וואָס איז דער ציל פון קאָנטראָל 5.16?
5.16 דילז מיט די פיייקייט פון אַן אָרגאַניזאַציע צו ידענטיפיצירן ווער (ניצערס, גרופּעס פון יוזערז) אָדער וואָס (אַפּפּליקאַטיאָנס, סיסטעמען און דעוויסעס) אַקסעס דאַטן אָדער IT אַסעץ אין קיין געגעבן צייט, און ווי די אידענטיטעט זענען געגעבן אַקסעס רעכט אַריבער די נעץ.
5.16 איז אַ פאַרהיטנדיק קאָנטראָל וואָס מיינטיינז ריזיקירן דורך אַקטינג ווי די הויפּט פּערימעטער פֿאַר אַלע פארבונדן אינפֿאָרמאַציע זיכערהייט און סייבערסעקוריטי אַפּעריישאַנז, ווי געזונט ווי די ערשטיק מאָדע גאַווערנאַנס וואָס דיקטייץ אַן אָרגאַניזאַציע ס אידענטיטעט און אַקסעס מאַנאַגעמענט פריימווערק.
אַטריביוץ פון קאָנטראָל 5.16
| קאָנטראָל טיפּע | אינפֿאָרמאַציע זיכערהייט פּראָפּערטיעס | סייבערסעקוריטי קאַנסעפּס | אַפּעריישאַנאַל קייפּאַבילאַטיז | זיכערהייַט דאָומיינז |
|---|---|---|---|---|
| # פּרעווענטאַטיוו | #מיט זיכערקייט | # באַשיצן | # אידענטיטעט און אַקסעס פאַרוואַלטונג | # שוץ |
| # אָרנטלעכקייַט | ||||
| # אַוואַילאַביליטי |
אָונערשיפּ
געגעבן אַז 5.16 סערוועס וואָס איז בפֿרט אַ וישאַלט פֿונקציע, אָונערשיפּ זאָל זיין דירעקטעד צו IT שטעקן וואָס האָבן שוין אַסיינד גלאבאלע אַדמיניסטראַטאָר רעכט (אָדער עקוויוואַלענט פֿאַר ניט-ווינדאָוז באזירט ינפראַסטראַקטשער).
כאָטש עס זענען אנדערע ינאַגרייטיד ראָלעס וואָס לאָזן יוזערז צו פירן אידענטיטעט (למשל פעלד אַדמיניסטראַטאָר), די אָונערשיפּ פון 5.16 זאָל זיין קאַנסידערד מיט דעם יחיד וואָס האט לעצט פֿאַראַנטוואָרטלעכקייט פֿאַר די גאנצע נעץ פון אַן אָרגאַניזאַציע, אַרייַנגערעכנט אַלע סובדאָמאַינס און אַקטיווע Directory טענאַנץ.
באַקומען אַ 81% כעדסטאַרט
מיר האָבן געטאן די שווער אַרבעט פֿאַר איר, געבן איר אַ העאַדסטאַרט פון 81% פון דעם מאָמענט איר קלאָץ אויף.
כל איר האָבן צו טאָן איז צו פּלאָמבירן די בלאַנקס.
אַלגעמיינע גיידאַנס
העסקעם מיט קאָנטראָל 5.16 איז אַטשיווד דורך אַ קאָמבינאַציע פון ינשורינג אַז אידענטיטעט-באזירט פּראָוסידזשערז זענען קלאר אַרטיקיאַלייטיד אין פּאָליטיק דאָקומענטן, און מאָניטאָרינג טאָג-צו-טאָג אַדכיראַנס צווישן שטעקן.
5.16 ליסטעד זעקס הויפּט פּראָוסידזשערז וואָס אַן אָרגאַניזאַציע דאַרף צו נאָכפאָלגן, צו טרעפן די נויטיק סטאַנדאַרדס פון ינפאָסעק און סייבערסעקוריטי גאַווערנאַנס:
- ווען אידענטיטעט זענען אַסיינד צו אַ מענטש, בלויז דער ספּעציפיש מענטש איז ערלויבט צו אָטענטאַקייט מיט און / אָדער נוצן די אידענטיטעט ווען אַקסעסינג נעץ רעסורסן.
