sollten gezwungen werden, ihre Standardkennwörter zu ändern, nachdem sie zum ersten Mal auf ein System zugreifen.
• Passwortänderungen sollten bei Bedarf durchgeführt werden. Beispielsweise ist eine Passwortänderung nach einem Sicherheitsvorfall oder nach der Beendigung eines Arbeitsverhältnisses mit einem Benutzer erforderlich, wenn dieser Benutzer Zugriff auf Passwörter hat.
• Vorherige Passwörter sollten nicht wiederverwendet werden.
• Die Verwendung sehr verbreiteter Passwörter oder kompromittierter Passwörter oder Benutzernamen für den Zugriff auf gehackte Systeme sollte verboten sein.
• Bei der Eingabe von Passwörtern sollten diese im Klartext auf dem Bildschirm sichtbar sein.
• Passwörter sollten über geschützte Kanäle und in einem sicheren Format gespeichert und übertragen werden.

Darüber hinaus sollten Organisationen Hashing- und Verschlüsselungstechniken gemäß den autorisierten Kryptografiemethoden für Passwörter gemäß Control 8.24 durchführen.

Ergänzende Leitlinien zur Kontrolle 5.17

Neben Passwörtern gibt es weitere Arten von Authentifizierungsinformationen wie kryptografische Schlüssel, Smartcards und biometrische Daten wie Fingerabdrücke.

Organisationen wird empfohlen, sich für detailliertere Anleitungen zu Authentifizierungsinformationen auf die ISO/IEC 24760-Reihe zu beziehen.

Angesichts der Tatsache, dass das häufige Ändern von Passwörtern für Benutzer umständlich und ärgerlich sein kann, können Unternehmen die Implementierung alternativer Methoden wie Single Sign-On oder Passwort-Tresore in Betracht ziehen. Es ist jedoch zu beachten, dass diese alternativen Methoden die Authentifizierungsinformationen einem höheren Risiko einer unbefugten Offenlegung aussetzen können.

Änderungen und Unterschiede zu ISO 27002:2013

27002:2022/5.17 ersetzt 27002:2013/(9.2.4, 9.3.1 9.4.3)

Die Version 2022 enthält eine neue Anforderung zur Zuweisung und Verwaltung von Authentifizierungsinformationen

Obwohl die Versionen 2013 und 2022 hinsichtlich der Anforderungen an die Zuweisung und Verwaltung von Authentifizierungsinformationen sehr ähnlich sind, führt Control 5.17 in der Version 2022 die folgende Anforderung ein, die in der Version 2013 nicht enthalten war:

• Organisationen sollten Aufzeichnungen über alle wichtigen Ereignisse im Zusammenhang mit der Verwaltung und Zuweisung von Authentifizierungsinformationen erstellen und pflegen. Darüber hinaus sollten diese Aufzeichnungen vertraulich behandelt werden und Aufzeichnungsmethoden sollten zugelassen werden, beispielsweise durch die Verwendung eines zugelassenen Passwort-Tools.

Control 5.17 in der Version 2022 enthält eine zusätzliche Anforderung für die Verwendung von Authentifizierungsinformationen

Control 5.17 führt die folgende Anforderung für Benutzerverantwortlichkeiten ein, auf die in Control 9.3.1 in der Version 2013 nicht Bezug genommen wurde.

• Organisationen sollten die Anforderungen für die Erstellung und Verwendung von Passwörtern in ihre Arbeitsverträge mit ihren Mitarbeitern und Mitarbeitern aufnehmen.

Die Version 2013 enthielt zusätzliche Anforderungen an die Verantwortlichkeiten der Benutzer, die in der Version 2022 nicht enthalten waren

Im Gegensatz zur Version 2022 enthielt Control 9.3.1 die folgende Anforderung für die Verwendung von Authentifizierungsinformationen:

• Benutzer sollten nicht dieselben Authentifizierungsinformationen wie ein Passwort sowohl für geschäftliche als auch für nicht geschäftliche Zwecke verwenden.

Die Version 2013 enthielt eine zusätzliche Anforderung für Passwortverwaltungssysteme, die in der Version 2022 nicht enthalten war

Control 9.4.3 in der Version 2013 enthielt die folgende Anforderung für Passwortverwaltungssysteme.

• Dateien mit Passwörtern sollten in einem von den Anwendungssystemdaten getrennten System gehostet werden.

Control 5.17 in der Version 2022 enthielt diese Anforderung hingegen nicht.

Wie ISMS.online hilft

ISMS.Online hilft Organisationen und Unternehmen dabei, die Anforderungen von ISO 27002 zu erfüllen, indem es ihnen eine Plattform zur Verfügung stellt, die es einfach macht, ihre Vertraulichkeits- oder Geheimhaltungsrichtlinien und -verfahren zu verwalten, sie bei Bedarf zu aktualisieren, sie zu testen und ihre Wirksamkeit zu überwachen.

Wir bieten eine cloudbasierte Plattform für die Verwaltung von Vertraulichkeits- und Informationssicherheits-Managementsystemen, einschließlich Geheimhaltungsklauseln, Risikomanagement, Richtlinien, Plänen und Verfahren, an einem zentralen Ort. Die Plattform ist einfach zu bedienen und verfügt über eine intuitive Benutzeroberfläche, die das Erlernen der Bedienung erleichtert.

Kontaktieren Sie uns noch heute zu planen eine Demo.