Phụ lục A 5.15 của ISO 27001:2022; Hướng dẫn từng bước để bạn hiểu và đáp ứng tiêu chuẩn này.
Phụ lục A 5.15 liên quan đến các thủ tục kiểm soát truy cập. Mục tiêu của Phụ lục A.9 là bảo vệ quyền truy cập thông tin và đảm bảo rằng nhân viên chỉ có quyền truy cập vào thông tin họ cần để thực hiện nhiệm vụ của mình.
Đây là một trong những yếu tố thiết yếu của hệ thống quản lý bảo mật thông tin (ISMS) , đặc biệt nếu bạn đang có kế hoạch đạt chứng chỉ ISO 27001.
Việc thực hiện đúng phần này là một thành phần quan trọng của chứng nhận ISO 27001 và là thành phần mà nhiều công ty cần hỗ trợ. Để hiểu rõ hơn về các yêu cầu này, chúng ta hãy xem xét kỹ hơn những gì chúng đòi hỏi.
Chính sách kiểm soát truy cập
Để quản lý quyền truy cập vào tài sản trong phạm vi của một tổ chức, chính sách kiểm soát truy cập phải được xây dựng, lập tài liệu và xem xét định kỳ.
Kiểm soát truy cập quản lý cách thức các thực thể là con người và không phải con người trên mạng truy cập dữ liệu, tài nguyên CNTT và ứng dụng.
Rủi ro bảo mật thông tin liên quan đến thông tin và mong muốn quản lý thông tin của tổ chức cần được phản ánh trong các quy tắc, quyền và hạn chế cũng như mức độ kiểm soát được sử dụng. Vấn đề chỉ là quyết định ai có quyền truy cập vào cái gì, bao nhiêu và ai không.
Có thể thiết lập các biện pháp kiểm soát truy cập kỹ thuật số và vật lý, chẳng hạn như hạn chế quyền tài khoản người dùng hoặc hạn chế quyền truy cập vào các vị trí vật lý cụ thể (phù hợp với Phụ lục A.7 Bảo mật vật lý và môi trường). Chính sách này cần xem xét các cân nhắc sau:
- Điều cần thiết là phải điều chỉnh các yêu cầu bảo mật của ứng dụng kinh doanh theo sơ đồ phân loại thông tin được sử dụng theo Phụ lục A 5.9, 5.10, 5.11, 5.12, 5.13 & 7.10 liên quan đến Quản lý tài sản.
- Xác định ai cần quyền truy cập, hiểu biết và sử dụng thông tin – kèm theo các quy trình và trách nhiệm được xác định rõ ràng.
- Đảm bảo rằng quyền truy cập và quyền truy cập đặc quyền (quyền lực hơn – xem bên dưới) được quản lý hiệu quả, bao gồm việc bổ sung các thay đổi trong vòng đời (ví dụ: kiểm soát đối với người dùng siêu cấp/quản trị viên) và các đợt đánh giá định kỳ (ví dụ: kiểm toán nội bộ định kỳ theo yêu cầu của Phụ lục A 5.15, 5.16, 5.17, 5.18 & 8.2).
- Một quy trình chính thức và trách nhiệm được xác định sẽ hỗ trợ các quy tắc kiểm soát truy cập.
Việc xem xét lại việc kiểm soát ra vào khi vai trò thay đổi, đặc biệt là khi ra về, là rất quan trọng để tuân thủ Phụ lục A.7 An ninh nguồn nhân lực.
Mạng và dịch vụ mạng có sẵn cho người dùng
Cách tiếp cận chung để bảo vệ là hạn chế quyền truy cập hơn là quyền truy cập không giới hạn và quyền siêu người dùng mà không cân nhắc cẩn thận.
Do đó, người dùng chỉ nên được cung cấp quyền truy cập vào các mạng và dịch vụ mạng cần thiết để hoàn thành trách nhiệm của họ. Chính sách cần giải quyết; Các mạng và dịch vụ mạng trong phạm vi được phép truy cập; Các thủ tục ủy quyền để chỉ ra ai (dựa trên vai trò) được phép truy cập vào cái gì và khi nào; và Các biện pháp kiểm soát và thủ tục quản lý để ngăn chặn quyền truy cập và giám sát quyền truy cập trong trường hợp xảy ra sự cố.
Việc tiếp nhận và trả nhân viên cũng cần phải lưu ý đến vấn đề này vì nó liên quan chặt chẽ đến chính sách kiểm soát truy cập.
