Mọi nhân viên trong tổ chức của bạn phải có quyền truy cập vào các máy tính, cơ sở dữ liệu, hệ thống thông tin và ứng dụng cụ thể để thực hiện nhiệm vụ của mình.
Ví dụ, phòng nhân sự của bạn có thể cần truy cập vào thông tin sức khỏe nhạy cảm của nhân viên. Ngoài ra, phòng tài chính của bạn có thể cần truy cập và sử dụng cơ sở dữ liệu chứa thông tin lương của nhân viên.
Bạn nên cung cấp, sửa đổi và thu hồi quyền truy cập theo chính sách kiểm soát truy cập và các biện pháp kiểm soát truy cập của công ty. Điều này sẽ ngăn chặn việc truy cập, sửa đổi và phá hủy trái phép các tài sản thông tin.
Nếu bạn không thu hồi quyền truy cập của nhân viên cũ, nhân viên đó có thể đánh cắp dữ liệu nhạy cảm.
Theo ISO 27001:2022, Phụ lục A Kiểm soát 5.18 đề cập đến cách thức phân bổ, sửa đổi và thu hồi quyền truy cập dựa trên yêu cầu kinh doanh.
Mục đích của Phụ lục A 5.18 của ISO 27001:2022 là gì?
Theo Phụ lục A Kiểm soát 5.18, một tổ chức có thể triển khai các thủ tục và biện pháp kiểm soát để chỉ định, sửa đổi và thu hồi quyền truy cập vào hệ thống thông tin phù hợp với chính sách kiểm soát truy cập của mình.
Ai là người sở hữu Phụ lục A 5.18?
Cán bộ an ninh thông tin phải chịu trách nhiệm thiết lập, triển khai và xem xét các quy tắc, quy trình và biện pháp kiểm soát phù hợp để cung cấp, sửa đổi và thu hồi quyền truy cập vào hệ thống thông tin.
Cán bộ an ninh thông tin có trách nhiệm cân nhắc cẩn thận các nhu cầu kinh doanh khi chỉ định, sửa đổi và thu hồi quyền truy cập. Ngoài ra, cán bộ an ninh thông tin phải làm việc chặt chẽ với chủ sở hữu tài sản thông tin để đảm bảo các chính sách và quy trình được tuân thủ.Nhảy đến chủ đề
- Mục đích của Phụ lục A 5.18
- Ai sở hữu Phụ lục A 5.18
- Hướng dẫn chung về Phụ lục A 5.18
- Hướng dẫn bổ sung cho việc xem xét quyền truy cập
- Những thay đổi và khác biệt so với ISO 27001:2013
Quyền truy cập – Hướng dẫn về việc cấp và thu hồi
Để chỉ định hoặc thu hồi quyền truy cập cho mọi loại người dùng đối với mọi hệ thống và dịch vụ, cần phải triển khai một quy trình (dù có đơn giản và được ghi chép lại đến đâu). Lý tưởng nhất là quy trình đó sẽ gắn kết với các điểm trên và sáng kiến Bảo mật HR rộng hơn.
Hệ thống thông tin hoặc dịch vụ phải được cung cấp hoặc thu hồi dựa trên các tiêu chí sau: Có sự cho phép của chủ sở hữu hệ thống thông tin hoặc dịch vụ, xác minh rằng quyền truy cập phù hợp với vai trò đang thực hiện và bảo vệ chống lại việc cung cấp trước khi có được sự cho phép.
Người dùng phải luôn được cấp quyền truy cập theo yêu cầu kinh doanh như một phần của phương pháp tiếp cận do doanh nghiệp dẫn dắt. Mặc dù điều này có vẻ quan liêu, nhưng không nhất thiết phải như vậy. Bằng cách triển khai các quy trình hiệu quả với quyền truy cập dựa trên vai trò vào các hệ thống và dịch vụ, vấn đề này có thể được giải quyết hiệu quả.
