ISO 27002:2022 – Kontrolle 8.2 – Privilegierte Zugriffsrechte

Zweck der Kontrolle 8.2

Die böswillige oder falsche Nutzung erhöhter Systemadministratorrechte ist eine der Hauptursachen für IKT-Störungen in kommerziellen Netzwerken auf der ganzen Welt.

Privilegierte Zugriffsrechte ermöglichen es Unternehmen, den Zugriff auf ihre Infrastruktur, Anwendungen und Ressourcen zu kontrollieren und die Integrität aller gespeicherten Daten und Systeme aufrechtzuerhalten.

Kontrolle 8.2 ist ein vorbeugende Kontrolle zur Abwicklung, Integrierung, Speicherung und hält das Risiko aufrecht durch Erteilung einer Berechtigung Prozess, der alle Zugriffsanfragen bearbeitet über das IKT-Netzwerk einer Organisation und die damit verbundenen Vermögenswerte hinweg.

Attributtabelle der Steuerung 8.2

Eigentum an der Kontrolle 8.2

Control 8.6 befasst sich mit einem die Fähigkeit einer Organisation, den Zugriff zu kontrollieren Zugriff auf Daten über Benutzerkonten, die über erweiterte Zugriffsrechte verfügen.

Daher sollte das Eigentum beim IT-Leiter (oder einem gleichwertigen Unternehmen) liegen, der die Verantwortung trägt Verantwortung für die Organisation Möglichkeit zur Verwaltung und Überwachung privilegierter Domänen- oder Anwendungsbenutzerkonten.

Allgemeine Leitlinien zur Kontrolle 8.2

In Control 8.2 werden 12 Hauptleitpunkte dargelegt Organisationen brauchen zu befolgen, in Übereinstimmung mit einer „themenspezifischen“ Richtlinie zur Zugriffskontrolle (siehe Kontrolle 5.15), die auf einzelne Geschäftsfunktionen abzielt.

Organisationen sollten:

1. Identifizieren Sie eine Liste von Benutzern, die einen beliebigen Grad an privilegiertem Zugriff benötigen – entweder für ein einzelnes System (z. B. eine Datenbank), eine Anwendung oder das zugrunde liegende Betriebssystem.
2. Halten Sie eine Richtlinie ein, die Benutzern privilegierte Zugriffsrechte auf einer sogenannten „Ereignis-für-Ereignis-Basis“ zuweist – Benutzern sollten Zugriffsebenen gewährt werden, die auf dem absoluten Minimum basieren, das für die Ausübung ihrer Rolle erforderlich ist.
3. Darlegung eines klaren Autorisierungsprozesses, der alle Anfragen nach privilegiertem Zugriff bearbeitet, einschließlich der Führung einer Aufzeichnung aller implementierten Zugriffsrechte.
4. Stellen Sie sicher, dass Zugriffsrechte mit entsprechenden Ablaufdaten versehen sind.
5. Ergreifen Sie Maßnahmen, um sicherzustellen, dass die Benutzer dies tun ausdrücklich bewusst eines beliebigen Zeitraums, in dem sie mit privilegiertem Zugriff auf ein System arbeiten.
6. Gegebenenfalls werden Benutzer gebeten, sich erneut zu authentifizieren, bevor sie privilegierte Zugriffsrechte nutzen, um eine höhere Informations-/Datensicherheit zu gewährleisten.
7. Führen Sie regelmäßige Prüfungen der privilegierten Zugriffsrechte durch, insbesondere nach einer Phase organisatorischer Veränderungen. Die Zugriffsrechte der Benutzer sollten anhand ihrer „Pflichten, Rollen, Verantwortlichkeiten und Kompetenzen“ überprüft werden (siehe Kontrolle 5.18).
8. Erwägen Sie den Einsatz eines so genannten „Break-Glass“-Verfahrens – das heißt, Sie stellen sicher, dass privilegierte Zugriffsrechte innerhalb streng kontrollierter Zeitfenster gewährt werden, die die Mindestanforderungen für die Ausführung eines Vorgangs erfüllen (kritische Änderungen, Systemadministration usw.).
9. Stellen Sie sicher, dass alle privilegierten Zugriffsaktivitäten entsprechend protokolliert werden.
10. Verhindern Sie die Verwendung generischer Systemanmeldeinformationen (insbesondere standardisierter Benutzernamen und Passwörter) (siehe Kontrolle 5.17).
11. Halten Sie sich an die Richtlinie, Benutzern eine separate Identität zuzuweisen, was eine strengere Kontrolle privilegierter Zugriffsrechte ermöglicht. Solche Identitäten können dann in Gruppen zusammengefasst werden, wobei der zugehörigen Gruppe unterschiedliche Zugriffsrechte gewährt werden.
12. Stellen Sie sicher, dass privilegierte Zugriffsrechte nur für kritische Aufgaben reserviert sind, die sich auf den fortlaufenden Betrieb eines funktionierenden IKT-Netzwerks beziehen – wie etwa Systemadministration und Netzwerkwartung.