Mục đích của ISO 27001:2022 Phụ lục A 5.15
Với tư cách là biện pháp kiểm soát phòng ngừa, Phụ lục A 5.15 cải thiện khả năng cơ bản của tổ chức trong việc kiểm soát quyền truy cập vào dữ liệu và tài sản.
Một bộ nhu cầu cụ thể về an ninh thương mại và thông tin phải được đáp ứng trước khi quyền truy cập vào các tài nguyên có thể được cấp và sửa đổi theo Phụ lục A Kiểm soát 5.15.
Phụ lục A 5.15 của ISO 27001 cung cấp các hướng dẫn nhằm tạo điều kiện truy cập dữ liệu an toàn và giảm thiểu rủi ro truy cập trái phép vào mạng vật lý và mạng ảo.
Quyền sở hữu của Phụ lục A 5.15
Như được trình bày trong Phụ lục A 5.15, đội ngũ quản lý ở nhiều bộ phận khác nhau của một tổ chức phải duy trì sự hiểu biết thấu đáo về những tài nguyên nào cần được truy cập (ví dụ: Ngoài việc phòng nhân sự thông báo cho nhân viên về vai trò công việc của họ, điều này quyết định các tham số RBAC của họ, quyền truy cập về cơ bản là chức năng bảo trì do quản trị viên mạng kiểm soát.
Quyền sở hữu của một tổ chức Phụ lục A 5.15 phải nằm trong tay một thành viên quản lý cấp cao có thẩm quyền kỹ thuật bao quát đối với các miền, miền phụ, ứng dụng, tài nguyên và tài sản của công ty. Người này có thể là người đứng đầu bộ phận CNTT.
Hướng dẫn chung về ISO 27001:2022 Phụ lục 5.15
Cần có cách tiếp cận theo chủ đề cụ thể đối với Kiểm soát truy cập để tuân thủ Phụ lục A Kiểm soát 5.15 của ISO 27001:2022 (thường được gọi là cách tiếp cận theo vấn đề cụ thể).
Thay vì tuân thủ chính sách Kiểm soát truy cập chung áp dụng cho quyền truy cập tài nguyên và dữ liệu trên toàn tổ chức, các phương pháp tiếp cận theo chủ đề sẽ khuyến khích các tổ chức tạo ra các chính sách Kiểm soát truy cập nhắm vào từng chức năng kinh doanh.
Trong tất cả các lĩnh vực cụ thể theo chủ đề, Phụ lục A Kiểm soát 5.15 yêu cầu các chính sách liên quan đến Kiểm soát Truy cập phải xem xét 11 điểm dưới đây. Một số hướng dẫn này trùng lặp với các chính sách khác.
Theo hướng dẫn, các tổ chức nên tham khảo các Biện pháp kiểm soát kèm theo để biết thêm thông tin cho từng trường hợp cụ thể:
- Xác định những thực thể nào cần truy cập vào tài sản và thông tin nhất định.
- Việc lưu giữ hồ sơ về vai trò công việc và yêu cầu truy cập dữ liệu theo đúng cơ cấu tổ chức của tổ chức bạn là cách dễ nhất để đảm bảo tuân thủ.
- Bảo mật và tính toàn vẹn của tất cả các ứng dụng có liên quan (liên kết đến Kiểm soát 8.2).
- Có thể tiến hành đánh giá rủi ro chính thức để đánh giá các đặc điểm bảo mật của từng ứng dụng.
- Kiểm soát quyền truy cập vật lý vào một trang web (liên kết với Kiểm soát 7.2, 7.3 và 7.4).
- Là một phần của chương trình tuân thủ, tổ chức của bạn phải chứng minh được một bộ biện pháp kiểm soát ra vào phòng và tòa nhà mạnh mẽ, bao gồm hệ thống quản lý lối vào, chu vi an ninh và quy trình dành cho khách, khi cần thiết.
- Khi nói đến việc phân phối, bảo mật và phân loại thông tin, nguyên tắc “cần biết” phải được áp dụng trong toàn tổ chức (liên quan đến 5.10, 5.12 và 5.13).
- Các công ty phải tuân thủ các chính sách thực hành tốt nhất nghiêm ngặt, không cung cấp quyền truy cập toàn diện vào dữ liệu trên toàn bộ hệ thống phân cấp của tổ chức.
- Đảm bảo rằng các quyền truy cập đặc quyền bị hạn chế (liên quan đến 8.2).
- Quyền truy cập của người dùng được cấp quyền truy cập dữ liệu cao hơn quyền của người dùng tiêu chuẩn phải được giám sát và kiểm tra.