Đánh giá Quyền truy cập của Người dùng
Chủ sở hữu tài sản phải thường xuyên xem xét quyền truy cập của người dùng trong quá trình thay đổi riêng lẻ (khi lên máy bay, thay đổi vai trò và thoát) và trong quá trình kiểm tra rộng hơn về quyền truy cập hệ thống.
Các quyền hạn nên được xem xét thường xuyên hơn do rủi ro cao hơn liên quan đến quyền truy cập đặc quyền . Cũng như 9.2, điều này nên được thực hiện ít nhất hàng năm hoặc bất cứ khi nào có những thay đổi đáng kể được thực hiện.
Xóa hoặc điều chỉnh quyền truy cập
Cần phải xóa bỏ quyền truy cập của tất cả nhân viên và người dùng bên ngoài vào thông tin và các cơ sở xử lý thông tin khi chấm dứt việc làm, hợp đồng hoặc thỏa thuận của họ (hoặc điều chỉnh quyền truy cập của họ khi thay đổi vai trò nếu cần thiết).
Nếu các chính sách và thủ tục nghỉ việc được thiết kế tốt và phù hợp với A.7, điều này cũng sẽ đạt được và được chứng minh cho mục đích kiểm toán khi nhân viên nghỉ việc.
Để chỉ định và thu hồi quyền truy cập cho các cá nhân đã xác thực, các tổ chức phải kết hợp các quy tắc và biện pháp kiểm soát sau:
- Để truy cập và sử dụng tài sản thông tin có liên quan, chủ sở hữu tài sản thông tin phải cho phép truy cập và sử dụng. Ngoài ra, các tổ chức nên cân nhắc yêu cầu phê duyệt riêng từ ban quản lý trước khi cấp quyền truy cập.
- Cần phải cân nhắc đến nhu cầu kinh doanh của tổ chức và chính sách kiểm soát truy cập của tổ chức .
- Các tổ chức nên xem xét việc phân chia nhiệm vụ. Ví dụ, việc phê duyệt và thực hiện quyền truy cập có thể được xử lý bởi các cá nhân riêng biệt.
- Quyền truy cập của một cá nhân phải được thu hồi ngay lập tức khi họ không còn cần truy cập vào tài sản thông tin nữa, đặc biệt là nếu họ đã rời khỏi tổ chức.
- Quyền truy cập tạm thời có thể được cấp cho nhân viên hoặc nhân viên khác làm việc tạm thời cho tổ chức. Khi họ không còn được tổ chức tuyển dụng nữa, quyền của họ sẽ bị thu hồi.
- Chính sách kiểm soát truy cập của tổ chức phải xác định mức độ truy cập của cá nhân và phải được xem xét và xác minh thường xuyên. Ngoài ra, chính sách này phải tuân thủ các yêu cầu bảo mật thông tin khác, chẳng hạn như ISO 27001:2022 Kiểm soát 5.3, trong đó nêu rõ việc phân chia nhiệm vụ.
- Tổ chức phải đảm bảo quyền truy cập được kích hoạt sau khi quá trình cấp phép thích hợp đã hoàn tất.
- Quyền truy cập liên quan đến mỗi thông tin nhận dạng, chẳng hạn như ID hoặc thông tin vật lý, phải được duy trì trong hệ thống quản lý kiểm soát truy cập trung tâm.
- Việc cập nhật mức độ quyền truy cập của cá nhân là điều bắt buộc nếu vai trò hoặc nhiệm vụ của họ thay đổi.
- Có thể sử dụng các phương pháp sau để xóa hoặc sửa đổi quyền truy cập vật lý hoặc logic: Xóa hoặc thay thế chìa khóa, thẻ ID hoặc thông tin xác thực.
- Việc ghi lại và duy trì những thay đổi về quyền truy cập vật lý và logic của người dùng là bắt buộc.
Hướng dẫn bổ sung cho việc xem xét quyền truy cập
Việc xem xét định kỳ các quyền truy cập vật lý và logic cần lưu ý những điều sau:
- Khi người dùng được thăng chức hoặc giáng chức trong cùng một tổ chức hoặc khi họ kết thúc công việc, quyền truy cập của họ có thể thay đổi.
