ISO 27002:2022, Kontrolle 5.18 – Zugriffsrechte

Eigentum an der Kontrolle 5.18

Ein Informationssicherheitsbeauftragter sollte dafür verantwortlich sein, geeignete Regeln, Prozesse und Kontrollen für die Bereitstellung, Änderung und den Widerruf von Zugriffsrechten auf Informationssysteme festzulegen, umzusetzen und zu überprüfen.

Beim Zuweisen, Ändern und Widerrufen von Zugriffsrechten sollte der Informationssicherheitsbeauftragte die Geschäftsanforderungen berücksichtigen und eng mit den Eigentümern der Informationsressourcen zusammenarbeiten, um sicherzustellen, dass Regeln und Prozesse eingehalten werden.

Leitfaden zur Gewährung und zum Widerruf von Zugriffsrechten

Organisationen sollten die folgenden Regeln und Kontrollen in den Prozess zur Zuweisung und zum Widerruf von Zugriffsrechten an eine authentifizierte Person integrieren:

• Der Eigentümer von Informationsressourcen sollte seine Genehmigung für den Zugriff auf und die Nutzung relevanter Informationsressourcen erteilen. Darüber hinaus sollten Organisationen auch darüber nachdenken, für die Gewährung von Zugriffsrechten eine gesonderte Genehmigung der Geschäftsleitung einzuholen.
• Die Geschäftsanforderungen der Organisation und ihre Richtlinien zur Zugangskontrolle sollten berücksichtigt werden.
• Organisationen sollten über eine Aufgabentrennung nachdenken. So können beispielsweise die Genehmigungsaufgabe und die Umsetzung von Zugriffsrechten von getrennten Personen durchgeführt werden.
• Wenn eine Person keinen Zugriff mehr auf Informationsbestände benötigt, insbesondere wenn sie nicht mehr Teil der Organisation ist, sollten ihre Zugriffsrechte sofort widerrufen werden.
• Personal oder anderen Mitarbeitern, die vorübergehend für die Organisation tätig sind, können zeitlich begrenzte Zutrittsrechte gewährt werden. Diese Rechte sollten widerrufen werden, wenn sie nicht mehr für die Organisation arbeiten.
• Der einer Einzelperson gewährte Zugangsumfang sollte mit der Zugangskontrollrichtlinie der Organisation im Einklang stehen und regelmäßig überprüft und verifiziert werden. Darüber hinaus sollte es auch mit anderen Anforderungen an die Informationssicherheit im Einklang stehen, wie z. B. der Aufgabentrennung gemäß Kontrolle 5.3.
• Organisationen sollten sicherstellen, dass Zugriffsrechte erst nach Abschluss des entsprechenden Autorisierungsverfahrens aktiviert werden.
• Zutrittsrechte für jeden einzelnen Identifikator, z. B. Ausweis oder physisch, sollten in einem zentralen Zutrittskontrollverwaltungssystem protokolliert und dieses System aufrechterhalten werden.
• Wenn sich die Rolle oder Pflichten einer Person ändern, sollten ihre Zugriffsrechte aktualisiert werden.
• Das Entfernen oder Ändern physischer oder logischer Zugriffsrechte kann über folgende Methoden erfolgen: Entfernen oder Ersetzen von Schlüsseln, Ausweisen oder Authentifizierungsinformationen.
• Änderungen an den physischen und logischen Zugriffsrechten eines Benutzers sollten auf einem System protokolliert und beibehalten werden.

Ergänzende Anleitung zur Überprüfung von Zugriffsrechten

Physische und logische Zugriffsrechte sollten regelmäßig überprüft werden, wobei Folgendes zu berücksichtigen ist:

• Änderungen der Zugriffsrechte jedes Benutzers, nachdem er innerhalb derselben Organisation befördert oder herabgestuft wurde oder nachdem sein Arbeitsverhältnis beendet wurde.
• Autorisierungsverfahren zur Gewährung privilegierter Zugriffsrechte.

