ISO 27001:2022 Anexo A 8.5 – Autenticación segura

• See Norma ISO 27002:2022 8.5 para obtener más información.
• See ISO 27001:2013 Anexo A 9.4.2 para obtener más información.

Propósito de ISO 27001:2022 Anexo A 8.5

La autenticación segura es la principal forma en que los usuarios, tanto humanos como no humanos, acceden a los recursos TIC de una organización.

En los últimos diez años, la tecnología de autenticación ha experimentado una transformación importante desde la validación clásica de nombre de usuario/contraseña a una variedad de métodos complementarios que incluyen datos biométricos, controles de acceso lógicos y físicos, autenticaciones de dispositivos externos, códigos SMS y contraseñas de un solo uso (OTP). .

El Anexo A 8.5 proporciona a las organizaciones un marco para controlar el acceso a sus sistemas y activos de TIC a través de una puerta de enlace de inicio de sesión segura. Describe precisamente cómo se debe hacer esto.

ISO 27001:2022 El Control 8.5 del Anexo A es un medida preventiva lo cual mantiene el riesgo niveles introduciendo tecnología e instituyendo procedimientos de autenticación seguros, que garantizan que las identidades y los usuarios humanos y no humanos realicen un proceso de autenticación seguro al intentar acceder a los recursos de TIC.

Propiedad del Anexo A 8.5

El Anexo A 27001 de ISO 2022:8.5 aborda la capacidad de una organización para controlar el acceso a su red (y los datos y la información alojados en ella) en puntos clave, por ejemplo, un portal de inicio de sesión.

El control cubre la seguridad de la información y los datos en su conjunto, y la orientación operativa se centra principalmente en los aspectos técnicos.

Los Jefe de informática (o equivalente) debe tener la propiedad debido a que tiene la responsabilidad de las tareas de administración de TI en el día a día.

Orientación general sobre ISO 27001:2022 Anexo A 8.5

Las organizaciones deben tener en cuenta el tipo y la sensibilidad de los datos y la red a los que se accede al considerar los controles de autenticación. Ejemplos de tales controles incluyen:

• Controles de acceso inteligentes (tarjetas inteligentes).
• Inicios de sesión biométricos.
• Fichas seguras.
• Autenticación multifactor (MFA).
• Certificados digitales.

El objetivo principal de las medidas de autenticación segura de una empresa debe ser disuadir y reducir la posibilidad de acceso no autorizado a sus sistemas protegidos.

Para lograr esto, el Anexo A 27001 de la norma ISO 2022:8.5 establece doce pautas principales. Las empresas deberían:

1. Asegúrese de que la información solo se muestre después de un proceso de autenticación exitoso.
2. Mostrar un mensaje de advertencia antes de iniciar sesión que indique claramente que solo los usuarios autorizados pueden acceder a los datos.
3. Reducir la ayuda brindada a personas no autorizadas que intentan ingresar al sistema. Por ejemplo, las empresas no deben revelar qué parte del inicio de sesión ha sido incorrecta, como un factor biométrico de un inicio de sesión de autenticación multifactor; en cambio, solo deben indicar que el inicio de sesión no ha funcionado.
4. Verifique el intento de inicio de sesión solo cuando se haya proporcionado toda la información necesaria al servicio de inicio de sesión, para mantener la seguridad.
5. Implemente medidas de seguridad estándar de la industria para protegerse contra el acceso general y los ataques de fuerza bruta en los portales de inicio de sesión. Estos pueden incluir:
• CAPTCHA es una característica de seguridad que requiere que ingrese una cadena de caracteres para verificar que es un usuario humano.
• Aplicar el restablecimiento de una contraseña después de un número definido de intentos fallidos de inicio de sesión.
• Después de un cierto número de intentos fallidos, se frustran nuevos inicios de sesión. Para evitarlo, establezca un límite.
6. Para auditoría y seguridad, se anotará cada intento fallido de inicio de sesión, incluso en procedimientos penales y/o regulatorios.
7. En caso de discrepancias importantes en el inicio de sesión, como una sospecha de intrusión, se debe iniciar inmediatamente un incidente de seguridad. Se debe notificar de inmediato al personal interno, en particular a aquellos con acceso de administrador de sistemas o con la capacidad de frustrar intentos de inicio de sesión maliciosos.
8. Una vez que se haya confirmado un inicio de sesión exitoso, ciertos datos deben transmitirse a otro repositorio que detalla:
• El último inicio de sesión exitoso se produjo el [fecha] a las [hora].
• Registro de todos los intentos de inicio de sesión desde el último inicio de sesión autenticado.
9. Mostrar contraseñas como asteriscos u otros símbolos abstractos similares, a menos que exista un motivo para no hacerlo (por ejemplo, accesibilidad del usuario).
10. No se tolera que las contraseñas se compartan o se muestren en texto plano y legible.
11. Asegúrese de que las sesiones de inicio de sesión inactivas finalicen después de un período de tiempo establecido. Esto es especialmente pertinente para sesiones en lugares de alto riesgo (remote work situaciones) o en dispositivos propiedad del usuario, como computadoras portátiles personales o teléfonos móviles.
12. Restrinja la duración durante la cual una sesión autenticada puede permanecer abierta, incluso cuando esté activa, dependiendo de los datos a los que se accede (por ejemplo, información comercial vital o programas relacionados con el dinero).

Orientación sobre inicios de sesión biométricos

La Organización Internacional de Normalización insta a que los procesos de inicio de sesión biométricos se combinen con al menos otra técnica de inicio de sesión, debido a su efectividad e integridad comparativas en comparación con los métodos tradicionales como contraseñas, MFA y tokens.

Cambios y diferencias con respecto a ISO 27001:2013

ISO 27001:2022 Anexo A 8.5 reemplaza a ISO 27001:2013 Anexo A 9.4.2 (Protocolos de inicio de sesión seguros).

ISO 27001:2022 Anexo A 8.5 es una revisión de la versión 2013, con ligeras modificaciones en el lenguaje y los mismos principios de seguridad subyacentes. El documento todavía contiene los 12 puntos de orientación familiares.

En línea con el mayor uso de tecnologías de autenticación multifactor y de inicio de sesión biométrico en los últimos diez años, el Anexo A 27001 de la norma ISO 2022:8.5 proporciona instrucciones explícitas sobre cómo las organizaciones deben incorporar estas técnicas al formular sus propios controles de inicio de sesión.

Tabla de todos los controles del Anexo A de ISO 27001:2022

En la siguiente tabla encontrará más información sobre cada individuo. ISO 27001:2022 Anexo A Control:

Cómo ayuda ISMS.online

Nuestra plataforma basada en la nube le proporciona un sólido marco de seguridad de la información controles para ayudar al proceso SGSI y garantizar que cumpla con los criterios ISO 27001:2022. Utilizado correctamente, ISMS.online puede ayudarle a obtener la certificación con un mínimo de tiempo y recursos.

Contáctenos hoy para organizar una demostración.