ISO 27002:2022, Control 8.5 – Sichere Authentifizierung

Eigentum an der Kontrolle 8.5

Control 8.5 befasst sich mit der Fähigkeit einer Organisation, den Zugriff auf ihr Netzwerk (und die darin enthaltenen Informationen und Daten) an kritischen Knotenpunkten, wie beispielsweise einem Login-Gateway, zu kontrollieren.

Während sich die Kontrolle mit der Informations- und Datensicherheit als umfassenderem Konzept befasst, ist die operative Anleitung in erster Linie technischer Natur.

Daher sollte das Eigentum beim IT-Leiter (oder einem gleichwertigen Unternehmen) liegen, der die Verantwortung trägt Verantwortung für die täglichen IT-Verwaltungsfunktionen der Organisation.

Allgemeine Leitlinien zur Kontrolle 8.5

Control 8.5 fordert Organisationen auf, Authentifizierungskontrollen in Betracht zu ziehen, die für die Art und Vertraulichkeit der Daten und des Netzwerks, auf die zugegriffen wird, relevant sind, einschließlich:

• Multi-Faktor-Authentifizierung (MFA)
• Digitale Zertifikate
• Intelligente Zugangskontrollen (Smartcards)
• Biometrische Anmeldungen
• Sichere Token

Das vorrangige Ziel der sicheren Authentifizierungskontrollen einer Organisation sollte sein das Risiko eines unbefugten Zugriffs verhindern und/oder minimieren zu seinen geschützten Systemen.

Um dies zu erreichen, skizziert Control 8.5 12 Hauptleitpunkte. Organisationen sollten:

1. Beschränken Sie die Anzeige von Informationen bis nach einem erfolgreichen Authentifizierungsversuch.
2. Zeigen Sie vor der Anmeldung eine Warnung an, die deutlich darauf hinweist, dass nur autorisierte Benutzer auf die Informationen zugreifen sollten.
3. Minimieren Sie die Unterstützung für nicht authentifizierte Benutzer, die versuchen, auf das System zuzugreifen. Beispielsweise sollten Organisationen nicht offenlegen, welcher bestimmte Teil eines Anmeldeversuchs falsch ist, z. B. ein biometrischer Aspekt einer MFA-Anmeldung, und stattdessen einfach angeben, dass der Anmeldeversuch fehlgeschlagen ist .
4. Validieren Sie den Anmeldeversuch erst, wenn dem Anmeldedienst alle erforderlichen Informationen zur Verfügung gestellt wurden, um die Sicherheit zu gewährleisten.
5. Implementieren Sie branchenübliche Sicherheitsmaßnahmen, die vor flächendeckendem Zugriff und/oder Brute-Force-Angriffen auf Anmeldeportale schützen. Zu diesen Maßnahmen können gehören:
• CAPTCHA-Steuerelemente
• Erzwingen eines Passwort-Resets nach einer festgelegten Anzahl fehlgeschlagener Anmeldeversuche
• Verhinderung weiterer Anmeldeversuche nach einer vordefinierten Anzahl fehlgeschlagener Versuche
6. Aufzeichnung aller fehlgeschlagenen Anmeldeversuche für Audit- und Sicherheitszwecken, einschließlich ihrer Verwendung in Straf- und/oder Regulierungsverfahren.
7. Initiieren eines Sicherheitsvorfall immer dann, wenn eine größere Login-Diskrepanz festgestellt wird, beispielsweise ein vermeintlicher Einbruch. In diesen Fällen sollten alle relevanten internen Mitarbeiter benachrichtigt werden, insbesondere diejenigen mit Systemadministratorzugriff oder der Fähigkeit, böswillige Anmeldeversuche zu bekämpfen.
8. Geben Sie bei der Validierung einer Anmeldung bestimmte Informationen an eine separate Datenquelle weiter, die Folgendes auflistet:
• Das Datum und die Uhrzeit der vorherigen erfolgreichen Anmeldung
• Eine Liste aller Anmeldeversuche seit der letzten validierten Anmeldung
9. Zeigen Sie Passwörter als Sternchen (oder ähnlich abstrakte Symbole) an, wenn keine dringende Notwendigkeit besteht, dies nicht zu tun (z. B. Benutzerzugänglichkeit).
10. Verbieten Sie strikt die Weitergabe oder Anzeige von Passwörtern als klarer, lesbarer Text.
11. Befolgen Sie eine Richtlinie zur Beendigung ruhender Anmeldesitzungen nach einer bestimmten Zeitspanne. Dies ist besonders relevant für Sitzungen, die an Orten mit hohem Risiko (entfernte Arbeitsumgebungen) oder auf vom Benutzer bereitgestellten Ressourcen wie persönlichen Laptops oder Mobiltelefonen stattfinden.
12. Beschränkung der Zeitspanne, die eine authentifizierte Sitzung geöffnet bleiben kann – auch wenn sie aktiv ist – im Verhältnis zu den Informationen, auf die zugegriffen wird (z. B. geschäftskritische Informationen oder finanziell sensible Anwendungen).

Anleitung – Biometrische Anmeldungen

ISO empfiehlt aufgrund einer Reihe von Faktoren, die mit der Wirksamkeit und Integrität biometrischer Anmeldeprozesse im Vergleich zu herkömmlichen Maßnahmen (Passwörter, MFA, Token usw.) zusammenhängen, biometrische Authentifizierungsmethoden sollten nicht isoliert verwendet werden, und begleitet von mindestens einer anderen Anmeldetechnik.

Änderungen und Unterschiede zu ISO 27002:2013

27002:2022-8.5 ersetzt 27002:2014-9.4.2 (Sichere Anmeldeverfahren).

27002:2022-8.5 enthält die dieselben 12 Orientierungspunkte wie sein Gegenstück aus dem Jahr 2013, mit geringfügigen Anpassungen am Wortlaut, und folgt den gleichen grundlegenden Sicherheitsprinzipien.

Im Einklang mit dem Aufstieg von MFA und biometrischen Anmeldetechnologien im letzten Jahrzehnt enthält 27002:2022-8.5 explizite Anleitungen zur Verwendung beider Techniken, die Unternehmen bei der Formulierung ihrer eigenen Anmeldekontrollen berücksichtigen sollten.

Wie ISMS.online hilft

Unsere cloudbasierte Plattform bietet Ihnen ein robustes Rahmenwerk für Informationssicherheitskontrollen, damit Sie dies tun können Checklisten Sie Ihren ISMS-Prozess Stellen Sie dabei sicher, dass es die Anforderungen für ISO 27000k erfüllt. Richtig eingesetzt, ISMS. online kann Ihnen dabei behilflich sein Zertifizierung zu erreichen mit einem Minimum an Zeit und Ressourcen.

Nehmen Sie noch heute Kontakt mit uns auf Demo buchen.