Zweck der Kontrolle 8.2
Die böswillige oder falsche Nutzung erhöhter Systemadministratorrechte ist eine der Hauptursachen für IKT-Störungen in kommerziellen Netzwerken auf der ganzen Welt.
Privilegierte Zugriffsrechte ermöglichen es Unternehmen, den Zugriff auf ihre Infrastruktur, Anwendungen und Ressourcen zu kontrollieren und die Integrität aller gespeicherten Daten und Systeme aufrechtzuerhalten.
Kontrolle 8.2 ist ein vorbeugende Kontrolle zur Abwicklung, Integrierung, Speicherung und hält das Risiko aufrecht durch Erteilung einer Berechtigung Prozess, der alle Zugriffsanfragen bearbeitet über das IKT-Netzwerk einer Organisation und die damit verbundenen Vermögenswerte hinweg.
Attributtabelle der Steuerung 8.2
| Steuerungstyp | Eigenschaften der Informationssicherheit | Cybersicherheitskonzepte | Operative Fähigkeiten | Sicherheitsdomänen |
|---|---|---|---|---|
| #Präventiv | #Vertraulichkeit | #Schützen | #Identitäts- und Zugriffsmanagement | #Schutz |
| #Integrität | ||||
| #Verfügbarkeit |
Eigentum an der Kontrolle 8.2
Control 8.6 befasst sich mit einem die Fähigkeit einer Organisation, den Zugriff zu kontrollieren Zugriff auf Daten über Benutzerkonten, die über erweiterte Zugriffsrechte verfügen.
Daher sollte das Eigentum beim IT-Leiter (oder einem gleichwertigen Unternehmen) liegen, der die Verantwortung trägt Verantwortung für die Organisation Möglichkeit zur Verwaltung und Überwachung privilegierter Domänen- oder Anwendungsbenutzerkonten.
ISO 27001 leicht gemacht
Ein Vorsprung von 81 % vom ersten Tag an
Wir haben die harte Arbeit für Sie erledigt und Ihnen vom Moment Ihrer Anmeldung an einen Vorsprung von 81 % verschafft. Sie müssen nur noch die Lücken ausfüllen.
Allgemeine Leitlinien zur Kontrolle 8.2
In Control 8.2 werden 12 Hauptleitpunkte dargelegt Organisationen brauchen zu befolgen, in Übereinstimmung mit einer „themenspezifischen“ Richtlinie zur Zugriffskontrolle (siehe Kontrolle 5.15), die auf einzelne Geschäftsfunktionen abzielt.
Organisationen sollten:
- Identifizieren Sie eine Liste von Benutzern, die einen beliebigen Grad an privilegiertem Zugriff benötigen – entweder für ein einzelnes System (z. B. eine Datenbank), eine Anwendung oder das zugrunde liegende Betriebssystem.
- Halten Sie eine Richtlinie ein, die Benutzern privilegierte Zugriffsrechte auf einer sogenannten „Ereignis-für-Ereignis-Basis“ zuweist – Benutzern sollten Zugriffsebenen gewährt werden, die auf dem absoluten Minimum basieren, das für die Ausübung ihrer Rolle erforderlich ist.
- Darlegung eines klaren Autorisierungsprozesses, der alle Anfragen nach privilegiertem Zugriff bearbeitet, einschließlich der Führung einer Aufzeichnung aller implementierten Zugriffsrechte.
- Stellen Sie sicher, dass Zugriffsrechte mit entsprechenden Ablaufdaten versehen sind.
- Ergreifen Sie Maßnahmen, um sicherzustellen, dass die Benutzer dies tun ausdrücklich bewusst eines beliebigen Zeitraums, in dem sie mit privilegiertem Zugriff auf ein System arbeiten.
- Gegebenenfalls werden Benutzer gebeten, sich erneut zu authentifizieren, bevor sie privilegierte Zugriffsrechte nutzen, um eine höhere Informations-/Datensicherheit zu gewährleisten.
