Phụ lục A 5.16 Quản lý danh tính của ISO 27001:2022 đã sửa đổi thiết lập một khuôn khổ để phê duyệt, đăng ký và quản lý danh tính của con người và không phải của con người trên bất kỳ mạng nào – được định nghĩa là “vòng đời đầy đủ”.
Mạng máy tính sử dụng danh tính để xác định khả năng cơ bản của một thực thể (người dùng, nhóm người dùng, thiết bị hoặc tài sản CNTT) để truy cập vào một tập hợp tài nguyên phần cứng và phần mềm.
Phụ lục A 5.16 của ISO 27001:2022 có tác dụng gì?
Mục đích của Phụ lục A 5.16 là mô tả cách một tổ chức có thể xác định ai ( người dùng, nhóm người dùng ) hoặc cái gì ( ứng dụng, hệ thống và thiết bị ) đang truy cập dữ liệu hoặc tài sản CNTT tại bất kỳ thời điểm nào và cách cấp quyền truy cập cho những danh tính đó.
Là một biện pháp phòng ngừa, Phụ lục A 5.16 đặt mục tiêu duy trì rủi ro bằng cách thiết lập ranh giới chính cho tất cả các hoạt động bảo mật thông tin và an ninh mạng liên quan , cũng như chế độ quản trị chính xác định quy trình Quản lý danh tính và quyền truy cập của tổ chức.
Quyền sở hữu của Phụ lục A 5.16
Xem xét Phụ lục A 5.16 của ISO 27001:2022 chủ yếu đóng vai trò là chức năng bảo trì, quyền sở hữu nên được trao cho nhân viên CNTT có quyền Quản trị viên toàn cầu (hoặc tương đương đối với cơ sở hạ tầng không phải Windows).
Ngoài các vai trò tích hợp khác cho phép người dùng quản lý danh tính (chẳng hạn như Quản trị viên miền), Phụ lục A 5.16 phải thuộc về cá nhân chịu trách nhiệm cho toàn bộ mạng của tổ chức, bao gồm tất cả các miền phụ và đối tượng thuê Active Directory.
Hướng dẫn chung về ISO 27001:2022 Phụ lục A 5.16
Việc tuân thủ Phụ lục A 5.16 đạt được bằng cách thể hiện rõ ràng các quy trình dựa trên danh tính trong các tài liệu chính sách và giám sát việc tuân thủ của nhân viên hàng ngày.
Sáu quy trình được liệt kê trong Phụ lục A 5.16 để đảm bảo rằng một tổ chức đáp ứng các tiêu chuẩn bắt buộc về quản trị an ninh mạng và bảo mật thông tin:
- Bất cứ khi nào một danh tính được gán cho một người, thì người đó là người duy nhất có thể xác thực bằng danh tính đó và/hoặc sử dụng nó khi truy cập vào các tài nguyên mạng.
- Trong một số trường hợp, có thể cần phải chỉ định một danh tính duy nhất cho nhiều người, còn được gọi là ‘danh tính chung’. Chỉ sử dụng cách tiếp cận này khi cần một tập hợp các yêu cầu hoạt động rõ ràng.
- Các thực thể ‘phi con người’ (bất kỳ danh tính nào không gắn liền với người thật) phải được xử lý khác với danh tính dựa trên người dùng khi đăng ký.
- Trong trường hợp có sự ra đi, tài sản dư thừa hoặc các danh tính không cần thiết khác, quản trị viên mạng phải vô hiệu hóa hoặc xóa chúng hoàn toàn.
- Điều bắt buộc là phải tránh trùng lặp danh tính bằng mọi giá. Quy tắc “một thực thể, một danh tính” phải được tất cả các tổ chức tuân thủ.
- Thông tin quản lý danh tính và xác thực phải được ghi chép đầy đủ cho tất cả ‘sự kiện quan trọng’.
Hướng dẫn bổ sung cho Phụ lục A 5.16
Khi tạo danh tính và cấp cho danh tính đó quyền truy cập vào tài nguyên mạng, Phụ lục A 5.16 cũng liệt kê bốn bước mà doanh nghiệp cần thực hiện (việc sửa đổi hoặc xóa quyền truy cập được thể hiện trong Phụ lục A 5.18 của ISO 27001:2022 ):
- Trước khi tạo bản sắc, hãy thiết lập mục tiêu kinh doanh.
- Đảm bảo rằng thực thể (con người hoặc không phải con người) được cấp danh tính đã được xác minh độc lập.
- Tạo ra một bản sắc
- Các bước cấu hình cuối cùng cho một danh tính
Những thay đổi so với ISO 27001:2013 là gì?
Phụ lục A 5.16 của ISO 27001:2022 thay thế ISO 27001:2013 A.9.2.1 ( trước đây gọi là ‘Đăng ký và hủy đăng ký người dùng’ ).
Mặc dù hai biện pháp kiểm soát này có một số điểm tương đồng đáng kinh ngạc – chủ yếu là trong các giao thức bảo trì và hủy kích hoạt ID dự phòng – Phụ lục A 5.16 chứa một bộ hướng dẫn toàn diện liên quan đến Quản lý danh tính và quyền truy cập nói chung.
Phụ lục A 5.16 Giải thích về bản sắc của con người và phi con người
Có một số khác biệt giữa Phụ lục 2022 và phụ lục trước đó ở chỗ, mặc dù có sự khác biệt trong quy trình đăng ký, con người và các yếu tố không phải con người không còn được đối xử riêng biệt khi nói đến quản trị mạng nói chung.
Trong quản trị CNTT và các hướng dẫn thực hành tốt nhất, việc nói về danh tính con người và không phải con người một cách hoán đổi cho nhau đã trở nên phổ biến hơn kể từ khi có Quản lý danh tính và truy cập hiện đại và các giao thức RBAC dựa trên Windows.
Trong Phụ lục A 9.2.1 của ISO 27001:2013, không có hướng dẫn nào về cách quản lý danh tính không phải của con người và văn bản này chỉ đề cập đến việc quản lý cái gọi là ‘ID người dùng’ (tức là thông tin đăng nhập cùng với mật khẩu được sử dụng để truy cập mạng).
ISO 27001:2022 Phụ lục A 5.16 Tài liệu
Phụ lục A 5.16 cung cấp hướng dẫn rõ ràng về cả những tác động chung về bảo mật của quản trị danh tính và cách các tổ chức nên ghi lại và xử lý thông tin trước khi chỉ định danh tính cũng như trong suốt vòng đời của danh tính.
So sánh mà nói, ISO 27001:2013 A.9.2.1 chỉ đề cập ngắn gọn đến vai trò quản trị CNTT liên quan đến việc quản lý danh tính và chỉ giới hạn ở hoạt động quản lý danh tính thực tế.