Leitlinien zur Änderung oder Beendigung des Arbeitsverhältnisses

Bevor ein Mitarbeiter innerhalb derselben Organisation befördert oder herabgestuft wird oder wenn sein Arbeitsverhältnis beendet wird, sollten seine Zugriffsrechte auf Informationsverarbeitungssysteme unter Berücksichtigung der folgenden Risikofaktoren bewertet und geändert werden:

• Ob der Kündigungsprozess vom Mitarbeiter oder von der Organisation eingeleitet wird und der Grund für die Kündigung.
• Aktuelle Verantwortlichkeiten des Mitarbeiters innerhalb der Organisation.
• Kritikalität und Wert der für den Mitarbeiter zugänglichen Informationsressourcen.

Ergänzende Anleitung

Organisationen sollten erwägen, Benutzerzugriffsrollen basierend auf ihren Geschäftsanforderungen einzurichten. Diese Rollen sollten die Art und Anzahl der Zugriffsrechte umfassen, die jeder Benutzergruppe gewährt werden sollen.

Durch die Erstellung solcher Rollen wird es einfacher, Zugriffsanfragen und -rechte zu verwalten und zu überprüfen.

Organisationen sollten vertragliche Bestimmungen für unbefugten Zugriff und Sanktionen für solchen Zugriff in ihre Arbeits-/Dienstverträge mit ihren Mitarbeitern aufnehmen. Dies sollte in Übereinstimmung mit den Kontrollen 5.20, 6.2, 6.4 und 6.6 erfolgen.

Unternehmen sollten sich vor unzufriedenen Mitarbeitern hüten, die vom Management entlassen werden, weil sie Informationssysteme absichtlich schädigen könnten.

Wenn Organisationen beschließen, die Klontechniken zur Gewährung von Zugriffsrechten zu verwenden, sollten sie dies auf der Grundlage unterschiedlicher, von der Organisation festgelegter Rollen durchführen.

Es ist zu beachten, dass das Klonen mit dem Risiko verbunden ist, übermäßige Zugriffsrechte zu gewähren.

Änderungen und Unterschiede zu ISO 27002:2013

27002:2022/5.18 ersetzt 27002:2013/(9.2.2, 9.2.5, 9.2.6).

Version 2022 enthält umfassendere Anforderungen für die Gewährung und den Widerruf von Zugriffsrechten

Obwohl Control 9.2.2 in der Version 2013 sechs Anforderungen für die Zuweisung und den Widerruf von Zugriffsrechten auflistete, führt Control 5.18 in der Version 2022 zusätzlich zu diesen sechs Anforderungen drei neue Anforderungen ein:

• Personal oder anderen Mitarbeitern, die vorübergehend für die Organisation tätig sind, können zeitlich begrenzte Zutrittsrechte gewährt werden. Diese Rechte sollten widerrufen werden, wenn sie keine Arbeit mehr für die Organisation ausführen.
• Das Entfernen oder Ändern physischer oder logischer Zugriffsrechte kann über folgende Methoden erfolgen: Entfernen oder Ersetzen von Schlüsseln, Ausweisen oder Authentifizierungsinformationen.
• Änderungen an den physischen und logischen Zugriffsrechten eines Benutzers sollten protokolliert und gepflegt werden.

Version 2013 enthält detailliertere Anforderungen für privilegierte Zugriffsrechte

In Control 9.5 in der Version 2013 wurde ausdrücklich festgelegt, dass Organisationen die Autorisierung für privilegierte Zugriffsrechte häufiger überprüfen sollten als für andere Zugriffsrechte. Control 5.18 in der Version 2022 enthielt diese Anforderung hingegen nicht.

Wie ISMS.online hilft

ISMS.online ist eine cloudbasierte Plattform, die Unterstützung bei der effizienten und kostengünstigen Umsetzung des ISO 2702-Standards bietet.

Über die benutzerfreundliche Dashboard-Oberfläche erhalten Unternehmen jederzeit einfachen Zugriff auf aktuelle Informationen über ihren Compliance-Status. So können Manager ihre Fortschritte auf dem Weg zur Compliance schnell und einfach überwachen.

Nehmen Sie noch heute Kontakt mit uns auf Demo buchen.