- Führen Sie regelmäßige Prüfungen der privilegierten Zugriffsrechte durch, insbesondere nach einer Phase organisatorischer Veränderungen. Die Zugriffsrechte der Benutzer sollten anhand ihrer „Pflichten, Rollen, Verantwortlichkeiten und Kompetenzen“ überprüft werden (siehe Kontrolle 5.18).
- Erwägen Sie den Einsatz eines so genannten „Break-Glass“-Verfahrens – das heißt, Sie stellen sicher, dass privilegierte Zugriffsrechte innerhalb streng kontrollierter Zeitfenster gewährt werden, die die Mindestanforderungen für die Ausführung eines Vorgangs erfüllen (kritische Änderungen, Systemadministration usw.).
- Stellen Sie sicher, dass alle privilegierten Zugriffsaktivitäten entsprechend protokolliert werden.
- Verhindern Sie die Verwendung generischer Systemanmeldeinformationen (insbesondere standardisierter Benutzernamen und Passwörter) (siehe Kontrolle 5.17).
- Halten Sie sich an die Richtlinie, Benutzern eine separate Identität zuzuweisen, was eine strengere Kontrolle privilegierter Zugriffsrechte ermöglicht. Solche Identitäten können dann in Gruppen zusammengefasst werden, wobei der zugehörigen Gruppe unterschiedliche Zugriffsrechte gewährt werden.
- Stellen Sie sicher, dass privilegierte Zugriffsrechte nur für kritische Aufgaben reserviert sind, die sich auf den fortlaufenden Betrieb eines funktionierenden IKT-Netzwerks beziehen – wie etwa Systemadministration und Netzwerkwartung.
Unterstützende Kontrollen
- 5.15
Befreien Sie sich von einem Berg an Tabellenkalkulationen
Integrieren, erweitern und skalieren Sie Ihre Compliance, ohne dass es zu Problemen kommt. IO gibt Ihnen die Widerstandsfähigkeit und das Vertrauen, um sicher zu wachsen.
Änderungen und Unterschiede zu ISO 27002:2013
Control 27002:2022-8.2 ersetzt 27002:2013-9.2.3 (Verwaltung privilegierter Zugriffsrechte).
27002:2022-8.2 enthält 5 wichtige Leitlinien, die im Gegenstück von 2013 nicht explizit aufgeführt sind:
- 27002:2022-8.2 erfordert nicht explizit eine andere Benutzer-ID für privilegierte Zugriffsrechte.
- 27002:2022-8.2 betont die Notwendigkeit einer erneuten Authentifizierung vor dem Erhalt privilegierter Zugriffsrechte.
- 27002:2022-8.2 plädiert für einen Glasbruchansatz bei der Durchführung kritischer Wartungsaufgaben, der auf streng kontrollierten Zeitfenstern basiert.
- 27002:2022-8.2 fordert Organisationen dazu auf, umfassende Protokolle über privilegierte Zugriffe zu führen. für Prüfungszwecke.
- 27002:2022-8.2 fordert Organisationen auf, die Nutzung privilegierter Zugriffsrechte auf Verwaltungsaufgaben zu beschränken.
