Mục đích của ISO 27001:2022 Phụ lục A 8.5
Xác thực an toàn là cách chính để người dùng, cả con người và không phải con người, truy cập vào tài nguyên CNTT của tổ chức.
Trong mười năm qua, công nghệ xác thực đã trải qua sự chuyển đổi lớn từ xác thực tên người dùng/mật khẩu cổ điển sang nhiều phương pháp bổ sung liên quan đến dữ liệu sinh trắc học, kiểm soát truy cập logic và vật lý, xác thực thiết bị bên ngoài, mã SMS và mật khẩu dùng một lần (OTP).
Phụ lục A 8.5 cung cấp cho các tổ chức một khuôn khổ để kiểm soát quyền truy cập vào hệ thống và tài sản CNTT của họ thông qua một cổng đăng nhập an toàn. Nó phác thảo chính xác cách thức thực hiện điều này.
Phụ lục A của ISO 27001:2022 Kiểm soát 8.5 là biện pháp phòng ngừa giúp duy trì mức độ rủi ro bằng cách áp dụng công nghệ và thiết lập các quy trình xác thực an toàn, đảm bảo rằng người dùng và danh tính là con người và không phải con người thực hiện quy trình xác thực an toàn khi cố gắng truy cập vào các tài nguyên CNTT.
Quyền sở hữu của Phụ lục A 8.5
Phụ lục A 8.5 của ISO 27001:2022 đề cập đến năng lực của tổ chức trong việc kiểm soát quyền truy cập vào mạng của mình (và dữ liệu và thông tin được lưu trữ trong đó) tại các điểm chính, ví dụ như cổng thông tin đăng nhập.
Kiểm soát này bao gồm toàn bộ thông tin và bảo mật dữ liệu, trong đó hướng dẫn vận hành tập trung chủ yếu vào các khía cạnh kỹ thuật.
Trưởng phòng CNTT (hoặc tương đương) phải có trách nhiệm vì phải chịu trách nhiệm quản lý CNTT hàng ngày.
Hướng dẫn chung về ISO 27001:2022 Phụ lục A 8.5
Các tổ chức nên tính đến loại và mức độ nhạy cảm của dữ liệu và mạng được truy cập khi xem xét các biện pháp kiểm soát xác thực. Ví dụ về các biện pháp kiểm soát đó bao gồm:
- Kiểm soát ra vào thông minh (thẻ thông minh).
- Đăng nhập sinh trắc học.
- Mã thông báo an toàn.
- Xác thực đa yếu tố (MFA).
- Chứng chỉ số.
Mục tiêu chính của các biện pháp xác thực an toàn của công ty là ngăn chặn và giảm khả năng truy cập trái phép vào các hệ thống được bảo vệ của công ty.
Để đạt được điều này, Phụ lục A 8.5 của ISO 27001:2022 đặt ra mười hai hướng dẫn quan trọng nhất. Các doanh nghiệp nên:
- Đảm bảo rằng thông tin chỉ được hiển thị sau khi quá trình xác thực thành công.
- Hiển thị thông báo cảnh báo trước khi đăng nhập, nêu rõ chỉ những người dùng được ủy quyền mới có thể truy cập dữ liệu.
- Giảm sự giúp đỡ dành cho những người không được phép cố gắng xâm nhập vào hệ thống. Ví dụ, các doanh nghiệp không nên tiết lộ phần nào của quá trình đăng nhập không chính xác, chẳng hạn như yếu tố sinh trắc học của quá trình đăng nhập xác thực đa yếu tố – thay vào đó, chỉ cần nêu rằng quá trình đăng nhập không thành công.
- Chỉ xác minh nỗ lực đăng nhập khi đã cung cấp đầy đủ thông tin cần thiết cho dịch vụ đăng nhập để đảm bảo an toàn.
