Mọi nhân viên trong tổ chức của bạn sẽ cần có quyền truy cập vào một số máy tính, cơ sở dữ liệu, hệ thống thông tin và ứng dụng nhất định để thực hiện nhiệm vụ của mình.
Ví dụ, trong khi nhân viên nhân sự có thể cần truy cập vào dữ liệu sức khỏe nhạy cảm của nhân viên, bộ phận tài chính của bạn có thể dựa vào việc truy cập và sử dụng cơ sở dữ liệu chứa thông tin chi tiết về mức lương của nhân viên.
Tuy nhiên, các quyền truy cập này phải được cung cấp, sửa đổi và thu hồi theo chính sách kiểm soát truy cập của tổ chức bạn và các biện pháp kiểm soát truy cập của tổ chức đó để bạn có thể ngăn chặn việc truy cập, sửa đổi và phá hủy trái phép các tài sản thông tin.
Ví dụ, nếu bạn không thu hồi quyền truy cập của một nhân viên cũ, nhân viên đó có thể đánh cắp thông tin nhạy cảm.
Kiểm soát 5.18 đề cập đến cách thức tổ chức nên chỉ định, sửa đổi và thu hồi quyền truy cập có tính đến các yêu cầu kinh doanh.
Mục đích của Kiểm soát 5.18
Kiểm soát 5.18 cho phép một tổ chức thiết lập và triển khai các quy trình và biện pháp kiểm soát phù hợp để chỉ định, sửa đổi và thu hồi quyền truy cập vào hệ thống thông tin theo chính sách kiểm soát truy cập và các biện pháp kiểm soát truy cập của tổ chức.
Bảng Thuộc tính
Biện pháp kiểm soát 5.18 là biện pháp kiểm soát phòng ngừa yêu cầu các tổ chức phải loại bỏ rủi ro truy cập trái phép vào hệ thống thông tin bằng cách đưa ra các quy tắc, thủ tục và biện pháp kiểm soát chặt chẽ.
| Loại điều khiển | Thuộc tính bảo mật thông tin | Các khái niệm về an ninh mạng | Khả năng hoạt động | Miền bảo mật |
|---|---|---|---|---|
| #Phòng ngừa | #Bảo mật #Toàn vẹn #Khả dụng | #Bảo vệ | #Quản lý danh tính và quyền truy cập | #Sự bảo vệ |
Quyền sở hữu kiểm soát 5.18
Cán bộ an ninh thông tin phải chịu trách nhiệm thiết lập, triển khai và xem xét các quy tắc, quy trình và biện pháp kiểm soát phù hợp để cung cấp, sửa đổi và thu hồi quyền truy cập vào hệ thống thông tin.
Khi chỉ định, sửa đổi và thu hồi quyền truy cập, nhân viên an ninh thông tin nên cân nhắc nhu cầu kinh doanh và làm việc chặt chẽ với chủ sở hữu tài sản thông tin để đảm bảo tuân thủ các quy tắc và quy trình.
Hướng dẫn về việc cấp và thu hồi quyền truy cập
Các tổ chức nên kết hợp các quy tắc và biện pháp kiểm soát sau đây vào quy trình chỉ định và thu hồi quyền truy cập cho cá nhân đã xác thực:
- Chủ sở hữu tài sản thông tin phải cung cấp quyền hạn của mình để truy cập và sử dụng tài sản thông tin có liên quan. Ngoài ra, các tổ chức cũng nên cân nhắc việc xin phép riêng từ ban quản lý để cấp quyền truy cập.
- Cần phải xem xét đến nhu cầu kinh doanh của tổ chức và chính sách kiểm soát truy cập của tổ chức.
- Các tổ chức nên cân nhắc việc phân chia nhiệm vụ. Ví dụ, nhiệm vụ phê duyệt và việc thực hiện quyền truy cập có thể được thực hiện bởi các cá nhân riêng biệt.
- Khi một cá nhân không còn nhu cầu truy cập vào thông tin, đặc biệt là khi họ không còn là thành viên của tổ chức, quyền truy cập của họ cần phải bị thu hồi ngay lập tức.
- Nhân viên hoặc nhân viên khác làm việc tạm thời cho tổ chức có thể được cấp quyền truy cập tạm thời. Những quyền này phải được thu hồi khi họ không còn làm việc cho tổ chức nữa.
- Mức độ truy cập được cung cấp cho một cá nhân phải phù hợp với chính sách kiểm soát truy cập của tổ chức và phải được xem xét và xác minh thường xuyên. Hơn nữa, nó cũng phải phù hợp với các yêu cầu bảo mật thông tin khác như phân chia nhiệm vụ như được nêu trong Kiểm soát 5.3.
- Các tổ chức phải đảm bảo rằng quyền truy cập không được kích hoạt cho đến khi hoàn tất thủ tục cấp phép thích hợp.
