וואָס איז דער ציל פון קאָנטראָל 5.16?
5.16 דילז מיט די פיייקייט פון אַן אָרגאַניזאַציע צו ידענטיפיצירן ווער (ניצערס, גרופּעס פון יוזערז) אָדער וואָס (אַפּפּליקאַטיאָנס, סיסטעמען און דעוויסעס) אַקסעס דאַטן אָדער IT אַסעץ אין קיין געגעבן צייט, און ווי די אידענטיטעט זענען געגעבן אַקסעס רעכט אַריבער די נעץ.
5.16 איז אַ פאַרהיטנדיק קאָנטראָל וואָס מיינטיינז ריזיקירן דורך אַקטינג ווי די הויפּט פּערימעטער פֿאַר אַלע פארבונדן אינפֿאָרמאַציע זיכערהייט און סייבערסעקוריטי אַפּעריישאַנז, ווי געזונט ווי די ערשטיק מאָדע גאַווערנאַנס וואָס דיקטייץ אַן אָרגאַניזאַציע ס אידענטיטעט און אַקסעס מאַנאַגעמענט פריימווערק.
אַטריביוץ פון קאָנטראָל 5.16
| קאָנטראָל טיפּע | אינפֿאָרמאַציע זיכערהייט פּראָפּערטיעס | סייבערסעקוריטי קאַנסעפּס | אַפּעריישאַנאַל קייפּאַבילאַטיז | זיכערהייַט דאָומיינז |
|---|---|---|---|---|
| # פּרעווענטאַטיוו | #מיט זיכערקייט | # באַשיצן | # אידענטיטעט און אַקסעס פאַרוואַלטונג | # שוץ |
| # אָרנטלעכקייַט | ||||
| # אַוואַילאַביליטי |
אָונערשיפּ
געגעבן אַז 5.16 סערוועס וואָס איז בפֿרט אַ וישאַלט פֿונקציע, אָונערשיפּ זאָל זיין דירעקטעד צו IT שטעקן וואָס האָבן שוין אַסיינד גלאבאלע אַדמיניסטראַטאָר רעכט (אָדער עקוויוואַלענט פֿאַר ניט-ווינדאָוז באזירט ינפראַסטראַקטשער).
כאָטש עס זענען אנדערע ינאַגרייטיד ראָלעס וואָס לאָזן יוזערז צו פירן אידענטיטעט (למשל פעלד אַדמיניסטראַטאָר), די אָונערשיפּ פון 5.16 זאָל זיין קאַנסידערד מיט דעם יחיד וואָס האט לעצט פֿאַראַנטוואָרטלעכקייט פֿאַר די גאנצע נעץ פון אַן אָרגאַניזאַציע, אַרייַנגערעכנט אַלע סובדאָמאַינס און אַקטיווע Directory טענאַנץ.
ISO 27001 געמאַכט גרינג
א 81% פֿאָרשפּרונג פֿון טאָג איינס
מיר האָבן געטאן די שווער אַרבעט פֿאַר איר, געבן איר אַ 81% העאַדסטאַרט פון דעם מאָמענט איר קלאָץ אויף. כל איר האָבן צו טאָן איז צו פּלאָמבירן די בלאַנקס.
אַלגעמיינע גיידאַנס
העסקעם מיט קאָנטראָל 5.16 איז אַטשיווד דורך אַ קאָמבינאַציע פון ינשורינג אַז אידענטיטעט-באזירט פּראָוסידזשערז זענען קלאר אַרטיקיאַלייטיד אין פּאָליטיק דאָקומענטן, און מאָניטאָרינג טאָג-צו-טאָג אַדכיראַנס צווישן שטעקן.
