Phụ lục A của ISO 27001:2022 Điều khiển 5.17 nêu rõ thông tin xác thực phải được bảo mật.
Điều này có nghĩa là các tổ chức phải thực hiện các bước thích hợp để bảo vệ thông tin đăng nhập của người dùng, chẳng hạn như mật khẩu và câu hỏi bảo mật, khỏi việc truy cập trái phép. Họ cũng phải đảm bảo rằng người dùng có thể truy cập hệ thống bằng thông tin đăng nhập của họ một cách an toàn. Hơn nữa, các tổ chức cũng phải đảm bảo rằng người dùng có thể đặt lại thông tin đăng nhập của họ khi cần thiết.
Chi tiết xác thực (mật khẩu, khóa mã hóa và chip thẻ) cung cấp quyền truy cập vào hệ thống thông tin chứa dữ liệu nhạy cảm.
Việc xử lý thông tin xác thực kém có thể dẫn đến truy cập trái phép vào hệ thống dữ liệu và mất tính bảo mật, khả dụng và toàn vẹn của dữ liệu nhạy cảm.
Mục đích của Phụ lục A Kiểm soát 5.17 của ISO 27001:2022 là gì?
Phụ lục A Kiểm soát 5.17 cho phép các tổ chức phân bổ và quản lý thông tin xác thực hiệu quả, tránh sự cố trong quá trình xác thực và bảo vệ chống lại các mối đe dọa bảo mật có thể phát sinh do việc thao túng thông tin xác thực.
Quyền sở hữu của Phụ lục A 5.17
ISO 27001:2022 Phụ lục A Kiểm soát 5.17 yêu cầu thiết lập và triển khai các quy tắc, thủ tục và biện pháp trên toàn tổ chức để phân bổ và quản lý thông tin xác thực. Các nhân viên an ninh thông tin phải đảm bảo tuân thủ kiểm soát này.
Phụ lục A 5.17 Hướng dẫn về việc phân bổ thông tin xác thực
Các tổ chức phải tuân thủ sáu yêu cầu sau để phân bổ và quản lý thông tin xác thực:
- Khi đăng ký người dùng mới, mật khẩu cá nhân và số nhận dạng cá nhân được tạo tự động phải không thể đoán được. Ngoài ra, mỗi người dùng phải có một mật khẩu duy nhất và bắt buộc phải thay đổi mật khẩu sau lần sử dụng đầu tiên.
- Các tổ chức phải có quy trình chặt chẽ để kiểm tra danh tính của người dùng trước khi cung cấp thông tin xác thực mới hoặc thay thế hoặc thông tin tạm thời.
- Các tổ chức phải đảm bảo truyền tải thông tin xác thực một cách an toàn tới cá nhân thông qua các đường dẫn an toàn và không được gửi thông tin đó qua các tin nhắn điện tử không an toàn (ví dụ: văn bản thuần túy).
- Người dùng phải đảm bảo rằng họ đã nhận được thông tin xác thực.
- Các tổ chức nên hành động nhanh chóng sau khi cài đặt hệ thống CNTT và phần mềm mới, bằng cách thay đổi ngay thông tin xác thực mặc định.
- Các tổ chức phải thiết lập và liên tục lưu giữ hồ sơ về tất cả các sự kiện quan trọng liên quan đến việc quản lý và phân bổ thông tin xác thực. Những hồ sơ này phải được giữ riêng tư và các phương pháp lưu giữ hồ sơ phải được ủy quyền, ví dụ như sử dụng công cụ mật khẩu được ủy quyền.
Phụ lục A 5.17 Hướng dẫn về Trách nhiệm của Người dùng
Người dùng có quyền truy cập vào thông tin xác thực nên được hướng dẫn tuân thủ những điều sau:
- Người dùng phải giữ bí mật thông tin xác thực như mật khẩu và không được chia sẻ thông tin đó với bất kỳ ai khác. Khi nhiều người dùng tham gia vào việc sử dụng thông tin xác thực hoặc thông tin được liên kết với các thực thể không phải là cá nhân, họ không được tiết lộ thông tin đó cho những cá nhân không được phép.
- Người dùng phải đổi mật khẩu ngay lập tức nếu tính bảo mật của mật khẩu bị xâm phạm.
- Người dùng nên chọn mật khẩu mạnh, khó đoán theo tiêu chuẩn của ngành. Ví dụ:
- Mật khẩu không nên dựa trên thông tin cá nhân có thể dễ dàng lấy được như tên hoặc ngày sinh.
- Mật khẩu không nên dựa trên thông tin có thể dễ dàng đoán được.
- Mật khẩu không được bao gồm các từ hoặc chuỗi từ phổ biến.
- Sử dụng chữ và số và ký tự đặc biệt trong mật khẩu của bạn.
- Mật khẩu phải có độ dài tối thiểu theo yêu cầu.
- Người dùng không được sử dụng cùng một mật khẩu cho nhiều dịch vụ khác nhau.
- Các tổ chức nên yêu cầu nhân viên của mình chịu trách nhiệm tạo và sử dụng mật khẩu trong hợp đồng lao động.
