Schutz personenbezogener Daten durch robuste System- und Anwendungszugriffskontrollen
Das Auferlegen von Zugriffsbeschränkungen für geschäftskritische Aufgaben, Vermögenswerte und Verfahren ist ein grundlegender Aspekt sowohl beim Schutz personenbezogener Daten als auch beim Sicherstellen, dass datenschutzrelevante Anwendungen und Systeme frei von Korruption, Missbrauch oder Löschung sind.
ISO 27701 6.6.4 beschreibt eine Vielzahl von Maßnahmen – von Authentifizierungskontrollen bis hin zur Quellcodeverwaltung und der Verwendung privilegierter Hilfsprogramme –, die es Unternehmen ermöglichen, eine detaillierte Kontrolle darüber auszuüben, wer und was mit welchen Mitteln auf ihr Netzwerk zugreifen darf.
Was in ISO 27701 Abschnitt 6.6.4 behandelt wird
ISO 27701 6.6.4 enthält fünf Unterabschnitte, die sich mit den oben genannten Themen befassen. Jeder Unterabschnitt enthält Leitinformationen von a Vielzahl von Unterabschnitten innerhalb der ISO 27002, aber im Kontext der PII-Sicherheit und des Datenschutzes bereitgestellt:
- ISO 27701 6.6.4.1 – Informationszugriffsbeschränkungen (Referenzen ISO 27002 Kontrolle 8.3).
- ISO 27701 6.6.4.2 – Sichere Anmeldeverfahren (Referenzen ISO 27002-Steuerung 8.5).
- ISO 27701 6.6.4.3 – Passwortverwaltungssystem (Referenzen ISO 27002-Steuerung 5.17).
- ISO 27701 6.6.4.4 – Verwendung privilegierter Dienstprogramme (Referenzen ISO 27002-Steuerung 8.18).
- ISO 27701 6.6.4.5 – Zugriffskontrolle auf Programmquellcode (Referenzen ISO 27002 Kontrolle 8.4).
Unterabschnitt 6.6.4.2 enthält weitere Hinweise zu anwendbaren Artikeln der britischen DSGVO-Gesetzgebung (Artikel 5 [1][f]).
Bitte beachten Sie, dass DSGVO-Zitate nur zu Informationszwecken dienen. Organisationen sollten die Gesetzgebung prüfen und selbst beurteilen, welche Teile des Gesetzes für sie gelten.
ISO 27001 leicht gemacht
Ein Vorsprung von 81 % vom ersten Tag an
Wir haben die harte Arbeit für Sie erledigt und Ihnen vom Moment Ihrer Anmeldung an einen Vorsprung von 81 % verschafft. Sie müssen nur noch die Lücken ausfüllen.
ISO 27701 Abschnitt 6.6.4.1 – Entfernung oder Anpassung von Zugriffsrechten
Referenzen ISO 27002-Steuerung 8.3
Um personenbezogene Daten und datenschutzbezogene Informationen zu kontrollieren und Maßnahmen zur Zugriffsbeschränkung zu unterstützen, sollten Organisationen:
- Verhindern Sie den anonymen Zugriff auf PII, einschließlich des öffentlichen Zugriffs.
- Pflegen Sie Datenschutzsysteme und alle damit verbundenen Geschäftsanwendungen oder -prozesse.
- Verwalten Sie den Zugriff auf PII auf Benutzerbasis.
- Verwalten Sie PII-Zugriffsrechte auf granularer Ebene (Lesen, Schreiben, Löschen und Ausführen).
- Trennen Sie wichtige Datenschutzprozesse und -anwendungen mithilfe einer Kombination aus physischen und logischen Zugriffskontrollen.
Dynamisches Zugriffsmanagement
ISO plädiert für a dynamisch Ansatz für den Informationszugriff, der sich auch auf PII- und Datenschutzsysteme erstreckt.
Durch die dynamische Zugriffsverwaltung können Unternehmen interne Daten mit externen Benutzern teilen oder nutzen, um die Lösungszeiten von Vorfällen zu verkürzen (eine wichtige Voraussetzung für Vorfälle im Zusammenhang mit personenbezogenen Daten).
Organisationen sollten die Implementierung einer dynamischen Zugriffsverwaltung in Betracht ziehen, wenn:
- Detaillierte Kontrolle darüber ausüben, auf welche Daten menschliche und nichtmenschliche Benutzer zugreifen können.
- Weitergabe von Informationen an Lieferanten, Strafverfolgungsbehörden oder Aufsichtsbehörden.
- Einführung eines „Echtzeit“-Ansatzes für die PII-Verwaltung (Überwachung und Verwaltung der PII-Nutzung, sobald sie erfolgt).