5.16 ליסטעד זעקס הויפּט פּראָוסידזשערז וואָס אַן אָרגאַניזאַציע דאַרף צו נאָכפאָלגן, צו טרעפן די נויטיק סטאַנדאַרדס פון ינפאָסעק און סייבערסעקוריטי גאַווערנאַנס:
- ווען אידענטיטעט זענען אַסיינד צו אַ מענטש, בלויז דער ספּעציפיש מענטש איז ערלויבט צו אָטענטאַקייט מיט און / אָדער נוצן די אידענטיטעט ווען אַקסעסינג נעץ רעסורסן.
העסקעם - IT פּאַלאַסיז דאַרפֿן צו קלאר סטיפּיאַלייט אַז יוזערז זאָל נישט טיילן לאָגין אינפֿאָרמאַציע, אָדער לאָזן אנדערע ניצערס צו אַרומוואַנדערן די נעץ ניצן קיין אידענטיטעט אנדערע ווי די וואָס זיי האָבן שוין אַסיינד.
- מאל עס קען זיין נייטיק צו באַשטימען אַ אידענטיטעט צו קייפל מענטשן - אויך באקאנט ווי אַ 'שערד אידענטיטעט'. דעם צוגאַנג זאָל זיין געוויינט ספּערינגלי, און בלויז צו באַפרידיקן אַ יקספּליסאַט גאַנג פון אַפּעריישאַנאַל רעקווירעמענץ.
העסקעם - אָרגאַנאַזיישאַנז זאָל מייַכל די רעגיסטראַציע פון שערד אידענטיטעט ווי אַ באַזונדער פּראָצעדור צו איין באַניצער אידענטיטעט, מיט אַ דעדאַקייטאַד האַסקאָמע וואָרקפלאָוו.
- אַזוי-גערופן 'ניט-מענטשלעך' ענטיטיז (ווי דער נאָמען סאַגדזשעסץ, קיין אידענטיטעט וואָס איז נישט אַטאַטשט צו אַ פאַקטיש באַניצער) זאָל זיין באַטראַכט אַנדערש ווי באַניצער-באזירט אידענטיטעט אין די פונט פון רעגיסטראַציע.
העסקעם - ווי מיט שערד אידענטיטעט, ניט-מענטש אידענטיטעט זאָל אין קער האָבן זייער אייגענע האַסקאָמע און רעגיסטראַציע פּראָצעס וואָס יקנאַלידזשז די אַנדערלייינג חילוק צווישן אַסיינינג אַן אידענטיטעט צו אַ מענטש, און געבן איינער צו אַ אַסעט, אַפּלאַקיישאַן אָדער מיטל.
- אידענטיטעטן וואָס זענען ניט מער פארלאנגט (לעווערערז, יבעריק אַסעץ אאז"ו ו) זאָל זיין פאַרקריפּלט דורך אַ נעץ אַדמיניסטראַטאָר, אָדער גאָר אַוועקגענומען, ווי פארלאנגט.
העסקעם – עס שטעקן זאָל דורכפירן רעגולער אַדאַץ אַז רשימה אידענטיטעט אין סדר פון נוצן, און ידענטיפיצירן וואָס ענטיטיז (מענטש אָדער ניט-מענטש) קענען זיין סוספּענדעד אָדער אויסגעמעקט. HR שטעקן זאָל אַרייַננעמען אידענטיטעט פאַרוואַלטונג אין זייער אָפבאָאַרדינג פּראָוסידזשערז, און מיטטיילן IT שטעקן פון לאַווערז אין אַ בייַצייַטיק שטייגער.
- דופּליקאַט אידענטיטעט זאָל זיין אַוווידאַד אין אַלע קאָס. פירמס זאָל אַדכיר צו אַ 'איין ענטיטי, איין אידענטיטעט' הערשן איבער די ברעט.
העסקעם - IT שטעקן זאָל בלייבן ווידזשאַלאַנט ווען אַסיינינג ראָלעס אַריבער אַ נעץ, און ענשור אַז ענטיטיז זענען נישט דערלויבט אַקסעס רעכט באזירט אויף קייפל אידענטיטעט.