- Quyền truy cập được cấp cho từng mã định danh cá nhân, chẳng hạn như ID hoặc thông tin vật lý, phải được ghi vào hệ thống quản lý kiểm soát truy cập trung tâm và hệ thống này phải được duy trì.
- Nếu vai trò hoặc nhiệm vụ của một cá nhân thay đổi, mức độ quyền truy cập của họ cũng phải được cập nhật.
- Việc xóa hoặc sửa đổi quyền truy cập vật lý hoặc logic có thể được thực hiện thông qua các phương pháp sau: Xóa hoặc thay thế chìa khóa, thẻ ID hoặc thông tin xác thực.
- Những thay đổi về quyền truy cập vật lý và logic của người dùng phải được ghi vào hệ thống và phải được duy trì.
Hướng dẫn bổ sung về việc xem xét quyền truy cập
Quyền truy cập vật lý và logic phải được xem xét định kỳ, có tính đến:
- Thay đổi quyền truy cập của mỗi người dùng sau khi họ được thăng chức hoặc giáng chức trong cùng một tổ chức hoặc sau khi họ chấm dứt hợp đồng lao động.
- Thủ tục ủy quyền để cấp quyền truy cập đặc quyền.
Hướng dẫn về việc thay đổi hoặc chấm dứt việc làm
Trước khi một nhân viên được thăng chức hoặc giáng chức trong cùng một tổ chức hoặc khi chấm dứt hợp đồng lao động, quyền truy cập của nhân viên đó vào hệ thống xử lý thông tin cần được đánh giá và sửa đổi bằng cách tính đến các yếu tố rủi ro sau:
- Quá trình chấm dứt hợp đồng được khởi xướng bởi nhân viên hay tổ chức và lý do chấm dứt hợp đồng.
- Trách nhiệm hiện tại của nhân viên trong tổ chức.
- Tính quan trọng và giá trị của tài sản thông tin mà nhân viên có thể tiếp cận.
Hướng dẫn bổ sung
Các tổ chức nên cân nhắc thiết lập vai trò truy cập của người dùng dựa trên yêu cầu kinh doanh của họ. Các vai trò này nên bao gồm các loại và số lượng quyền truy cập được cấp cho mỗi nhóm người dùng.
Việc tạo các vai trò như vậy sẽ giúp quản lý và xem xét các yêu cầu và quyền truy cập dễ dàng hơn.
Các tổ chức nên đưa các điều khoản hợp đồng về truy cập trái phép và các biện pháp trừng phạt đối với việc truy cập đó vào hợp đồng lao động/dịch vụ với nhân viên của mình. Điều này phải tuân thủ các biện pháp kiểm soát 5.20, 6.2, 6.4 và 6.6.
Các tổ chức nên thận trọng với những nhân viên bất mãn bị ban quản lý sa thải vì họ có thể cố tình gây tổn hại đến hệ thống thông tin.
Nếu các tổ chức quyết định sử dụng các kỹ thuật sao chép để cấp quyền truy cập, họ nên thực hiện trên cơ sở các vai trò riêng biệt do tổ chức thiết lập.
Cần lưu ý rằng việc sao chép đi kèm với rủi ro cố hữu là cấp quyền truy cập quá mức.
Những thay đổi và khác biệt so với ISO 27002:2013
27002:2022/5.18 thay thế 27002:2013/(9.2.2, 9.2.5, 9.2.6).
Phiên bản 2022 Bao gồm các Yêu cầu Toàn diện hơn về việc Cấp và Thu hồi Quyền Truy cập
Mặc dù Control 9.2.2 trong phiên bản 2013 liệt kê sáu yêu cầu để chỉ định và thu hồi quyền truy cập, Control 5.18 trong phiên bản 2022 đưa ra ba yêu cầu mới ngoài sáu yêu cầu này:
- Nhân viên hoặc nhân viên khác làm việc tạm thời cho tổ chức có thể được cấp quyền truy cập tạm thời. Những quyền này phải được thu hồi khi họ không còn làm việc cho tổ chức nữa.
- Việc xóa hoặc sửa đổi quyền truy cập vật lý hoặc logic có thể được thực hiện thông qua các phương pháp sau: Xóa hoặc thay thế chìa khóa, thẻ ID hoặc thông tin xác thực.
- Những thay đổi về quyền truy cập vật lý và logic của người dùng phải được ghi lại và duy trì.
Phiên bản 2013 có các yêu cầu chi tiết hơn về Quyền truy cập đặc quyền
Kiểm soát 9.5 trong phiên bản 2013 nêu rõ rằng các tổ chức nên xem xét quyền cho các quyền truy cập đặc quyền thường xuyên hơn các quyền truy cập khác. Ngược lại, Kiểm soát 5.18 trong Phiên bản 2022 không chứa yêu cầu này.
