ISO 27002:2022 – Control 8.2 – Derechos de acceso privilegiado

Propósito del Control 8.2

El uso malicioso o incorrecto de privilegios elevados de administrador del sistema es una de las principales causas de la interrupción de las TIC en las redes comerciales de todo el mundo.

Los derechos de acceso privilegiados permiten a las organizaciones controlar el acceso a su infraestructura, aplicaciones y activos y mantener la integridad de todos los datos y sistemas almacenados.

Control 8.2 es un control preventivo que mantiene el riesgo mediante el establecimiento de una autorización proceso que maneja todas las solicitudes de acceso a través de la red TIC de una organización y los activos asociados.

Tabla de Atributos de Control 8.2

Propiedad del Control 8.2

El control 8.6 trata de un Capacidad de la organización para controlar el acceso. a los datos a través de cuentas de usuario que disfrutan de derechos de acceso mejorados.

Como tal, la propiedad debe residir en el Jefe de TI (o equivalente organizacional), quien posee responsabilidad de la organización capacidad de administrar y monitorear dominios privilegiados o cuentas de usuario de aplicaciones.

Orientación general sobre control 8.2

El Control 8.2 describe 12 puntos de orientación principales que las organizaciones necesitan a seguir, de acuerdo con una política “tema específica” sobre control de acceso (ver Control 5.15) que apunta a funciones comerciales individuales.

Las organizaciones deberían:

1. Identifique una lista de usuarios que requieren cualquier grado de acceso privilegiado, ya sea para un sistema individual, como una base de datos, una aplicación o un sistema operativo subyacente.
2. Mantener una política que asigne derechos de acceso privilegiados a los usuarios en lo que se conoce como “evento por evento”: a los usuarios se les deben otorgar niveles de acceso basados ​​en el mínimo indispensable para que puedan desempeñar su función.
3. Describir un proceso de autorización claro que se ocupe de todas las solicitudes de acceso privilegiado, incluido el mantenimiento de un registro de todos los derechos de acceso que se hayan implementado.
4. Asegúrese de que los derechos de acceso estén sujetos a las fechas de vencimiento pertinentes.
5. Tome medidas para garantizar que los usuarios estén explícitamente consciente de cualquier período de tiempo en el que estén operando con acceso privilegiado a un sistema.
6. Cuando sea relevante, se solicita a los usuarios que se vuelvan a autenticar antes de usar derechos de acceso privilegiados, para lograr una mayor seguridad de la información/datos.
7. Llevar a cabo auditorías periódicas de los derechos de acceso privilegiado, especialmente después de un período de cambio organizacional. Los derechos de acceso de los usuarios deben revisarse en función de sus “deberes, roles, responsabilidades y competencias” (ver Control 5.18).
8. Considere operar con lo que se conoce como un procedimiento de “romper vidrio”, es decir, garantizar que los derechos de acceso privilegiado se otorguen dentro de períodos de tiempo estrictamente controlados que cumplan con los requisitos mínimos para que se lleve a cabo una operación (cambios críticos, administración del sistema, etc.).
9. Asegúrese de que todas las actividades de acceso privilegiado se registren en consecuencia.
10. Evite el uso de información genérica de inicio de sesión del sistema (especialmente nombres de usuario y contraseñas estandarizados) (consulte Control 5.17).
11. Mantenga una política de asignar a los usuarios una identidad separada, que permita un control más estricto de los derechos de acceso privilegiado. Luego, dichas identidades se pueden agrupar, proporcionando al grupo asociado diferentes niveles de derechos de acceso.
12. Asegúrese de que los derechos de acceso privilegiado se reserven únicamente para tareas críticas relacionadas con el funcionamiento continuo de una red de TIC en funcionamiento, como la administración del sistema y el mantenimiento de la red.

Controles de apoyo

• 5.15

Cambios y diferencias con respecto a ISO 27002:2013

El control 27002:2022-8.2 reemplaza a 27002:2013-9.2.3 (Gestión de derechos de acceso privilegiado).

27002:2022-8.2 contiene 5 puntos de orientación principales que no son explícitos en su contraparte de 2013:

• 27002:2022-8.2 no requiere explícitamente una identificación de usuario diferente para derechos de acceso privilegiados.
• 27002:2022-8.2 destaca la necesidad de volver a autenticarse antes de recibir derechos de acceso privilegiado.
• 27002:2022-8.2 aboga por un enfoque de rotura de cristales al realizar tareas de mantenimiento críticas, basado en ventanas de tiempo estrictamente controladas.
• 27002:2022-8.2 solicita a las organizaciones que mantengan registros completos de acceso privilegiado, para fines de auditoría.
• 27002:2022-8.2 pide a las organizaciones que limiten el uso de derechos de acceso privilegiados a tareas administrativas.

Nuevos controles ISO 27002

Cómo ayuda ISMS.online

ISO 27002, Control 6.6, cubre la necesidad de que las organizaciones eviten la fuga de información confidencial estableciendo acuerdos de confidencialidad con las partes interesadas y personal.

Nuestra plataforma basada en la nube proporciona un conjunto completo de herramientas para ayudar a las organizaciones a configurar una sistema de gestión de seguridad de la información (SGSI) según ISO 27002.

Estas herramientas incluyen:

• Una biblioteca de plantillas para documentos corporativos comunes.
• Un conjunto de políticas y procedimientos predefinidos.
• Una herramienta de auditoría para apoyar las auditorías internas.
• Una interfaz de configuración para personalizar Políticas SGSI y procedimientos.
• Un flujo de trabajo de aprobación para todos los cambios realizados en políticas y procedimientos.
• Una lista de verificación para asegurarse de que sus políticas y procesos de seguridad de la información sigan los estándares internacionales aprobados.

ISMS.Online también permite a los usuarios:

• Gestionar todos los aspectos del SGSI. ciclo de vida con facilidad.
• Obtenga información en tiempo real sobre su postura de seguridad y brechas de cumplimiento.
• Integre con otros sistemas como recursos humanos, finanzas y gestión de proyectos.
• Demostrar el cumplimiento de sus SGSI con ISO 27001 normas

La herramienta ISMS.Online también proporciona orientación sobre la mejor manera de implementar su SGSI al brindar consejos sobre cómo crear políticas y procedimientos relacionados con aspectos como la gestión de riesgos, la capacitación en concientización sobre la seguridad del personal y la planificación de respuesta a incidentes.