- Schutz personenbezogener Daten vor unbefugter Änderung, Weitergabe oder Ausgabe (Drucken usw.).
- Überwachung/Prüfung des Zugriffs auf datenschutzbezogene Informationen und deren Änderung.
- Entwicklung eines Prozesses, der das regelt Betrieb und Überwachung von Daten, einschließlich eines Berichtsprozesses.
Die dynamische Zugriffsverwaltung sollte Daten schützen durch:
- Der Zugriff erfolgt über einen robusten Authentifizierungsprozess.
- Beschränkten Zugriff aktivieren.
- Verschlüsselung.
- Sichere Druckberechtigungen.
- Protokollierung, wer auf PII zugreift und wie PII-Daten verwendet werden.
- Implementierung eines Warnverfahrens, das auf unangemessene PII-Nutzung hinweist.
ISO 27701 Abschnitt 6.6.4.2 – Sichere Anmeldeverfahren
Referenzen ISO 27002-Steuerung 8.5
PII und datenschutzbezogene Vermögenswerte müssen in einem Netzwerk gespeichert werden, das über eine Reihe von Authentifizierungskontrollen verfügt, darunter:
- Multi-Faktor-Authentifizierung (MFA).
- Digitale Zertifikate.
- Smartcards/Anhänger.
- Biometrische Überprüfung.
- Sichere Token.
Um das Risiko eines unbefugten Zugriffs auf PII zu verhindern und zu minimieren, sollten Unternehmen:
- Verhindern Sie die Anzeige personenbezogener Daten auf einem Monitor oder Endgerät, bis sich ein Benutzer erfolgreich authentifiziert hat.
- Geben Sie potenziellen Benutzern vor jedem Anmeldeversuch eine klare Warnung, die auf die Sensibilität der Daten hinweist, auf die sie zugreifen möchten.
- Seien Sie vorsichtig, wenn Sie während des Authentifizierungsprozesses zu viel Hilfestellung leisten (z. B. erklären, welcher Teil eines fehlgeschlagenen Anmeldeversuchs ungültig ist).
- Setzen Sie Best-Practice-Sicherheitsmaßnahmen ein, darunter:
- CAPTCHA-Technologie.
- Erzwingen des Zurücksetzens von Passwörtern und/oder vorübergehendes Verhindern von Anmeldungen nach mehreren fehlgeschlagenen Versuchen.
- Protokollieren Sie fehlgeschlagene Anmeldeversuche zur weiteren Analyse und/oder Weitergabe an Strafverfolgungsbehörden.
- Lösen Sie einen Sicherheitsvorfall aus, wenn eine erhebliche Diskrepanz bei der Anmeldung festgestellt wird oder das Unternehmen eine Authentifizierungsanomalie feststellt, die möglicherweise Auswirkungen auf personenbezogene Daten hat.
- Leiten Sie Authentifizierungsprotokolle – die Informationen zum letzten Anmeldeversuch und zu fehlgeschlagenen Anmeldeversuchen enthalten – an eine separate Datenquelle weiter.
- Geben Sie Passwortdaten nur als abstrakte Symbole aus, es sei denn, der Benutzer hat Probleme mit der Zugänglichkeit/Sicht.
- Verhindern Sie die Weitergabe jeglicher Authentifizierungsdaten.
- Beenden Sie ruhende Anmeldesitzungen, insbesondere wenn personenbezogene Daten in Remote-Arbeitsumgebungen oder auf BYOD-Ressourcen verwendet werden.
- Legen Sie ein Zeitlimit für authentifizierte Sitzungen fest, insbesondere für solche, die aktiv auf personenbezogene Daten zugreifen.
Anwendbare DSGVO-Artikel
- Artikel 5 – (1)(f)
Befreien Sie sich von einem Berg an Tabellenkalkulationen
Integrieren, erweitern und skalieren Sie Ihre Compliance, ohne dass es zu Problemen kommt. IO gibt Ihnen die Widerstandsfähigkeit und das Vertrauen, um sicher zu wachsen.
ISO 27701 Abschnitt 6.6.4.3 – Passwortverwaltungssystem
Referenzen ISO 27002-Steuerung 5.17
Authentifizierungsdetails sollten so verteilt und verwaltet werden, dass:
- Automatisch generierte Authentifizierungsinformationen (Passwörter usw.) werden vor Personen geheim gehalten, die nicht zur Verwendung dieser Informationen berechtigt sind, sind nicht erraten und werden so verwaltet, dass ein Benutzer gezwungen ist, sie nach der ersten Anmeldung zu ändern.