העסקעם - IT פּאַלאַסיז דאַרפֿן צו קלאר סטיפּיאַלייט אַז יוזערז זאָל נישט טיילן לאָגין אינפֿאָרמאַציע, אָדער לאָזן אנדערע ניצערס צו אַרומוואַנדערן די נעץ ניצן קיין אידענטיטעט אנדערע ווי די וואָס זיי האָבן שוין אַסיינד.
- מאל עס קען זיין נייטיק צו באַשטימען אַ אידענטיטעט צו קייפל מענטשן - אויך באקאנט ווי אַ 'שערד אידענטיטעט'. דעם צוגאַנג זאָל זיין געוויינט ספּערינגלי, און בלויז צו באַפרידיקן אַ יקספּליסאַט גאַנג פון אַפּעריישאַנאַל רעקווירעמענץ.
העסקעם - אָרגאַנאַזיישאַנז זאָל מייַכל די רעגיסטראַציע פון שערד אידענטיטעט ווי אַ באַזונדער פּראָצעדור צו איין באַניצער אידענטיטעט, מיט אַ דעדאַקייטאַד האַסקאָמע וואָרקפלאָוו.
- אַזוי-גערופן 'ניט-מענטשלעך' ענטיטיז (ווי דער נאָמען סאַגדזשעסץ, קיין אידענטיטעט וואָס איז נישט אַטאַטשט צו אַ פאַקטיש באַניצער) זאָל זיין באַטראַכט אַנדערש ווי באַניצער-באזירט אידענטיטעט אין די פונט פון רעגיסטראַציע.
העסקעם - ווי מיט שערד אידענטיטעט, ניט-מענטש אידענטיטעט זאָל אין קער האָבן זייער אייגענע האַסקאָמע און רעגיסטראַציע פּראָצעס וואָס יקנאַלידזשז די אַנדערלייינג חילוק צווישן אַסיינינג אַן אידענטיטעט צו אַ מענטש, און געבן איינער צו אַ אַסעט, אַפּלאַקיישאַן אָדער מיטל.
- אידענטיטעטן וואָס זענען ניט מער פארלאנגט (לעווערערז, יבעריק אַסעץ אאז"ו ו) זאָל זיין פאַרקריפּלט דורך אַ נעץ אַדמיניסטראַטאָר, אָדער גאָר אַוועקגענומען, ווי פארלאנגט.
העסקעם – עס שטעקן זאָל דורכפירן רעגולער אַדאַץ אַז רשימה אידענטיטעט אין סדר פון נוצן, און ידענטיפיצירן וואָס ענטיטיז (מענטש אָדער ניט-מענטש) קענען זיין סוספּענדעד אָדער אויסגעמעקט. HR שטעקן זאָל אַרייַננעמען אידענטיטעט פאַרוואַלטונג אין זייער אָפבאָאַרדינג פּראָוסידזשערז, און מיטטיילן IT שטעקן פון לאַווערז אין אַ בייַצייַטיק שטייגער.
- דופּליקאַט אידענטיטעט זאָל זיין אַוווידאַד אין אַלע קאָס. פירמס זאָל אַדכיר צו אַ 'איין ענטיטי, איין אידענטיטעט' הערשן איבער די ברעט.
העסקעם - IT שטעקן זאָל בלייבן ווידזשאַלאַנט ווען אַסיינינג ראָלעס אַריבער אַ נעץ, און ענשור אַז ענטיטיז זענען נישט דערלויבט אַקסעס רעכט באזירט אויף קייפל אידענטיטעט.
- צונעמען רעקאָרדס זאָל זיין געהאלטן פון אַלע 'באַטייַטיק געשעענישן' וועגן אידענטיטעט פאַרוואַלטונג און אָטענטאַקיישאַן אינפֿאָרמאַציע.
