ISO 27002:2022 – Kontrolle 8.3 – Beschränkung des Informationszugriffs

Zweck der Kontrolle 8.3

Der Zugriff auf Informationen aus internen und externen Quellen ist der Grundstein einer Informationssicherheitsrichtlinie der Organisation.

Kontrolle 8.3 ist ein vorbeugende Kontrolle zur Abwicklung, Integrierung, Speicherung und hält das Risiko aufrecht durch die Festlegung einer Reihe von Regeln und Verfahren, die dies verhindern unbefugter Zugriff/Missbrauch der Informationen und IKT-Ressourcen einer Organisation.

Attributtabelle der Steuerung 8.3

Eigentum an der Kontrolle 8.3

Kontrolle 8.3 befasst sich mit der Fähigkeit einer Organisation den Zugriff auf Informationen kontrollieren.

Als solche, Die Eigentümerschaft sollte beim Chief Information Security Officer liegen (oder eine gleichwertige Organisation), der die Verantwortung für die allgemeinen Informations- und Datensicherheitspraktiken der Organisation trägt.

Allgemeine Leitlinien zur Kontrolle 8.3

Um effektiv zu bleiben Kontrolle über Informationen und IKT-Ressourcen, und zur Unterstützung von Zugangsbeschränkungsmaßnahmen sollten Organisationen Folgendes im Einklang mit a sicherstellen themenspezifisch Ansatz für den Informationszugang:

1. Verhindern Sie den anonymen Zugriff auf Informationen, einschließlich des weitreichenden öffentlichen Zugriffs.
• Wenn öffentlicher Zugriff oder Zugriff Dritter gewährt wird, sollten Organisationen sicherstellen, dass sich der Zugriff nicht auf sensible oder geschäftskritische Daten erstreckt.
2. Führen Sie angemessene Wartungsmaßnahmen durch, die den Systemzugriff und alle damit verbundenen Geschäftsanwendungen oder -prozesse steuern.
3. Bestimmen Sie den Datenzugriff für jeden einzelnen Benutzer.
4. Geben Sie Datenzugriffsrechte zwischen Gruppen an, die bestimmte Datenvorgänge validieren, z. B. Lesen, Schreiben, Löschen und Ausführen.
5. Behalten Sie die Fähigkeit zur Abschottung bei geschäftskritische Prozesse und Anwendungen mithilfe einer Reihe physischer und digitaler Zugangskontrollen.

Anleitung – Dynamisches Zugriffsmanagement

Control 8.3 befürwortet a dynamisch Ansatz für den Zugang zu Informationen.

Die dynamische Zugriffsverwaltung bietet zahlreiche weitere Vorteile für Organisationsprozesse, bei denen es erforderlich ist, interne Daten mit externen Benutzern zu teilen oder zu nutzen, einschließlich schnellerer Vorfalllösungszeiten.

Dynamischer Zugriff Managementtechniken schützen ein breites Spektrum an Informationen Es können verschiedene Dateitypen verwendet werden, von Standarddokumenten bis hin zu E-Mails und Datenbankinformationen. Sie können auf einer granularen Datei-für-Datei-Basis angewendet werden und ermöglichen so eine strenge Kontrolle der Daten auf Organisationsebene.

Organisationen sollten einen solchen Ansatz in Betracht ziehen, wenn:

1. Es ist eine detaillierte Kontrolle darüber erforderlich, welche menschlichen und nichtmenschlichen Benutzer zu einem bestimmten Zeitpunkt auf solche Informationen zugreifen können.
2. Es besteht die Notwendigkeit, Informationen mit externen Parteien (z. B. Lieferanten oder Regulierungsbehörden) zu teilen.
3. Erwägen Sie einen „Echtzeit“-Ansatz für die Datenverwaltung und -verteilung, der die Überwachung und Verwaltung der Datennutzung während ihres Auftretens umfasst.
4. Schutz der Informationen vor unbefugter Änderung, Weitergabe oder Ausgabe (Drucken etc.).
5. Überwachung des Zugriffs auf und der Änderung von Informationen, insbesondere wenn es sich um vertrauliche Informationen handelt.

Die dynamische Zugriffsverwaltung ist insbesondere für Organisationen von Nutzen, die Daten von der Erstellung bis zur Löschung überwachen und schützen müssen, darunter:

1. Skizzieren eines Anwendungsfalls (oder einer Reihe von Anwendungsfällen), bei dem Datenzugriffsregeln basierend auf den folgenden Variablen angewendet werden:
• Identitätsschutz
• Gerät
• STANDORT
• Anwendungsbereiche
2. Skizzieren eines Prozesses, der das abdeckt Betrieb und Überwachung der Daten und die Einrichtung eines gründlichen Berichtsprozesses, der wiederum auf einer soliden technischen Infrastruktur basiert.

Alle Bemühungen zur Formulierung eines dynamischen Zugangsverwaltungsansatzes sollten zu einem Ergebnis führen Daten geschützt werden durch:

1. Sicherstellen, dass der Zugriff auf Daten das Endergebnis eines erfolgreichen Authentifizierungsprozesses ist.
2. Ein Grad an eingeschränktem Zugriff, basierend auf dem Datentyp und seinen Auswirkungen auf die Fähigkeit Geschäftskontinuität.
3. Verschlüsselung.
4. Druckberechtigungen.
5. Gründlich Audit-Protokolle Darin wird aufgezeichnet, wer auf Daten zugreift und wie diese Daten verwendet werden.
6. Ein Warnverfahren, das auf unangemessene Datennutzung hinweist, einschließlich (aber nicht beschränkt auf) unbefugten Zugriff und unbefugte Verbreitung sowie versuchte Löschung.

Änderungen und Unterschiede zu ISO 27002:2013

27002:2022-8.3 replaces 27002:2013-9.4.1 (Beschränkung des Informationszugriffs) und stellt eine wesentliche Veränderung in der Art und Weise dar, wie ISO das Informationszugriffsmanagement gemäß dem oben genannten dynamischen Ansatz betrachtet (eine Technik, die in 27002:2013-9.4.1 nicht erwähnt wird).

27002:2022-8.3 enthält zahlreiche Leitfäden zum dynamischen Zugriffsmanagement, die im Gegenstück aus dem Jahr 2013 fehlen. Organisationen wird empfohlen, diese bei der Beantragung einer Zertifizierung themenspezifisch zu berücksichtigen.

Neue ISO 27002-Kontrollen

Wie ISMS.online hilft

ISMS.Online ist die führende ISO 27002-Managementsystemsoftware, die unterstützt Einhaltung der ISO 27002und hilft Unternehmen dabei, ihre Sicherheitsrichtlinien und -verfahren an den Standard anzupassen.

Die cloudbasierte Plattform bietet einen vollständigen Satz an Tools, die Unternehmen bei der Einrichtung unterstützen Informationssicherheits-Managementsystem (ISMS) nach ISO 27002.

Unsere Plattform wurde von Grund auf mit Hilfe von Informationssicherheitsexperten aus der ganzen Welt entwickelt und wir haben es so entwickelt, dass es auch für Menschen ohne technische Kenntnisse über Informationssicherheits-Managementsysteme (ISMS) einfach zu verwenden ist.

Nehmen Sie noch heute Kontakt mit uns auf Demo buchen.