- Vor der Ausstellung oder Ersetzung von Authentifizierungsdaten werden Verfahren zur Überprüfung der Identität der Person eingerichtet, die diese benötigt.
- Für die Übermittlung der Authentifizierungsdaten werden die richtigen sicheren Kanäle verwendet (also nicht per E-Mail).
- Nach erfolgreicher Übermittlung der Daten an den jeweiligen Empfänger bestätigen die Nutzer zeitnah den Empfang.
- Alle vom Anbieter bereitgestellten Authentifizierungsinformationen (z. B. Standard-Benutzername und -Passwort für Router und Firewalls) werden nach Erhalt geändert.
- Über relevante Authentifizierungsereignisse werden Aufzeichnungen geführt – insbesondere über die Erstvergabe und die anschließende Verwaltung von Authentifizierungsdaten.
Alle Mitarbeiter, die organisatorische Authentifizierungsinformationen verwenden, sollten Folgendes sicherstellen:
- Alle Authentifizierungsdaten werden streng vertraulich behandelt.
- Wenn Authentifizierungsdaten entweder kompromittiert, von jemand anderem als dem ursprünglichen Eigentümer eingesehen oder weitergegeben werden, werden diese Daten geändert sofort.
- Alle Passwörter werden gemäß der Passwortrichtlinie der Organisation erstellt und/oder generiert und Passwörter sind auf verschiedenen Plattformen eindeutig (dh Domänenpasswörter sind nicht dasselbe wie Cloud-Service-Passwörter).
- Arbeitsverträge enthalten eine ausdrückliche Verpflichtung, die Passwortrichtlinie des Unternehmens einzuhalten (siehe ISO 27002 6.2).
Passwortverwaltungssysteme
Organisationen sollten ein Passwortverwaltungssystem implementieren, das:
- Geeignet für Benutzer, die ein von ihnen verwendetes Passwort ändern müssen.
- Ist so programmiert, dass Passwörter abgelehnt werden, die nicht den Best-Practice-Richtlinien entsprechen.
- Zwingt Benutzer dazu, ihr vom System generiertes Passwort zu ändern, nachdem sie es zum ersten Mal verwenden.
- Die weitere Verwendung alter Passwörter oder ähnlicher Phrasen und alphanumerischer Kombinationen ist nicht gestattet.
- Versteckt Passwörter während der Eingabe.
- Speichert und sendet Passwortinformationen auf sichere Weise.
- Bietet Passwortverschlüsselung und ähnliche Verschlüsselungstechniken (siehe ISO 27002 8.24).
Um personenbezogene Daten zu schützen und die Bemühungen des Unternehmens zum Schutz der Privatsphäre zu verbessern, sollten Passwörter vier Leitprinzipien folgen:
- Passwörter sollten nicht auf erratenen oder biografischen Informationen basieren.
- Passwörter sollten keine erkennbaren Wörter anstelle zufälliger alphanumerischer Zeichen enthalten.
- Um die Passwortkomplexität zu erhöhen, sollten Sonderzeichen verwendet werden.
- Alle Passwörter sollten eine Mindestlänge haben (idealerweise 12 Zeichen).
Unternehmen sollten auch den Einsatz von Authentifizierungsprotokollen wie Single Sign-On (SSO) in Betracht ziehen, um die Passwortsicherheit zu verbessern. Solche Maßnahmen sollten jedoch nur zusammen mit den individuellen technischen und betrieblichen Anforderungen des Unternehmens in Betracht gezogen werden.
Relevante ISO 27002-Kontrollen
- ISO 27002 6.2
- ISO 27002 8.24
ISO 27701 Klausel 6.6.4.4 – Verwendung privilegierter Hilfsprogramme
Referenzen ISO 27002-Steuerung 8.18
Um PII und datenschutzbezogene Vermögenswerte zu schützen – und gleichzeitig die Netzwerkintegrität zu verbessern – sollten Unternehmen:
- Beschränken Sie die Nutzung von Hilfsprogrammen auf Wartungspersonal und/oder Auftragnehmer, die mit der Verwaltung des Netzwerks der Organisation beauftragt sind.
- Stellen Sie sicher, dass die Verwendung eines einzelnen Dienstprogramms von der Geschäftsleitung genehmigt wird, einschließlich der Führung einer Liste der Mitarbeiter, die Dienstprogramme im Rahmen ihrer zugewiesenen Aufgaben verwenden müssen.
- Verhindern Sie die Verwendung von Dienstprogrammen in Bereichen des Netzwerks, die über getrennte Aufgaben verfügen.
