Mục đích của Kiểm soát 8.5
Xác thực an toàn là phương pháp chính mà người dùng là con người và không phải con người sử dụng khi cố gắng sử dụng tài sản CNTT của một tổ chức.
Trong thập kỷ qua, công nghệ xác thực đã có sự thay đổi cơ bản từ phương pháp xác thực dựa trên tên người dùng/mật khẩu truyền thống sang nhiều kỹ thuật bổ sung khác nhau bao gồm thông tin sinh trắc học, kiểm soát truy cập vật lý và logic, xác thực thiết bị bên ngoài, mã SMS và mật khẩu dùng một lần (OTP).
27002:2022-8.5 đưa tất cả những điều này vào đúng bối cảnh và tư vấn cho các tổ chức về cách chính xác mà họ nên kiểm soát quyền truy cập vào hệ thống CNTT và tài sản của mình thông qua cổng đăng nhập an toàn.
Biện pháp kiểm soát 8.5 là biện pháp kiểm soát mang tính phòng ngừa , duy trì rủi ro bằng cách triển khai công nghệ và thiết lập các quy trình xác thực an toàn theo chủ đề cụ thể nhằm đảm bảo người dùng và danh tính là con người và không phải con người trải qua quy trình xác thực mạnh mẽ và an toàn khi cố gắng truy cập vào các tài nguyên CNTT.
Bảng Thuộc tính
| Loại điều khiển | Thuộc tính bảo mật thông tin | Các khái niệm về an ninh mạng | Khả năng hoạt động | Miền bảo mật |
|---|---|---|---|---|
| #Phòng ngừa | #Bảo mật #Toàn vẹn #Khả dụng | #Bảo vệ | #Quản lý danh tính và quyền truy cập | #Sự bảo vệ |
Quyền sở hữu kiểm soát 8.5
Kiểm soát 8.5 liên quan đến khả năng của một tổ chức trong việc kiểm soát quyền truy cập vào mạng của mình (và thông tin và dữ liệu chứa trong đó) tại các điểm giao nhau quan trọng, chẳng hạn như cổng đăng nhập.
Trong khi việc kiểm soát liên quan đến bảo mật thông tin và dữ liệu như một khái niệm rộng hơn thì hướng dẫn vận hành chủ yếu mang tính kỹ thuật.
Do đó, quyền sở hữu phải thuộc về Trưởng phòng CNTT (hoặc cấp quản lý tương đương trong tổ chức), người chịu trách nhiệm về các chức năng quản trị CNTT hàng ngày của tổ chức .
Hướng dẫn chung về Kiểm soát 8.5
Kiểm soát 8.5 yêu cầu các tổ chức xem xét các biện pháp kiểm soát xác thực có liên quan đến loại và mức độ nhạy cảm của dữ liệu và mạng đang được truy cập, bao gồm:
- Xác thực đa yếu tố (MFA)
- Chứng chỉ số
- Kiểm soát ra vào thông minh (thẻ thông minh)
- Đăng nhập sinh trắc học
- Mã thông báo an toàn
Mục tiêu quan trọng nhất của các biện pháp kiểm soát xác thực an toàn của một tổ chức là ngăn chặn và/hoặc giảm thiểu rủi ro truy cập trái phép vào các hệ thống được bảo vệ của tổ chức.
Để đạt được điều này, Control 8.5 nêu ra 12 điểm hướng dẫn chính. Các tổ chức nên:
- Hạn chế hiển thị thông tin cho đến khi xác thực thành công.
- Hiển thị cảnh báo trước khi đăng nhập, nêu rõ rằng thông tin chỉ có thể được truy cập bởi người dùng được ủy quyền.
- Giảm thiểu sự hỗ trợ mà hệ thống cung cấp cho những người dùng chưa xác thực đang cố gắng truy cập hệ thống, ví dụ: các tổ chức không nên tiết lộ phần cụ thể nào của nỗ lực đăng nhập là không chính xác, chẳng hạn như khía cạnh sinh trắc học của đăng nhập MFA, mà thay vào đó chỉ cần nêu rằng nỗ lực đăng nhập đã thất bại.