- צונעמען רעקאָרדס זאָל זיין געהאלטן פון אַלע 'באַטייַטיק געשעענישן' וועגן אידענטיטעט פאַרוואַלטונג און אָטענטאַקיישאַן אינפֿאָרמאַציע.
העסקעם – דער טערמין 'באַדייטנדיקע געשעעניש' קען זיין ינטערפּראַטאַד אויף פאַרשידן וועגן, אָבער אויף אַ יקערדיק מדרגה אָרגאַנאַזיישאַנז דאַרפֿן צו ענשור אַז זייער גאַווערנאַנס פּראָוסידזשערז אַרייַננעמען אידענטיטעט רעגיסטראַציע דאַקיומענטיישאַן, געזונט פּראָטאָקאָלס פֿאַר ענדערונגען בעטן מיט אַ צונעמען אַפּרווואַלז פּראָצעדור, און די פיייקייט צו פּראָדוצירן אַ פולשטענדיק רשימה פון אַסיינד אידענטיטעט אין קיין צייט.
באַפֿרײַ זיך פֿון אַ באַרג פֿון ספּרעדשיטן
איינבעטן, פארברייטערן און סקאַלירן אייער קאמפלייענס, אָן קיין כאַאָס. IO גיט אייך די ווידערשטאנד און בטחון צו וואַקסן זיכער.
סופּפּלעמענטאַרי גיידאַנס
ווי געזונט ווי די זעקס הויפּט אַפּעריישאַנאַל קאַנסידעריישאַנז, 5.16 אויך ליסטעד פיר סטעפּס וואָס אָרגאַנאַזיישאַנז דאַרפֿן צו נאָכפאָלגן ווען שאפן אַן אידענטיטעט און געבן עס צוטריט צו נעץ רעסורסן (אַמענדינג אָדער רימוווינג אַקסעס רעכט איז דעלט מיט קאָנטראָל 5.18):
- פאַרלייגן אַ געשעפט פאַל איידער אַ אידענטיטעט איז באשאפן
העסקעם - עס איז וויכטיק צו באַשטעטיקן אַז אידענטיטעט פאַרוואַלטונג ווערט עקספּאָונענשאַלי מער שווער מיט יעדער נייַ אידענטיטעט וואָס איז באשאפן. אָרגאַנאַזיישאַנז זאָל שאַפֿן נייַע אידענטיטעט בלויז ווען עס איז אַ קלאָר נויט צו טאָן דאָס.
- פאַרזיכערן אַז די ענטיטי וואָס איז אַסיינד די אידענטיטעט (מענטש אָדער ניט-מענטש) איז ינדיפּענדאַנטלי וועראַפייד.
העסקעם - אַמאָל אַ געשעפט פאַל איז באוויליקט, אידענטיטעט און אַקסעס מאַנאַגעמענט פּראָוסידזשערז זאָל אַנטהאַלטן סטעפּס צו ענשור אַז דער מענטש אָדער אַסעט וואָס איז ריסיווינג אַ נייַע אידענטיטעט האט די נויטיק אויטאָריטעט צו טאָן דאָס, איידער אַ אידענטיטעט איז באשאפן.
- גרינדן אַן אידענטיטעט
אַמאָל די ענטיטי איז וועראַפייד, IT שטעקן זאָל מאַכן אַן אידענטיטעט וואָס איז אין שורה מיט די געשעפט פאַל רעקווירעמענץ, און איז לימיטעד צו וואָס איז סטיפּיאַלייטיד אין קיין דאַקיומענטיישאַן פון ענדערונגען.
- לעצט קאַנפיגיעריישאַן און אַקטאַוויישאַן
די לעצט שריט אין דעם פּראָצעס ינוואַלווז אַסיינינג אַן אידענטיטעט צו זיין פאַרשידן אַקסעס-באזירט פּערמישאַנז און ראָלעס (RBAC), און קיין פֿאַרבונדן אָטענטאַקיישאַן באַדינונגס וואָס זענען פארלאנגט.