- Đảm bảo tuân thủ mọi luật hiện hành, hướng dẫn quản lý cụ thể theo từng ngành hoặc nghĩa vụ hợp đồng liên quan đến quyền truy cập dữ liệu (xem 5.31, 5.32, 5.33, 5.34 và 8.3).
- Chính sách Kiểm soát quyền truy cập của tổ chức được tùy chỉnh theo các nghĩa vụ bên ngoài liên quan đến quyền truy cập dữ liệu, tài sản và tài nguyên.
- Theo dõi các xung đột lợi ích tiềm ẩn.
- Các chính sách phải bao gồm các biện pháp kiểm soát để ngăn chặn cá nhân xâm phạm chức năng Kiểm soát truy cập rộng hơn dựa trên mức độ truy cập của họ (tức là nhân viên có thể yêu cầu, ủy quyền và thực hiện các thay đổi đối với mạng).
- Chính sách kiểm soát truy cập phải giải quyết ba chức năng chính – yêu cầu, quyền hạn và quản trị – một cách độc lập.
- Chính sách Kiểm soát Truy cập phải thừa nhận rằng, mặc dù có bản chất độc lập, nhưng nó bao gồm nhiều bước riêng lẻ, mỗi bước có các yêu cầu riêng.
- Để đảm bảo tuân thủ các yêu cầu của 5.16 và 5.18, các yêu cầu truy cập phải được thực hiện theo cách có cấu trúc và chính thức.
- Các tổ chức nên triển khai các quy trình ủy quyền chính thức đòi hỏi sự chấp thuận chính thức, có văn bản từ những nhân sự có thẩm quyền.
- Quản lý quyền truy cập liên tục (liên kết tới 5.18).
- Để duy trì tính toàn vẹn của dữ liệu và phạm vi bảo mật, cần phải kiểm toán định kỳ, giám sát nhân sự (người nghỉ việc, v.v.) và thay đổi cụ thể công việc (ví dụ: chuyển phòng ban và thay đổi vai trò).
- Duy trì nhật ký đầy đủ và kiểm soát quyền truy cập vào nhật ký Tuân thủ – Các tổ chức phải thu thập và lưu trữ dữ liệu về các sự kiện truy cập (ví dụ: hoạt động tệp), bảo vệ chống lại việc truy cập trái phép vào nhật ký sự kiện bảo mật và tuân theo chiến lược quản lý sự cố toàn diện .
Hướng dẫn bổ sung về Phụ lục 5.15
Theo hướng dẫn bổ sung, Phụ lục A Kiểm soát 5.15 của ISO 27001:2022 đề cập (không giới hạn ở) bốn loại kiểm soát truy cập khác nhau, có thể được phân loại chung như sau:
- Kiểm soát truy cập bắt buộc (MAC) – Quyền truy cập được quản lý tập trung bởi một cơ quan bảo mật duy nhất.
- Một giải pháp thay thế cho MAC là kiểm soát truy cập tùy ý (DAC), trong đó chủ sở hữu đối tượng có thể cấp cho người khác các đặc quyền trong đối tượng.
- Hệ thống kiểm soát truy cập dựa trên chức năng công việc và quyền hạn được xác định trước được gọi là Kiểm soát truy cập dựa trên vai trò (RBAC).
- Khi sử dụng Kiểm soát truy cập dựa trên thuộc tính (ABAC), quyền truy cập của người dùng được cấp dựa trên các chính sách kết hợp các thuộc tính.
Hướng dẫn thực hiện các quy tắc kiểm soát truy cập
Chúng tôi đã thảo luận về các quy tắc Kiểm soát truy cập được cấp cho nhiều thực thể khác nhau (con người và không phải con người) hoạt động trong một mạng, được giao các vai trò xác định chức năng chung của họ.
Khi xác định và ban hành các chính sách Kiểm soát truy cập của tổ chức, Phụ lục A 5.15 yêu cầu bạn xem xét bốn yếu tố sau:
- Phải duy trì tính nhất quán giữa dữ liệu mà quyền truy cập áp dụng và loại quyền truy cập.
- Điều cần thiết là phải đảm bảo tính nhất quán giữa quyền truy cập của tổ chức bạn và các yêu cầu bảo mật vật lý (chu vi, v.v.).
- Quyền truy cập trong môi trường điện toán phân tán (chẳng hạn như môi trường đám mây) xem xét đến những tác động của dữ liệu lưu trú trên nhiều mạng lưới khác nhau.
- Hãy xem xét những hàm ý của các biện pháp kiểm soát truy cập động (một phương pháp chi tiết để truy cập vào một tập hợp các biến được quản trị viên hệ thống triển khai).