- Chỉ xác thực nỗ lực đăng nhập khi đã cung cấp tất cả thông tin bắt buộc cho dịch vụ đăng nhập để đảm bảo tính bảo mật.
- Triển khai các biện pháp bảo mật theo tiêu chuẩn công nghiệp để bảo vệ chống lại việc truy cập tràn lan và/hoặc các cuộc tấn công bằng vũ lực vào các cổng thông tin đăng nhập. Các biện pháp này có thể bao gồm:
- Kiểm soát CAPTCHA
- Thực hiện đặt lại mật khẩu sau một số lần đăng nhập không thành công nhất định
- Ngăn chặn các lần đăng nhập tiếp theo sau một số lần đăng nhập không thành công được xác định trước
- Ghi lại tất cả các lần đăng nhập không thành công cho mục đích kiểm tra và bảo mật , bao gồm cả việc sử dụng chúng trong các thủ tục tố tụng hình sự và/hoặc quản lý.
- Khởi tạo sự cố bảo mật bất cứ khi nào phát hiện ra sự khác biệt lớn về đăng nhập, chẳng hạn như nhận thấy có sự xâm nhập. Trong những trường hợp này, tất cả nhân viên nội bộ có liên quan phải được thông báo, đặc biệt là những người có quyền truy cập quản trị viên hệ thống hoặc bất kỳ khả năng nào để chống lại các nỗ lực đăng nhập độc hại.
- Khi xác thực thông tin đăng nhập, hãy chuyển tiếp một số thông tin nhất định đến nguồn dữ liệu riêng biệt có liệt kê:
- Ngày và giờ đăng nhập thành công trước đó
- Danh sách tất cả các lần đăng nhập kể từ lần đăng nhập được xác thực cuối cùng
- Hiển thị mật khẩu dưới dạng dấu hoa thị (hoặc các ký hiệu trừu tượng tương tự) khi không có lý do cấp thiết phải không làm như vậy (ví dụ: khả năng truy cập của người dùng).
- Nghiêm cấm việc chia sẻ hoặc hiển thị mật khẩu dưới dạng văn bản rõ ràng, dễ đọc.
- Duy trì chính sách chấm dứt các phiên đăng nhập không hoạt động sau một khoảng thời gian cụ thể. Điều này đặc biệt liên quan đến các phiên đang hoạt động ở những vị trí có nguy cơ cao (môi trường làm việc từ xa) hoặc trên các tài sản do người dùng cung cấp như máy tính xách tay cá nhân hoặc điện thoại di động.
- Giới hạn thời gian phiên xác thực có thể duy trì mở – ngay cả khi đang hoạt động – liên quan đến thông tin đang được truy cập (ví dụ: thông tin quan trọng đối với doanh nghiệp hoặc các ứng dụng nhạy cảm về tài chính).
Hướng dẫn – Đăng nhập sinh trắc học
ISO khuyến nghị rằng do một số yếu tố liên quan đến hiệu quả và tính toàn vẹn của quy trình đăng nhập sinh trắc học so với các biện pháp truyền thống (mật khẩu, MFA, mã thông báo, v.v.), các phương pháp xác thực sinh trắc học không nên được sử dụng riêng lẻ mà phải kết hợp với ít nhất một kỹ thuật đăng nhập khác.
Những thay đổi và khác biệt so với ISO 27002:2013
27002:2022-8.5 thay thế 27002:2014-9.4.2 (Quy trình đăng nhập an toàn).
27002:2022-8.5 bao gồm 12 điểm hướng dẫn giống như phiên bản năm 2013 , với một số điều chỉnh nhỏ về cách diễn đạt và tuân theo cùng một bộ nguyên tắc bảo mật cơ bản.
Phù hợp với sự phát triển của công nghệ MFA và đăng nhập sinh trắc học trong thập kỷ qua, 27002:2022-8.5 có hướng dẫn rõ ràng về việc sử dụng cả hai kỹ thuật mà các tổ chức nên cân nhắc khi xây dựng bộ kiểm soát đăng nhập của riêng mình.