Phụ lục A 5.17 Hướng dẫn về Hệ thống quản lý mật khẩu
Các tổ chức cần lưu ý những điều sau khi thiết lập hệ thống quản lý mật khẩu:
- Người dùng phải có khả năng tạo và sửa đổi mật khẩu của mình, đồng thời áp dụng quy trình xác minh để phát hiện và sửa bất kỳ lỗi nào khi nhập dữ liệu.
- Các tổ chức nên tuân thủ các thông lệ tốt nhất của ngành khi xây dựng quy trình lựa chọn mật khẩu mạnh mẽ.
- Người dùng phải thay đổi mật khẩu mặc định khi lần đầu truy cập vào hệ thống.
- Việc thay đổi mật khẩu khi cần thiết là điều cần thiết. Ví dụ, sau sự cố bảo mật hoặc khi một nhân viên nghỉ việc và có quyền truy cập vào mật khẩu, thì việc thay đổi mật khẩu là cần thiết.
- Không nên sử dụng lại mật khẩu cũ.
- Không được phép sử dụng mật khẩu được nhiều người biết đến hoặc đã bị truy cập do vi phạm bảo mật để truy cập vào bất kỳ hệ thống bị hack nào.
- Khi nhập mật khẩu, chúng sẽ được hiển thị trên màn hình dưới dạng văn bản thuần túy.
- Mật khẩu phải được truyền và lưu trữ thông qua các kênh an toàn theo định dạng an toàn.
Các tổ chức cũng nên triển khai các quy trình băm và mã hóa theo các phương pháp mã hóa được chấp thuận cho mật khẩu được nêu trong Phụ lục A Kiểm soát 8.24 của ISO 27001:2022.
Hướng dẫn bổ sung về Phụ lục A Kiểm soát 5.17
Ngoài mật khẩu, còn có các hình thức xác thực khác như khóa mật mã, thẻ thông minh và dữ liệu sinh trắc học như dấu vân tay.
Các tổ chức nên tham khảo loạt tiêu chuẩn ISO/IEC 24760 để biết thêm lời khuyên về dữ liệu xác thực.
Xem xét đến sự phiền phức và khó chịu khi phải thường xuyên thay đổi mật khẩu, các tổ chức có thể cân nhắc các giải pháp thay thế như đăng nhập một lần hoặc kho lưu trữ mật khẩu. Tuy nhiên, cần lưu ý rằng các tùy chọn này làm tăng nguy cơ thông tin xác thực bí mật bị tiết lộ cho các bên không được ủy quyền.
Những thay đổi và khác biệt so với ISO 27001:2013
Phụ lục A 5.17 của ISO 27001 :2022 thay thế cho Phụ lục A 9.2.4, 9.3.1 và 9.4.3 của ISO 27001:2013.
ISO 27001:2022 Bao gồm Yêu cầu Mới về Phân bổ và Quản lý Thông tin Xác thực
Năm 2013, các yêu cầu về phân bổ và quản lý thông tin xác thực rất giống nhau. Tuy nhiên, ISO 27001:2022 Phụ lục A Kiểm soát 5.17 đã đưa ra một yêu cầu không có trong năm 2013 .
Các tổ chức phải tạo và duy trì hồ sơ cho tất cả các sự kiện quan trọng liên quan đến việc quản lý và phân phối thông tin xác thực. Những hồ sơ này phải được giữ bí mật, bằng các kỹ thuật lưu trữ hồ sơ được ủy quyền, ví dụ, sử dụng công cụ mật khẩu được chấp nhận.
Phiên bản 2022 có yêu cầu bổ sung về việc sử dụng thông tin xác thực
Phụ lục A của ISO 27001:2022 Điều 5.17 đưa ra yêu cầu về trách nhiệm của người dùng không được chỉ định trong Điều 9.3.1 của phiên bản 2013.
Các tổ chức nên đưa yêu cầu về mật khẩu vào hợp đồng với nhân viên và đội ngũ. Các yêu cầu đó nên bao gồm việc tạo và sử dụng mật khẩu.
ISO 27001:2013 có chứa các yêu cầu bổ sung về trách nhiệm của người dùng không có trong phiên bản 2022
So với Phiên bản 2022, Kiểm soát 9.3.1 có nhiệm vụ sau đây đối với việc sử dụng dữ liệu xác thực:
Người dùng không nên sử dụng cùng một thông tin xác thực, ví dụ như mật khẩu, cho cả mục đích công việc và ngoài công việc.
ISO 27001:2013 có chứa yêu cầu bổ sung cho hệ thống quản lý mật khẩu không có trong phiên bản 2022
Điều 9.4.3 của Phiên bản 2013 yêu cầu hệ thống quản lý mật khẩu phải:
Đảm bảo các tệp có mật khẩu phải được lưu trữ trên một hệ thống khác với hệ thống lưu trữ dữ liệu ứng dụng.
Phụ lục A của ISO 27001:2022 Kiểm soát 5.17 không yêu cầu điều này.