פאַרוואַלטן אַלע אייערע קאָנפאָרמאַנס, אַלץ אין איין אָרט
ISMS.online שטיצט איבער 100 סטאַנדאַרדס און רעגיאַליישאַנז, געבן איר אַ איין פּלאַטפאָרמע פֿאַר אַלע דיין העסקעם דאַרף.
ענדערונגען פֿון ISO 27002:2013
אַלגעמיין
27002:2022 / 5.16 ריפּלייסיז 27002:2013/9.2.1 (באַניצער רעגיסטראציע און דע-רעגיסטראַציע) - וואָס זיך איז געווען אַ טייל פון 27002:2013 ס באַניצער אַקסעס מאַנאַגעמענט קאָנטראָל שטעלן. כאָטש עס זענען עטלעכע סימאַלעראַטיז צווישן די צוויי קאָנטראָלס - מערסטנס אין וישאַלט פּראָטאָקאָלס און דיאַקטיווייטינג יבעריק IDs - 5.16 כּולל אַ פיל מער פולשטענדיק גאַנג פון גיידליינז וואָס זוכן צו אַדרעס אידענטיטעט און אַקסעס מאַנאַגעמענט ווי אַ סוף-צו-סוף באַגריף.
מענטש קעגן ניט-מענטש אידענטיטעט
דער הויפּט חילוק צווישן די 2022 קאָנטראָל און זיין פאָרויסגייער פון 2013 איז די דערקענטעניש אַז כאָטש עס זענען דיפעראַנסיז אין די רעגיסטראַציע פּראָצעס, מענטש און ניט-מענטש אידענטיטעט זענען ניט מער באהאנדלט ווי באַזונדער פון איינער דעם אנדערן, פֿאַר אַלגעמיינע נעץ אַדמיניסטראַציע צוועקן.
מיט די אָנסעט פון מאָדערן אידענטיטעט און אַקסעס מאַנאַגעמענט און Windows-באזירט RBAC פּראָטאָקאָלס, IT גאַווערנאַנס און בעסטער פיר גיידליינז רעדן פון מענטש און ניט-מענטש אידענטיטעט מער אָדער ווייניקער ינטערטשיינדזשאַבלי. 27002:2013/9.2.1 כּולל קיין גיידאַנס ווי צו פירן ניט-מענטש אידענטיטעט, און קאַנסערנז זיך בלויז מיט די פאַרוואַלטונג פון וואָס עס רעפערס צו ווי 'באַניצער IDs' (ד"ה לאָגין אינפֿאָרמאַציע וואָס איז געניצט צו אַקסעס אַ נעץ, צוזאַמען מיט אַ נעץ פּאַראָל).
דאַקיומענטיישאַן
ווי מיר האָבן געזען, 27002: 2013/5.16 כּולל יקספּליסאַט גיידאַנס אויף ניט בלויז די אַלגעמיינע זיכערהייט ימפּלאַקיישאַנז פון אידענטיטעט גאַווערנאַנס, אָבער אויך ווי אָרגאַנאַזיישאַנז זאָל רעקאָרדירן און פּראַסעסינג אינפֿאָרמאַציע איידער אַן אידענטיטעט איז אַסיינד, און איבער זיין לייפסייק. אין פאַרגלייַך, 27002:2013/9.2.1 דערמאנט בלויז בעקיצער די אַקאַמפּאַניינג ראָלע וואָס IT גאַווערנאַנס פיעסעס, און לימאַץ זיך צו די גשמיות פירונג פון אידענטיטעט אַדמיניסטראַציע, ווי געפירט אויס דורך IT שטעקן.
