Zweck der Kontrolle 8.3
Der Zugang zu Informationen aus internen und externen Quellen ist der Eckpfeiler der Informationssicherheitspolitik einer Organisation.
Bei Kontrolle 8.3 handelt es sich um eine präventive Kontrollmaßnahme , die das Risiko durch die Festlegung einer Reihe von Regeln und Verfahren minimiert , welche den unberechtigten Zugriff bzw. Missbrauch von Informationen und IKT-Ressourcen einer Organisation verhindern.
Attributtabelle der Steuerung 8.3
| Steuerungstyp | Eigenschaften der Informationssicherheit | Cybersicherheitskonzepte | Operative Fähigkeiten | Sicherheitsdomänen |
|---|---|---|---|---|
| #Präventiv | #Vertraulichkeit | #Schützen | #Identitäts- und Zugriffsmanagement | #Schutz |
| #Integrität | ||||
| #Verfügbarkeit |
Eigentum an der Kontrolle 8.3
Control 8.3 befasst sich mit der Fähigkeit einer Organisation, den Zugriff auf Informationen zu kontrollieren.
Daher sollte die Zuständigkeit beim Chief Information Security Officer (oder einer entsprechenden Position im Unternehmen) liegen, der die Verantwortung für die gesamten Informations- und Datensicherheitspraktiken des Unternehmens trägt.
ISO 27001 leicht gemacht
Ein Vorsprung von 81 % vom ersten Tag an
Wir haben die harte Arbeit für Sie erledigt und Ihnen vom Moment Ihrer Anmeldung an einen Vorsprung von 81 % verschafft. Sie müssen nur noch die Lücken ausfüllen.
Allgemeine Leitlinien zur Kontrolle 8.3
Um die effektive Kontrolle über Informationen und IKT-Ressourcen zu gewährleisten und Zugangsbeschränkungsmaßnahmen zu unterstützen, sollten Organisationen im Einklang mit einem themenspezifischen Ansatz für den Informationszugang Folgendes sicherstellen:
- Verhindern Sie den anonymen Zugriff auf Informationen, einschließlich des weitreichenden öffentlichen Zugriffs.
- Wenn öffentlicher Zugriff oder Zugriff Dritter gewährt wird, sollten Organisationen sicherstellen, dass sich der Zugriff nicht auf sensible oder geschäftskritische Daten erstreckt.
- Führen Sie angemessene Wartungsmaßnahmen durch, die den Systemzugriff und alle damit verbundenen Geschäftsanwendungen oder -prozesse steuern.
- Bestimmen Sie den Datenzugriff für jeden einzelnen Benutzer.
- Geben Sie Datenzugriffsrechte zwischen Gruppen an, die bestimmte Datenvorgänge validieren, z. B. Lesen, Schreiben, Löschen und Ausführen.
- Behalten Sie die Fähigkeit zur Abschottung bei geschäftskritische Prozesse und Anwendungen mithilfe einer Reihe physischer und digitaler Zugangskontrollen.
Anleitung – Dynamisches Zugriffsmanagement
Control 8.3 plädiert für einen dynamischen Ansatz beim Informationszugang.
Die dynamische Zugriffsverwaltung bietet zahlreiche weitere Vorteile für Organisationsprozesse, bei denen es erforderlich ist, interne Daten mit externen Benutzern zu teilen oder zu nutzen, einschließlich schnellerer Vorfalllösungszeiten.
Techniken für dynamisches Zugriffsmanagement schützen eine breite Palette von Informationstypen , von Standarddokumenten über E-Mails bis hin zu Datenbankinformationen, und können dateigenau angewendet werden, wodurch eine strenge Kontrolle der Daten auf Organisationsebene ermöglicht wird.
Organisationen sollten einen solchen Ansatz in Betracht ziehen, wenn:
- Es ist eine detaillierte Kontrolle darüber erforderlich, welche menschlichen und nichtmenschlichen Benutzer zu einem bestimmten Zeitpunkt auf solche Informationen zugreifen können.
- Es besteht die Notwendigkeit, Informationen mit externen Parteien (z. B. Lieferanten oder Regulierungsbehörden) zu teilen.
- Erwägen Sie einen „Echtzeit“-Ansatz für die Datenverwaltung und -verteilung, der die Überwachung und Verwaltung der Datennutzung während ihres Auftretens umfasst.
- Schutz der Informationen vor unbefugter Änderung, Weitergabe oder Ausgabe (Drucken etc.).
- Überwachung des Zugriffs auf und der Änderung von Informationen, insbesondere wenn es sich um vertrauliche Informationen handelt.
Die dynamische Zugriffsverwaltung ist insbesondere für Organisationen von Nutzen, die Daten von der Erstellung bis zur Löschung überwachen und schützen müssen, darunter:
- Skizzieren eines Anwendungsfalls (oder einer Reihe von Anwendungsfällen), bei dem Datenzugriffsregeln basierend auf den folgenden Variablen angewendet werden:
- Identitätsschutz
- Gerät
- Standort
- Anwendung
- Skizzieren eines Prozesses, der das abdeckt Betrieb und Überwachung der Daten und die Einrichtung eines gründlichen Berichtsprozesses, der wiederum auf einer soliden technischen Infrastruktur basiert.
Alle Bemühungen zur Formulierung eines dynamischen Zugriffsmanagementansatzes sollten dazu führen, dass Daten geschützt werden durch:
- Sicherstellen, dass der Zugriff auf Daten das Endergebnis eines erfolgreichen Authentifizierungsprozesses ist.