Xác định trách nhiệm và ghi chép quy trình
Theo ISO 27001:2022 Phụ lục A Kiểm soát 5.15, các tổ chức phải phát triển và duy trì danh sách có cấu trúc về trách nhiệm và tài liệu. Có nhiều điểm tương đồng giữa toàn bộ danh sách kiểm soát của ISO 27001:2022, với Phụ lục A 5.15 chứa các yêu cầu có liên quan nhất:
Tài liệu
- ISO 27001:2022 Phụ lục A 5.16
- ISO 27001:2022 Phụ lục A 5.17
- ISO 27001:2022 Phụ lục A 5.18
- ISO 27001:2022 Phụ lục A 8.2
- ISO 27001:2022 Phụ lục A 8.3
- ISO 27001:2022 Phụ lục A 8.4
- ISO 27001:2022 Phụ lục A 8.5
- ISO 27001:2022 Phụ lục A 8.18
Trách nhiệm
- ISO 27001:2022 Phụ lục A 5.2
- ISO 27001:2022 Phụ lục A 5.17
Độ chi tiết
Điều 5.15 của Phụ lục A cung cấp cho các tổ chức quyền tự do đáng kể trong việc chỉ định mức độ chi tiết của chính sách Kiểm soát truy cập của họ.
Nhìn chung, ISO khuyên các công ty nên cân nhắc mức độ chi tiết của một bộ quy tắc nhất định đối với từng nhân viên và số lượng biến số nên áp dụng cho một thông tin nhất định.
Cụ thể, Phụ lục A 5.15 thừa nhận rằng chính sách Kiểm soát truy cập của công ty càng chi tiết thì chi phí càng lớn và khái niệm Kiểm soát truy cập càng trở nên khó khăn hơn trên nhiều địa điểm, loại mạng và biến ứng dụng.
Kiểm soát truy cập, trừ khi được quản lý cẩn thận, có thể nhanh chóng mất kiểm soát. Sẽ khôn ngoan hơn nếu đơn giản hóa các quy tắc kiểm soát truy cập để đảm bảo chúng dễ quản lý hơn và tiết kiệm chi phí hơn.
Những thay đổi so với ISO 27001:2013 là gì?
Phụ lục A 5.15 trong 27001:2022 là sự kết hợp của hai biện pháp kiểm soát tương tự trong 27001:2013 – Phụ lục A 9.1.1 ( Chính sách kiểm soát truy cập ) và Phụ lục A 9.1.2 ( Truy cập vào mạng và dịch vụ mạng ).
Các chủ đề cơ bản của A.9.1.1 và A.9.1.2 tương tự như các chủ đề trong Phụ lục A 5.15, ngoại trừ một số khác biệt nhỏ về mặt vận hành.
Giống như năm 2022, cả hai biện pháp kiểm soát đều liên quan đến việc quản lý quyền truy cập vào thông tin, tài sản và tài nguyên và hoạt động theo nguyên tắc “cần biết”, trong đó dữ liệu của công ty được coi là một loại hàng hóa cần được quản lý và bảo vệ cẩn thận.
Có 11 hướng dẫn quản lý trong Phụ lục A 9.1.1 của 27001:2013, tất cả đều tuân theo các nguyên tắc chung giống như Phụ lục A Kiểm soát 5.15 của 27001:2022 với sự nhấn mạnh nhiều hơn một chút vào an ninh chu vi và an ninh vật lý.
Nhìn chung, các hướng dẫn triển khai cho Kiểm soát truy cập đều giống nhau, nhưng bản kiểm soát năm 2022 cung cấp hướng dẫn súc tích và thiết thực hơn nhiều trong bốn hướng dẫn triển khai.
Các loại Kiểm soát Truy cập được Sử dụng trong ISO 27001:2013 Phụ lục A 9.1.1 Đã Thay đổi
Theo quy định tại Phụ lục A 5.15 của ISO 27001, nhiều hình thức kiểm soát truy cập khác nhau đã xuất hiện trong chín năm qua (MAC, DAC, ABAC), trong khi tại Phụ lục A 9.1.1 của ISO 27001:2013, phương pháp kiểm soát truy cập thương mại chính vào thời điểm đó là RBAC.
Mức độ chi tiết
Các biện pháp kiểm soát năm 2013 cần chứa các hướng dẫn có ý nghĩa về cách một tổ chức nên tiếp cận các biện pháp kiểm soát quyền truy cập chi tiết trong bối cảnh những thay đổi về công nghệ giúp các tổ chức kiểm soát dữ liệu tốt hơn.
Ngược lại, Phụ lục A 5.15 của 27001:2022 cung cấp cho các tổ chức sự linh hoạt đáng kể.