העסקעם – דער טערמין 'באַדייטנדיקע געשעעניש' קען זיין ינטערפּראַטאַד אויף פאַרשידן וועגן, אָבער אויף אַ יקערדיק מדרגה אָרגאַנאַזיישאַנז דאַרפֿן צו ענשור אַז זייער גאַווערנאַנס פּראָוסידזשערז אַרייַננעמען אידענטיטעט רעגיסטראַציע דאַקיומענטיישאַן, געזונט פּראָטאָקאָלס פֿאַר ענדערונגען בעטן מיט אַ צונעמען אַפּרווואַלז פּראָצעדור, און די פיייקייט צו פּראָדוצירן אַ פולשטענדיק רשימה פון אַסיינד אידענטיטעט אין קיין צייט.
קאָמפּליאַנסע טוט נישט האָבן צו זיין קאָמפּליצירט.
מיר האָבן געטאן די שווער אַרבעט פֿאַר איר, געבן איר אַ העאַדסטאַרט פון 81% פון דעם מאָמענט איר קלאָץ אויף.
כל איר האָבן צו טאָן איז צו פּלאָמבירן די בלאַנקס.
סופּפּלעמענטאַרי גיידאַנס
ווי געזונט ווי די זעקס הויפּט אַפּעריישאַנאַל קאַנסידעריישאַנז, 5.16 אויך ליסטעד פיר סטעפּס וואָס אָרגאַנאַזיישאַנז דאַרפֿן צו נאָכפאָלגן ווען שאפן אַן אידענטיטעט און געבן עס צוטריט צו נעץ רעסורסן (אַמענדינג אָדער רימוווינג אַקסעס רעכט איז דעלט מיט קאָנטראָל 5.18):
- פאַרלייגן אַ געשעפט פאַל איידער אַ אידענטיטעט איז באשאפן
העסקעם - עס איז וויכטיק צו באַשטעטיקן אַז אידענטיטעט פאַרוואַלטונג ווערט עקספּאָונענשאַלי מער שווער מיט יעדער נייַ אידענטיטעט וואָס איז באשאפן. אָרגאַנאַזיישאַנז זאָל שאַפֿן נייַע אידענטיטעט בלויז ווען עס איז אַ קלאָר נויט צו טאָן דאָס.
- פאַרזיכערן אַז די ענטיטי וואָס איז אַסיינד די אידענטיטעט (מענטש אָדער ניט-מענטש) איז ינדיפּענדאַנטלי וועראַפייד.
העסקעם - אַמאָל אַ געשעפט פאַל איז באוויליקט, אידענטיטעט און אַקסעס מאַנאַגעמענט פּראָוסידזשערז זאָל אַנטהאַלטן סטעפּס צו ענשור אַז דער מענטש אָדער אַסעט וואָס איז ריסיווינג אַ נייַע אידענטיטעט האט די נויטיק אויטאָריטעט צו טאָן דאָס, איידער אַ אידענטיטעט איז באשאפן.
- גרינדן אַן אידענטיטעט
אַמאָל די ענטיטי איז וועראַפייד, IT שטעקן זאָל מאַכן אַן אידענטיטעט וואָס איז אין שורה מיט די געשעפט פאַל רעקווירעמענץ, און איז לימיטעד צו וואָס איז סטיפּיאַלייטיד אין קיין דאַקיומענטיישאַן פון ענדערונגען.
- לעצט קאַנפיגיעריישאַן און אַקטאַוויישאַן
די לעצט שריט אין דעם פּראָצעס ינוואַלווז אַסיינינג אַן אידענטיטעט צו זיין פאַרשידן אַקסעס-באזירט פּערמישאַנז און ראָלעס (RBAC), און קיין פֿאַרבונדן אָטענטאַקיישאַן באַדינונגס וואָס זענען פארלאנגט.
פירן אַלע דיין העסקעם אויף איין אָרט
ISMS.online שטיצט איבער 100 סטאַנדאַרדס
און תקנות, געבן איר אַ איין
פּלאַטפאָרמע פֿאַר אַלע דיין העסקעם דאַרף.