- Ein Grad an eingeschränktem Zugriff, basierend auf dem Datentyp und seinen Auswirkungen auf die Fähigkeit Geschäftskontinuität.
- Verschlüsselung.
- Druckberechtigungen.
- Gründlich Audit-Protokolle Darin wird aufgezeichnet, wer auf Daten zugreift und wie diese Daten verwendet werden.
- Ein Warnverfahren, das auf unangemessene Datennutzung hinweist, einschließlich (aber nicht beschränkt auf) unbefugten Zugriff und unbefugte Verbreitung sowie versuchte Löschung.
Verwalten Sie Ihre gesamte Compliance an einem Ort
ISMS.online unterstützt über 100 Standards und Vorschriften und bietet Ihnen eine einzige Plattform für alle Ihre Compliance-Anforderungen.
Änderungen und Unterschiede zu ISO 27002:2013
27002:2022-8.3 ersetzt 27002:2013-9.4.1 (Information access constraint) und stellt eine bedeutende Änderung in der Art und Weise dar, wie die ISO das Informationszugriffsmanagement im Einklang mit dem zuvor erwähnten dynamischen Ansatz betrachtet (eine Technik, die in 27002:2013-9.4.1 nicht erwähnt wird).
27002:2022-8.3 enthält zahlreiche Leitfäden zum dynamischen Zugriffsmanagement, die im Gegenstück aus dem Jahr 2013 fehlen. Organisationen wird empfohlen, diese bei der Beantragung einer Zertifizierung themenspezifisch zu berücksichtigen.
Neue ISO 27002-Kontrollen
| ISO/IEC 27002:2022 Kontrollkennung | ISO/IEC 27002:2013 Kontrollkennung | Kontrollname |
|---|---|---|
| 5.7 | NEU | Bedrohungsinformationen |
| 5.23 | NEU | Informationssicherheit bei der Nutzung von Cloud-Diensten |
| 5.30 | NEU | IKT-Bereitschaft für Geschäftskontinuität |
| 7.4 | NEU | Physische Sicherheitsüberwachung |
| 8.9 | NEU | Konfigurationsmanagement |
| 8.10 | NEU | Löschung von Informationen |
| 8.11 | NEU | Datenmaskierung |
| 8.12 | NEU | Verhinderung von Datenlecks |
| 8.16 | NEU | Überwachungsaktivitäten |
| 8.23 | NEU | Web-Filter |
| 8.28 | NEU | Sichere Codierung |
| ISO/IEC 27002:2022 Kontrollkennung | ISO/IEC 27002:2013 Kontrollkennung | Kontrollname |
|---|---|---|
| 6.1 | 07.1.1 | Rekrutierung |
| 6.2 | 07.1.2 | Beschäftigungsbedingungen |
| 6.3 | 07.2.2 | Bewusstsein für Informationssicherheit, Aus- und Weiterbildung |
| 6.4 | 07.2.3 | Disziplinarverfahren |
| 6.5 | 07.3.1 | Verantwortlichkeiten nach Beendigung oder Wechsel des Arbeitsverhältnisses |
| 6.6 | 13.2.4 | Vertraulichkeits- oder Geheimhaltungsvereinbarungen |
| 6.7 | 06.2.2 | Fernarbeit |
| 6.8 | 16.1.2, 16.1.3 | Berichterstattung über Informationssicherheitsereignisse |
| ISO/IEC 27002:2022 Kontrollkennung | ISO/IEC 27002:2013 Kontrollkennung | Kontrollname |
|---|---|---|
| 7.1 | 11.1.1 | Physische Sicherheitsbereiche |
| 7.2 | 11.1.2, 11.1.6 | Physischer Eintritt |
| 7.3 | 11.1.3 | Absicherung von Büros, Räumen und Anlagen |
| 7.4 | NEU | Physische Sicherheitsüberwachung |
| 7.5 | 11.1.4 | Schutz vor physischen und umweltbedingten Bedrohungen |
| 7.6 | 11.1.5 | Arbeiten in sicheren Bereichen |
| 7.7 | 11.2.9 | Klarer Schreibtisch und klarer Bildschirm |
| 7.8 | 11.2.1 | Standort und Schutz der Ausrüstung |
| 7.9 | 11.2.6 | Sicherheit von Vermögenswerten außerhalb des Betriebsgeländes |
| 7.10 | 08.3.1, 08.3.2, 08.3.3, 11.2.5 | Speichermedium |
| 7.11 | 11.2.2 | Unterstützende Versorgungsunternehmen |
| 7.12 | 11.2.3 | Verkabelungssicherheit |
| 7.13 | 11.2.4 | Wartung der Ausrüstung |
| 7.14 | 11.2.7 | Sichere Entsorgung oder Wiederverwendung von Geräten |
Wie ISMS.online hilft
ISMS.Online ist die führende ISO 27002 Managementsystem-Software, die die Einhaltung der ISO 27002 unterstützt und Unternehmen dabei hilft, ihre Sicherheitsrichtlinien und -verfahren an den Standard anzupassen.
Die Cloud-basierte Plattform bietet ein komplettes Set an Tools, um Organisationen bei der Einrichtung eines Informationssicherheitsmanagementsystems (ISMS) gemäß ISO 27002 zu unterstützen.
Unsere Plattform wurde von Grund auf mit Hilfe von Informationssicherheitsexperten aus aller Welt entwickelt und ist so gestaltet, dass sie auch für Personen ohne technische Vorkenntnisse im Bereich Informationssicherheitsmanagementsysteme (ISMS) einfach zu bedienen ist.
Nehmen Sie noch heute Kontakt mit uns auf, um eine Demo zu buchen.
