ISO 27002:2022, Control 8.5 – Autenticación segura

Propiedad del Control 8.5

El Control 8.5 se ocupa de la capacidad de una organización para controlar el acceso a su red (y la información y los datos contenidos en ella) en puntos críticos, como una puerta de enlace de inicio de sesión.

Si bien el control aborda la seguridad de la información y los datos como un concepto más amplio, la orientación operativa es principalmente de naturaleza técnica.

Como tal, la propiedad debe residir en el Jefe de TI (o equivalente organizacional), quien posee Responsabilidad de las funciones diarias de administración de TI de la organización..

Orientación general sobre control 8.5

El Control 8.5 pide a las organizaciones que consideren controles de autenticación que sean relevantes para el tipo y la sensibilidad de los datos y la red a los que se accede, incluidos:

• Autenticación multifactor (MFA)
• Certificados digitales
• Controles de acceso inteligentes (tarjetas inteligentes)
• Inicios de sesión biométricos
• Fichas seguras

El objetivo primordial de los controles de autenticación segura de una organización debería ser prevenir y/o minimizar el riesgo de acceso no autorizado a sus sistemas protegidos.

Para lograr esto, Control 8.5 describe 12 puntos de orientación principales. Las organizaciones deberían:

1. Restrinja la visualización de información hasta después de un intento de autenticación exitoso.
2. Muestre una advertencia previa al inicio de sesión que indique claramente que solo los usuarios autorizados deben acceder a la información.
3. Minimizar la asistencia que brinda a los usuarios no autenticados que intentan acceder al sistema; por ejemplo, las organizaciones no deben divulgar qué parte específica de un intento de inicio de sesión es incorrecta, como un aspecto biométrico de un inicio de sesión MFA, y en su lugar simplemente deben indicar que el intento de inicio de sesión falló. .
4. Valide el intento de inicio de sesión solo cuando se haya proporcionado toda la información requerida al servicio de inicio de sesión, para mantener la seguridad.
5. Implemente medidas de seguridad estándar de la industria que protejan contra el acceso general y/o ataques de fuerza bruta en los portales de inicio de sesión. Estas medidas pueden incluir:
• Controles CAPTCHA
• Aplicar un restablecimiento de contraseña después de una cantidad determinada de intentos fallidos de inicio de sesión
• Evitar nuevos intentos de inicio de sesión después de un número predefinido de intentos fallidos
6. Registrar todos los intentos fallidos de inicio de sesión para fines de auditoría y seguridad, incluido su uso en procedimientos penales y/o regulatorios.
7. Iniciando un incidente de seguridad siempre que se detecte una discrepancia importante en el inicio de sesión, como una intrusión percibida. En estos casos, se debe notificar a todo el personal interno relevante, particularmente aquellos con acceso de administrador de sistemas o cualquier capacidad para combatir intentos de inicio de sesión maliciosos.
8. Al validar un inicio de sesión, transmita cierta información a una fuente de datos separada que enumere:
• La fecha y hora del inicio de sesión exitoso anterior.
• Una lista de todos los intentos de inicio de sesión desde el último inicio de sesión validado.
9. Muestre las contraseñas como asteriscos (o símbolos abstractos similares), cuando no sea necesario no hacerlo (por ejemplo, accesibilidad del usuario).
10. Prohibir estrictamente compartir o mostrar contraseñas en forma de texto claro y legible.
11. Mantenga una política de finalizar las sesiones de inicio de sesión inactivas después de un período de tiempo específico. Esto es particularmente relevante para sesiones que están activas en ubicaciones de alto riesgo (entornos de trabajo remoto) o en activos proporcionados por el usuario, como computadoras portátiles personales o teléfonos móviles.
12. Limitar la cantidad de tiempo que una sesión autenticada puede permanecer abierta (incluso cuando está activa) en relación con la información a la que se accede (es decir, información crítica para el negocio o aplicaciones financieramente sensibles).

Orientación: inicios de sesión biométricos

ISO recomienda que, debido a una serie de factores relacionados con la eficacia y la integridad de los procesos de inicio de sesión biométricos en comparación con las medidas tradicionales (contraseñas, MFA, tokens, etc.), los métodos de autenticación biométrica no debe usarse de forma aislada, y acompañado de al menos otra técnica de inicio de sesión.

Cambios y diferencias con respecto a ISO 27002:2013

27002:2022-8.5 reemplaza a 27002:2014-9.4.2 (Procedimientos de inicio de sesión seguros).

27002:2022-8.5 contiene el Los mismos 12 puntos de orientación que su homólogo de 2013., con pequeños ajustes en la redacción, y sigue el mismo conjunto de principios de seguridad subyacentes.

En línea con el auge de las tecnologías de inicio de sesión biométrico y MFA durante la última década, 27002:2022-8.5 contiene orientación explícita sobre el uso de ambas técnicas que las organizaciones deben considerar al formular su propio conjunto de controles de inicio de sesión.

Cómo ayuda ISMS.online

Nuestra plataforma basada en la nube le proporciona un marco sólido de controles de seguridad de la información para que pueda Haga una lista de verificación de su proceso SGSI sobre la marcha para asegurarse de que cumpla con los requisitos de ISO 27000k. Usado correctamente, SGSI. en línea puede ayudarle a lograr la certificación con el mínimo de tiempo y recursos.

Ponte en contacto hoy para RESERVAR UNA DEMOSTRACIÓN.