Unterstützende Kontrollen

• 5.15

Änderungen und Unterschiede zu ISO 27002:2013

Control 27002:2022-8.2 ersetzt 27002:2013-9.2.3 (Verwaltung privilegierter Zugriffsrechte).

27002:2022-8.2 enthält 5 wichtige Leitlinien, die im Gegenstück von 2013 nicht explizit aufgeführt sind:

• 27002:2022-8.2 erfordert nicht explizit eine andere Benutzer-ID für privilegierte Zugriffsrechte.
• 27002:2022-8.2 betont die Notwendigkeit einer erneuten Authentifizierung vor dem Erhalt privilegierter Zugriffsrechte.
• 27002:2022-8.2 plädiert für einen Glasbruchansatz bei der Durchführung kritischer Wartungsaufgaben, der auf streng kontrollierten Zeitfenstern basiert.
• 27002:2022-8.2 fordert Organisationen dazu auf, umfassende Protokolle über privilegierte Zugriffe zu führen. für Prüfungszwecke.
• 27002:2022-8.2 fordert Organisationen auf, die Nutzung privilegierter Zugriffsrechte auf Verwaltungsaufgaben zu beschränken.

Neue ISO 27002-Kontrollen

Wie ISMS.online hilft

ISO 27002, Control 6.6, deckt die Notwendigkeit ab, dass Organisationen den Verlust vertraulicher Informationen durch die Einrichtung verhindern müssen Vertraulichkeitsvereinbarungen mit Interessenten und Personal.

Unsere cloudbasierte Plattform bietet einen vollständigen Satz an Tools, die Unternehmen bei der Einrichtung unterstützen Informationssicherheits-Managementsystem (ISMS) gem ISO 27002 .

Diese Tools umfassen:

• Eine Bibliothek mit Vorlagen für allgemeine Unternehmensdokumente.
• Eine Reihe vordefinierter Richtlinien und Verfahren.
• Ein Audit-Tool zur Unterstützung interner Audits.
• Eine Konfigurationsoberfläche zum Anpassen ISMS-Richtlinien und Verfahren.
• Ein Genehmigungsworkflow für alle an Richtlinien und Verfahren vorgenommenen Änderungen.
• Eine Checkliste, um sicherzustellen, dass Ihre Richtlinien und Informationssicherheitsprozesse den anerkannten internationalen Standards entsprechen.

ISMS.Online ermöglicht Benutzern außerdem:

• Verwalten Sie alle Aspekte des ISMS Lebenszyklus mit Leichtigkeit.
• Erhalten Sie Echtzeit-Einblicke in ihre Sicherheitslage und Compliance-Lücken.
• Integrieren Sie sich in andere Systeme wie HR, Finanzen und Projektmanagement.
• Demonstrieren Sie die Einhaltung ihrer ISMS mit ISO 27001 Standards.

Das ISMS.Online-Tool bietet außerdem Anleitungen zur optimalen Implementierung Ihres ISMS, indem es Tipps zur Erstellung von Richtlinien und Verfahren im Zusammenhang mit Aspekten wie Risikomanagement, Schulung des Personalsicherheitsbewusstseins und Planung der Reaktion auf Vorfälle gibt.