- Überprüfen Sie regelmäßig die Verwendung von Hilfsprogrammen und entfernen oder fügen Sie nach eigenem Ermessen welche hinzu.
- Trennen Sie Dienstprogramme von Standardanwendungen ab.
- Protokollieren Sie die Nutzung von Dienstprogrammen, einschließlich gespeicherter Informationen zu Zeitstempeln und autorisierten Benutzern.
Verwalten Sie Ihre gesamte Compliance an einem Ort
ISMS.online unterstützt über 100 Standards und Vorschriften und bietet Ihnen eine einzige Plattform für alle Ihre Compliance-Anforderungen.
ISO 27701 Abschnitt 6.6.4.5 – Zugriffskontrolle auf Programmquellcode
Referenzen ISO 27002-Steuerung 8.4
Der Zugriff auf Quellcode und Entwicklungstools sollte streng kontrolliert werden, damit datenschutzrelevante Anwendungen nicht gefährdet werden und personenbezogene Daten nicht der Öffentlichkeit oder irgendeiner Form von unbefugtem Zugriff ausgesetzt sind.
Der Quellcode und die „zugehörigen Elemente“ umfassen:
- Entwürfe.
- Spezifikationen.
- Verifizierungspläne.
- Validierungspläne.
Zu den Entwicklungstools gehören:
- Compiler.
- Bauherren.
- Integrationstools.
- Testplattformen.
- Umgebungen.
ISO empfiehlt Organisationen, Quellcode über ein spezielles „Quellcode-Verwaltungssystem“ zu speichern und zu verwalten, das geistiges Eigentum, Code und Entwicklungstools schützt und den Zugriff auf eingeschränktes Material verwaltet. Der Quellcode sollte je nach beruflicher Rolle einer Person mit unterschiedlichem Lese- und Schreibzugriff verwaltet werden.
Um Korruption zu verhindern und die PIMS-, PII- und datenschutzbezogenen Informationen und Vermögenswerte zu schützen, sollten Organisationen:
- Verwalten Sie den Zugriff auf den Quellcode und alle zugehörigen Bibliotheken genau.
- Beschränken Sie die Bereitstellung des Zugriffs auf den Quellcode auf der Grundlage des „Kenntnisbedarfs“ und des „Nutzungsbedarfs“.
- Beachten Sie die organisationsweiten Änderungsmanagementverfahren, wenn Sie den Quellcode aktualisieren/ändern oder Änderungen vornehmen. Zugriffsrechte (siehe ISO 27002 8.32).
- Verbieten Sie die direkter Zugang des Quellcodes durch Entwickler und stellen stattdessen den Zugriff über spezielle Entwicklertools bereit.
- Speichern Sie Programmlisten sicher mit relevanten Lese- und Schreibzugriffsebenen.
Relevante ISO 27002-Kontrollen
- Siehe ISO 27002 8.32
Unterstützende Kontrollen von ISO 27002 und DSGVO
| ISO 27701-Klauselkennung | Name der ISO 27701-Klausel | ISO 27002-Anforderung | Zugehörige DSGVO-Artikel |
|---|---|---|---|
| 6.6.4.1 | 8.3 |
8.3 – Informationszugriffsbeschränkung für ISO 27002 |
Keine Präsentation |
| 6.6.4.2 | 8.5 |
8.5 – Sichere Authentifizierung für ISO 27002 |
Artikel (5) |
| 6.6.4.3 | 5.17 |
5.17 – Authentifizierungsinformationen für ISO 27002 |
Keine Präsentation |
| 6.6.4.4 | 8.18 |
8.18 – Verwendung von Privileged Utility-Programmen für ISO 27002 |
Keine Präsentation |
| 6.6.4.5 | 8.4 |
8.4 – Zugriff auf Quellcode für ISO 27002 |
Keine Präsentation |
Wie ISMS.online hilft
ISO 27701 zeigt Ihnen, wie Sie ein Datenschutzinformationsmanagementsystem aufbauen, das den meisten Datenschutzbestimmungen entspricht, einschließlich der EU-DSGVO, BS 10012 und Südafrikas POPIA.
Unsere vereinfachte, sichere und nachhaltige Software hilft Ihnen, den Ansatz des international anerkannten Standards problemlos zu befolgen.
Unsere All-in-One-Plattform stellt sicher, dass Ihre Datenschutzarbeit mit den Anforderungen jedes Abschnitts der Norm ISO 27701 übereinstimmt und diese erfüllt. Und weil es regulierungsunabhängig ist, können Sie es auf jede Regulierung abbilden, die Sie benötigen.
Erfahren Sie mehr von Buchen Sie eine praktische Demo.