נייַ יסאָ 27002 קאָנטראָלס
| ISO/IEC 27002:2022 קאָנטראָל ידענטיפיער | ISO/IEC 27002:2013 קאָנטראָל ידענטיפיער | קאָנטראָל נאָמען |
|---|---|---|
| 5.7 | נעוו | סאַקאָנע סייכל |
| 5.23 | נעוו | אינפֿאָרמאַציע זיכערהייט פֿאַר נוצן פון וואָלקן באַדינונגס |
| 5.30 | נעוו | יקט גרייטקייַט פֿאַר געשעפט קאַנטיניויישאַן |
| 7.4 | נעוו | פיזיש זיכערהייט מאָניטאָרינג |
| 8.9 | נעוו | קאָנפיגוראַטיאָן פאַרוואַלטונג |
| 8.10 | נעוו | אינפֿאָרמאַציע דילישאַן |
| 8.11 | נעוו | דאַטאַ מאַסקינג |
| 8.12 | נעוו | פאַרהיטונג פון דאַטן ליקאַדזש |
| 8.16 | נעוו | מאָניטאָרינג אַקטיוויטעטן |
| 8.23 | נעוו | וועב פֿילטרירונג |
| 8.28 | נעוו | זיכער קאָדירונג |
| ISO/IEC 27002:2022 קאָנטראָל ידענטיפיער | ISO/IEC 27002:2013 קאָנטראָל ידענטיפיער | קאָנטראָל נאָמען |
|---|---|---|
| 6.1 | 07.1.1 | זיפּונג |
| 6.2 | 07.1.2 | טערמינען און באדינגונגען פון באַשעפטיקונג |
| 6.3 | 07.2.2 | אינפֿאָרמאַציע זיכערהייט וויסיקייַט, בילדונג און טריינינג |
| 6.4 | 07.2.3 | דיסציפּלינאַרי פּראָצעס |
| 6.5 | 07.3.1 | ריספּאַנסאַבילאַטיז נאָך טערמאַניישאַן אָדער טוישן פון באַשעפטיקונג |
| 6.6 | 13.2.4 | קאַנפאַדענשיאַלאַטי אָדער ניט-אַנטפּלעקונג אַגרימאַנץ |
| 6.7 | 06.2.2 | ווייַט ארבעטן |
| 6.8 | קסנומקס, קסנומקס | אינפֿאָרמאַציע זיכערהייט געשעעניש ריפּאָרטינג |
| ISO/IEC 27002:2022 קאָנטראָל ידענטיפיער | ISO/IEC 27002:2013 קאָנטראָל ידענטיפיער | קאָנטראָל נאָמען |
|---|---|---|
| 7.1 | 11.1.1 | גשמיות זיכערהייַט פּערימאַטערז |
| 7.2 | קסנומקס, קסנומקס | פיזיש פּאָזיציע |
| 7.3 | 11.1.3 | סיקיורינג אָפאַסיז, רומז און פאַסילאַטיז |
| 7.4 | נעוו | פיזיש זיכערהייט מאָניטאָרינג |
| 7.5 | 11.1.4 | פּראַטעקטינג קעגן גשמיות און ינווייראַנמענאַל טרעץ |
| 7.6 | 11.1.5 | ארבעטן אין זיכער געביטן |
| 7.7 | 11.2.9 | קלאָר שרייַבטיש און קלאָר פאַרשטעלן |
| 7.8 | 11.2.1 | עקוויפּמענט סיטינג און שוץ |
| 7.9 | 11.2.6 | זיכערהייט פון אַסעץ אַוועק-לאָקאַל |
| 7.10 | קסנומקס, קסנומקס, קסנומקס, קסנומקס | סטאָרידזש מידיאַ |
| 7.11 | 11.2.2 | שטיצן יוטילאַטיז |
| 7.12 | 11.2.3 | קאַבלע זיכערהייַט |
| 7.13 | 11.2.4 | ויסריכט וישאַלט |
| 7.14 | 11.2.7 | זיכער באַזייַטיקונג אָדער שייַעך-נוצן פון ויסריכט |