ענדערונגען פֿון ISO 27002:2013
אַלגעמיין
27002:2022 / 5.16 ריפּלייסיז 27002:2013/9.2.1 (באַניצער רעגיסטראציע און דע-רעגיסטראַציע) - וואָס זיך איז געווען אַ טייל פון 27002:2013 ס באַניצער אַקסעס מאַנאַגעמענט קאָנטראָל שטעלן. כאָטש עס זענען עטלעכע סימאַלעראַטיז צווישן די צוויי קאָנטראָלס - מערסטנס אין וישאַלט פּראָטאָקאָלס און דיאַקטיווייטינג יבעריק IDs - 5.16 כּולל אַ פיל מער פולשטענדיק גאַנג פון גיידליינז וואָס זוכן צו אַדרעס אידענטיטעט און אַקסעס מאַנאַגעמענט ווי אַ סוף-צו-סוף באַגריף.
מענטש קעגן ניט-מענטש אידענטיטעט
דער הויפּט חילוק צווישן די 2022 קאָנטראָל און זיין פאָרויסגייער פון 2013 איז די דערקענטעניש אַז כאָטש עס זענען דיפעראַנסיז אין די רעגיסטראַציע פּראָצעס, מענטש און ניט-מענטש אידענטיטעט זענען ניט מער באהאנדלט ווי באַזונדער פון איינער דעם אנדערן, פֿאַר אַלגעמיינע נעץ אַדמיניסטראַציע צוועקן.
מיט די אָנסעט פון מאָדערן אידענטיטעט און אַקסעס מאַנאַגעמענט און Windows-באזירט RBAC פּראָטאָקאָלס, IT גאַווערנאַנס און בעסטער פיר גיידליינז רעדן פון מענטש און ניט-מענטש אידענטיטעט מער אָדער ווייניקער ינטערטשיינדזשאַבלי. 27002:2013/9.2.1 כּולל קיין גיידאַנס ווי צו פירן ניט-מענטש אידענטיטעט, און קאַנסערנז זיך בלויז מיט די פאַרוואַלטונג פון וואָס עס רעפערס צו ווי 'באַניצער IDs' (ד"ה לאָגין אינפֿאָרמאַציע וואָס איז געניצט צו אַקסעס אַ נעץ, צוזאַמען מיט אַ נעץ פּאַראָל).
דאַקיומענטיישאַן
ווי מיר האָבן געזען, 27002: 2013/5.16 כּולל יקספּליסאַט גיידאַנס אויף ניט בלויז די אַלגעמיינע זיכערהייט ימפּלאַקיישאַנז פון אידענטיטעט גאַווערנאַנס, אָבער אויך ווי אָרגאַנאַזיישאַנז זאָל רעקאָרדירן און פּראַסעסינג אינפֿאָרמאַציע איידער אַן אידענטיטעט איז אַסיינד, און איבער זיין לייפסייק. אין פאַרגלייַך, 27002:2013/9.2.1 דערמאנט בלויז בעקיצער די אַקאַמפּאַניינג ראָלע וואָס IT גאַווערנאַנס פיעסעס, און לימאַץ זיך צו די גשמיות פירונג פון אידענטיטעט אַדמיניסטראַציע, ווי געפירט אויס דורך IT שטעקן.