- Quy trình cấp quyền truy cập đặc quyền.
Hướng dẫn về Thay đổi Việc làm hoặc Chấm dứt Việc làm
Các yếu tố rủi ro cần được xem xét khi đánh giá và sửa đổi quyền truy cập của nhân viên vào hệ thống xử lý thông tin. Điều này được thực hiện trước khi họ được thăng chức hoặc giáng chức trong cùng một tổ chức:
- Điều này bao gồm việc xác định xem nhân viên có khởi xướng quá trình chấm dứt hợp đồng hay tổ chức có khởi xướng quá trình này và lý do chấm dứt hợp đồng.
- Mô tả về trách nhiệm hiện tại của nhân viên trong tổ chức.
- Quyền truy cập của nhân viên vào tài sản thông tin và tầm quan trọng cũng như giá trị của chúng.
Hướng dẫn bổ sung thêm
Các tổ chức nên thiết lập vai trò truy cập của người dùng theo yêu cầu kinh doanh của mình. Ngoài các loại và số lượng quyền truy cập được cấp cho từng nhóm người dùng, các vai trò này phải chỉ định loại quyền truy cập.
Việc tạo các vai trò như vậy sẽ giúp quản lý và xem xét các yêu cầu truy cập và quyền dễ dàng hơn.
Khuyến nghị các tổ chức đưa các điều khoản vào hợp đồng lao động/dịch vụ với nhân viên của mình để giải quyết vấn đề truy cập trái phép vào hệ thống của họ và các biện pháp trừng phạt đối với hành vi truy cập đó. Phụ lục A cần tuân thủ các biện pháp kiểm soát 5.20, 6.2, 6.4 và 6.6.
Các tổ chức phải thận trọng khi giải quyết với những nhân viên bất mãn bị ban quản lý sa thải vì họ có thể cố tình làm hỏng hệ thống thông tin.
Các tổ chức quyết định sử dụng kỹ thuật sao chép để cấp quyền truy cập phải thực hiện dựa trên các vai trò mà tổ chức đã xác định.
Việc sao chép có rủi ro ở chỗ quyền truy cập có thể được cấp quá mức.
Những thay đổi và khác biệt so với ISO 27001:2013 là gì?
Phụ lục A 5.18 của ISO 27001:2022 thay thế các mục 9.2.2, 9.2.5 và 9.2.6 của Phụ lục A ISO 27001:2013.
Phiên bản 2022 bao gồm các yêu cầu toàn diện hơn về việc cấp và thu hồi quyền truy cập
Phiên bản năm 2013 của Phụ lục A Kiểm soát 9.2.2 đã nêu ra sáu yêu cầu để chỉ định và thu hồi quyền truy cập; tuy nhiên, Phụ lục A Kiểm soát 5.18 đưa ra ba yêu cầu bổ sung ngoài sáu yêu cầu này:
- Quyền truy cập tạm thời có thể được cấp tạm thời cho nhân viên hoặc nhân viên khác làm việc cho tổ chức. Ngay khi họ ngừng làm việc cho tổ chức, các quyền này sẽ bị thu hồi.
- Việc xóa hoặc sửa đổi quyền truy cập vật lý hoặc logic có thể được thực hiện theo những cách sau: Xóa hoặc thay thế chìa khóa, thẻ căn cước hoặc thông tin xác thực.
- Việc thay đổi quyền truy cập vật lý hoặc logic của người dùng phải được ghi lại và lưu lại.
Các yêu cầu về Quyền truy cập đặc quyền được chi tiết hơn trong Phiên bản 2013
Theo ISO 27001:2013, Phụ lục A Kiểm soát 9.5 nêu rõ rằng các tổ chức nên xem xét việc cấp quyền cho các quyền truy cập đặc quyền thường xuyên hơn các quyền truy cập khác. Yêu cầu này không được đưa vào Phụ lục A Kiểm soát 5.18 trong Phiên bản 2022.