- Triển khai các biện pháp bảo mật theo tiêu chuẩn công nghiệp để bảo vệ chống lại các cuộc tấn công truy cập tràn lan và tấn công bằng vũ lực vào các cổng đăng nhập. Các biện pháp này có thể bao gồm:
- CAPTCHA là tính năng bảo mật yêu cầu bạn nhập một chuỗi ký tự để xác minh rằng bạn là người dùng thực sự.
- Thực hiện đặt lại mật khẩu sau một số lần đăng nhập không thành công nhất định.
- Sau một số lần thử không thành công nhất định, các lần đăng nhập tiếp theo sẽ bị ngăn chặn. Để ngăn chặn điều này, hãy đặt giới hạn.
- Để kiểm tra và bảo mật, mọi lần đăng nhập không thành công đều phải được ghi lại, kể cả để phục vụ cho mục đích hình sự và/hoặc quản lý.
- Trong trường hợp có bất kỳ sự khác biệt lớn nào về đăng nhập, chẳng hạn như nghi ngờ có sự xâm nhập, phải ngay lập tức khởi tạo sự cố bảo mật. Nhân viên nội bộ, đặc biệt là những người có quyền truy cập quản trị viên hệ thống hoặc khả năng ngăn chặn các nỗ lực đăng nhập độc hại, phải được thông báo ngay lập tức.
- Sau khi xác nhận đăng nhập thành công, một số dữ liệu nhất định phải được truyền đến kho lưu trữ khác có thông tin chi tiết về:
- Lần đăng nhập thành công cuối cùng xảy ra vào [ngày] lúc [giờ].
- Ghi lại tất cả các lần đăng nhập đã thực hiện kể từ lần đăng nhập xác thực cuối cùng.
- Hiển thị mật khẩu dưới dạng dấu hoa thị hoặc các ký hiệu trừu tượng tương tự, trừ khi có lý do không nên làm như vậy (ví dụ: khả năng truy cập của người dùng).
- Không chấp nhận việc chia sẻ hoặc hiển thị mật khẩu dưới dạng văn bản dễ đọc.
- Đảm bảo rằng các phiên đăng nhập nhàn rỗi sẽ kết thúc sau một khoảng thời gian nhất định. Điều này đặc biệt phù hợp với các phiên ở những địa điểm có nguy cơ cao ( tình huống làm việc từ xa ) hoặc trên các thiết bị do người dùng sở hữu, chẳng hạn như máy tính xách tay cá nhân hoặc điện thoại di động.
- Hạn chế thời lượng phiên xác thực có thể mở, ngay cả khi đang hoạt động, tùy thuộc vào dữ liệu đang được truy cập (ví dụ: thông tin kinh doanh quan trọng hoặc các chương trình liên quan đến tiền bạc).
Hướng dẫn về Đăng nhập sinh trắc học
Tổ chức Tiêu chuẩn hóa Quốc tế kêu gọi các quy trình đăng nhập sinh trắc học nên được kết hợp với ít nhất một kỹ thuật đăng nhập khác vì tính hiệu quả và toàn vẹn của chúng khi so sánh với các phương pháp truyền thống như mật khẩu, MFA và mã thông báo.
Những thay đổi và khác biệt so với ISO 27001:2013
Phụ lục A 8.5 của ISO 27001:2022 thay thế Phụ lục A 9.4.2 của ISO 27001:2013 (Giao thức đăng nhập an toàn).
ISO 27001:2022 Phụ lục A 8.5 là bản sửa đổi của phiên bản 2013, với một số thay đổi nhỏ về ngôn ngữ và các nguyên tắc bảo mật cơ bản. Tài liệu vẫn chứa 12 điểm hướng dẫn quen thuộc.
Phù hợp với việc sử dụng ngày càng nhiều công nghệ xác thực đa yếu tố và công nghệ đăng nhập sinh trắc học trong mười năm qua, Phụ lục A 8.5 của ISO 27001:2022 cung cấp hướng dẫn rõ ràng về cách các tổ chức nên kết hợp các kỹ thuật này khi xây dựng biện pháp kiểm soát đăng nhập của riêng mình.