נייַ יסאָ 27002 קאָנטראָלס
ניו קאָנטראָלס
| ISO/IEC 27002:2022 קאָנטראָל ידענטיפיער | יסאָ / יעק 27002: 2013 קאָנטראָל אידענטיפיצירן | קאָנטראָל נאָמען |
|---|---|---|
| 5.7 | נייַ | סאַקאָנע סייכל |
| 5.23 | נייַ | אינפֿאָרמאַציע זיכערהייט פֿאַר נוצן פון וואָלקן באַדינונגס |
| 5.30 | נייַ | יקט גרייטקייַט פֿאַר געשעפט קאַנטיניויישאַן |
| 7.4 | נייַ | פיזיש זיכערהייט מאָניטאָרינג |
| 8.9 | נייַ | קאָנפיגוראַטיאָן פאַרוואַלטונג |
| 8.10 | נייַ | אינפֿאָרמאַציע דילישאַן |
| 8.11 | נייַ | דאַטאַ מאַסקינג |
| 8.12 | נייַ | פאַרהיטונג פון דאַטן ליקאַדזש |
| 8.16 | נייַ | מאָניטאָרינג אַקטיוויטעטן |
| 8.23 | נייַ | וועב פֿילטרירונג |
| 8.28 | נייַ | זיכער קאָדירונג |
אָרגאַנאַזיישאַנאַל קאָנטראָלס
מענטשן קאָנטראָלס
| ISO/IEC 27002:2022 קאָנטראָל ידענטיפיער | יסאָ / יעק 27002: 2013 קאָנטראָל אידענטיפיצירן | קאָנטראָל נאָמען |
|---|---|---|
| 6.1 | 07.1.1 | זיפּונג |
| 6.2 | 07.1.2 | טערמינען און באדינגונגען פון באַשעפטיקונג |
| 6.3 | 07.2.2 | אינפֿאָרמאַציע זיכערהייט וויסיקייַט, בילדונג און טריינינג |
| 6.4 | 07.2.3 | דיסציפּלינאַרי פּראָצעס |
| 6.5 | 07.3.1 | ריספּאַנסאַבילאַטיז נאָך טערמאַניישאַן אָדער טוישן פון באַשעפטיקונג |
| 6.6 | 13.2.4 | קאַנפאַדענשיאַלאַטי אָדער ניט-אַנטפּלעקונג אַגרימאַנץ |
| 6.7 | 06.2.2 | ווייַט ארבעטן |
| 6.8 | קסנומקס, קסנומקס | אינפֿאָרמאַציע זיכערהייט געשעעניש ריפּאָרטינג |
גשמיות קאָנטראָלס
| ISO/IEC 27002:2022 קאָנטראָל ידענטיפיער | יסאָ / יעק 27002: 2013 קאָנטראָל אידענטיפיצירן | קאָנטראָל נאָמען |
|---|---|---|
| 7.1 | 11.1.1 | גשמיות זיכערהייַט פּערימאַטערז |
| 7.2 | קסנומקס, קסנומקס | פיזיש פּאָזיציע |
| 7.3 | 11.1.3 | סיקיורינג אָפאַסיז, רומז און פאַסילאַטיז |
| 7.4 | נייַ | פיזיש זיכערהייט מאָניטאָרינג |
| 7.5 | 11.1.4 | פּראַטעקטינג קעגן גשמיות און ינווייראַנמענאַל טרעץ |
| 7.6 | 11.1.5 | ארבעטן אין זיכער געביטן |
| 7.7 | 11.2.9 | קלאָר שרייַבטיש און קלאָר פאַרשטעלן |
| 7.8 | 11.2.1 | עקוויפּמענט סיטינג און שוץ |
| 7.9 | 11.2.6 | זיכערהייט פון אַסעץ אַוועק-לאָקאַל |
| 7.10 | קסנומקס, קסנומקס, קסנומקס, קסנומקס | סטאָרידזש מידיאַ |
| 7.11 | 11.2.2 | שטיצן יוטילאַטיז |
| 7.12 | 11.2.3 | קאַבלע זיכערהייַט |
| 7.13 | 11.2.4 | ויסריכט וישאַלט |
| 7.14 | 11.2.7 | זיכער באַזייַטיקונג אָדער שייַעך-נוצן פון ויסריכט |
טעקנאַלאַדזשיקאַל קאָנטראָלס
שפרינג צו דער טעמע
באַקומען סערטאַפייד אַרויף צו 5 קס פאַסטער
פשוט פּלאָמבירן די בלאַנקס.
ספר אַ דעמאָ באַקומען אַ ציטירן