Neue ISO 27002-Kontrollen
| ISO/IEC 27002:2022 Kontrollkennung | ISO/IEC 27002:2013 Kontrollkennung | Kontrollname |
|---|---|---|
| 5.7 | NEU | Bedrohungsinformationen |
| 5.23 | NEU | Informationssicherheit bei der Nutzung von Cloud-Diensten |
| 5.30 | NEU | IKT-Bereitschaft für Geschäftskontinuität |
| 7.4 | NEU | Physische Sicherheitsüberwachung |
| 8.9 | NEU | Konfigurationsmanagement |
| 8.10 | NEU | Löschung von Informationen |
| 8.11 | NEU | Datenmaskierung |
| 8.12 | NEU | Verhinderung von Datenlecks |
| 8.16 | NEU | Überwachungsaktivitäten |
| 8.23 | NEU | Web-Filter |
| 8.28 | NEU | Sichere Codierung |
| ISO/IEC 27002:2022 Kontrollkennung | ISO/IEC 27002:2013 Kontrollkennung | Kontrollname |
|---|---|---|
| 6.1 | 07.1.1 | Rekrutierung |
| 6.2 | 07.1.2 | Beschäftigungsbedingungen |
| 6.3 | 07.2.2 | Bewusstsein für Informationssicherheit, Aus- und Weiterbildung |
| 6.4 | 07.2.3 | Disziplinarverfahren |
| 6.5 | 07.3.1 | Verantwortlichkeiten nach Beendigung oder Wechsel des Arbeitsverhältnisses |
| 6.6 | 13.2.4 | Vertraulichkeits- oder Geheimhaltungsvereinbarungen |
| 6.7 | 06.2.2 | Fernarbeit |
| 6.8 | 16.1.2, 16.1.3 | Berichterstattung über Informationssicherheitsereignisse |
| ISO/IEC 27002:2022 Kontrollkennung | ISO/IEC 27002:2013 Kontrollkennung | Kontrollname |
|---|---|---|
| 7.1 | 11.1.1 | Physische Sicherheitsbereiche |
| 7.2 | 11.1.2, 11.1.6 | Physischer Eintritt |
| 7.3 | 11.1.3 | Absicherung von Büros, Räumen und Anlagen |
| 7.4 | NEU | Physische Sicherheitsüberwachung |
| 7.5 | 11.1.4 | Schutz vor physischen und umweltbedingten Bedrohungen |
| 7.6 | 11.1.5 | Arbeiten in sicheren Bereichen |
| 7.7 | 11.2.9 | Klarer Schreibtisch und klarer Bildschirm |
| 7.8 | 11.2.1 | Standort und Schutz der Ausrüstung |
| 7.9 | 11.2.6 | Sicherheit von Vermögenswerten außerhalb des Betriebsgeländes |
| 7.10 | 08.3.1, 08.3.2, 08.3.3, 11.2.5 | Speichermedium |
| 7.11 | 11.2.2 | Unterstützende Versorgungsunternehmen |
| 7.12 | 11.2.3 | Verkabelungssicherheit |
| 7.13 | 11.2.4 | Wartung der Ausrüstung |
| 7.14 | 11.2.7 | Sichere Entsorgung oder Wiederverwendung von Geräten |
Wie ISMS.online hilft
ISO 27002, Control 6.6, deckt die Notwendigkeit ab, dass Organisationen den Verlust vertraulicher Informationen durch die Einrichtung verhindern müssen Vertraulichkeitsvereinbarungen mit Interessenten und Personal.
Unsere cloudbasierte Plattform bietet einen vollständigen Satz an Tools, die Unternehmen bei der Einrichtung unterstützen Informationssicherheits-Managementsystem (ISMS) gem ISO 27002 .
Diese Tools umfassen:
- Eine Bibliothek mit Vorlagen für allgemeine Unternehmensdokumente.
- Eine Reihe vordefinierter Richtlinien und Verfahren.
- Ein Audit-Tool zur Unterstützung interner Audits.
- Eine Konfigurationsoberfläche zum Anpassen ISMS-Richtlinien und Verfahren.
- Ein Genehmigungsworkflow für alle an Richtlinien und Verfahren vorgenommenen Änderungen.
- Eine Checkliste, um sicherzustellen, dass Ihre Richtlinien und Informationssicherheitsprozesse den anerkannten internationalen Standards entsprechen.
ISMS.Online ermöglicht Benutzern außerdem:
- Verwalten Sie alle Aspekte des ISMS Lebenszyklus mit Leichtigkeit.
- Erhalten Sie Echtzeit-Einblicke in ihre Sicherheitslage und Compliance-Lücken.
- Integrieren Sie sich in andere Systeme wie HR, Finanzen und Projektmanagement.
- Demonstrieren Sie die Einhaltung ihrer ISMS mit ISO 27001 Standards.
Das ISMS.Online-Tool bietet außerdem Anleitungen zur optimalen Implementierung Ihres ISMS, indem es Tipps zur Erstellung von Richtlinien und Verfahren im Zusammenhang mit Aspekten wie Risikomanagement, Schulung des Personalsicherheitsbewusstseins und Planung der Reaktion auf Vorfälle gibt.
