存取管理簡化：特權權限和身分驗證控制 A.8.02 – A.8.05

A.8.02 特權存取權限

特權存取權限是指授予特定身分、角色或程序的存取權限，允許其執行普通使用者或程序無法執行的操作。最常見的例子是系統管理員角色，他們通常需要特權存取權限。

此控制措施旨在確保只有授權使用者、軟體元件和服務才能獲得特權存取權限。

與控制結合A.5.15 關於訪問權限特權權限的授予應透過授權流程進行控制，權限申請和審批必須在授予之前完成。此外，也應定期審查這些權限。系統內基於角色和基於使用者的存取權限應以相同方式處理。

在確定哪些使用者和帳戶具有特權存取權時，請不要忘記包括任何管理帳戶或其他可能用於自動化任務的帳戶，例如應用程式使用者帳戶。
出於審計目的，應記錄所有具有特權存取權限的使用者執行的操作。這可以透過 A.8.15 - 日誌記錄中實施的控制措施來實現。

A.8.03 資訊存取限制

此控制措施旨在確保只有授權使用者和帳戶才能存取資訊和資產，並防止未經授權的存取。

首先要確定誰需要存取這些信息，這可以透過資訊分類部分地進行評估。除此之外，還要考慮誰需要存取這些信息，並且只根據最小權限原則授予存取權限。

實施此控制措施時需要考慮以下幾點：

• 確保使用者在存取安全資訊及其儲存位置之前，需要通過身份驗證並擁有適當的授權，例如群組成員資格。您應該考慮如何在應用程式中限制敏感資料（例如個人識別資訊）。應用程式是否提供根據使用者權限隱藏資訊的功能？如有提供，請務必使用！
• 這應該包括配置對這些安全位置的存取權限，以控制存取權限，包括僅允許所需的身分或群組讀取、寫入、刪除和執行操作。
• 對敏感應用程式、應用程式資料或系統進行存取控制，以隔離這些應用程式、資料或系統。僅允許需要使用該系統的人員存取系統及其內部資訊。

A.8.04 - 原始碼存取權限

此控制措施旨在防止引入未經授權的功能，避免無意或惡意更改，並維護您軟體原始碼的機密性，因為原始程式碼是寶貴的智慧財產權。

此控制措施擴展了 A.8.03 中資訊存取的限制控制，專門用於保護對貴公司業務流程中產生的任何原始程式碼及相關工具的存取安全。這包括軟體設計、規格、測試和驗證計劃等文檔，以及軟體開發生命週期 (SDLC) 中使用的工具，例如編譯器、建構器、整合工具、測試環境和平台。

可以透過確保使用原始碼管理系統來控制中央原始碼庫，從而實現這種控制。這應包括建立一套管理原始程式碼和庫存取權限的流程，並根據業務需求授予存取權限。此流程應概述變更控管程序（詳見控制 A.8.32），並且僅在獲得適當授權後才能執行變更。

此外，不應授予開發人員直接修改原始程式碼的權限，而應僅允許透過授權工具進行修改，並且應配置這些工具以確保修改已通過變更控製程式。

與其他大多數變更控製程序一樣，應保留稽核日誌，以確保原始碼變更的可追溯性。

A.8.05 安全認證

此控制措施旨在確保使用者在存取系統和應用程式時能夠安全地進行身份驗證。

存取資訊所需的身份驗證強度應與資訊的分類相符。因此，對於更敏感的數據和系統，應要求更高的身份驗證強度。
當需要強身份驗證或身份驗證時，應使用多因素身份驗證 (MFA)。多因素身份驗證涉及使用額外的驗證因素，例如要求提供您已知的其他信息，或使用其他設備（例如向手機發送短信），或使用身份驗證器應用程式（例如更安全的 Google Authenticator）。

作為多因素身份驗證 (MFA) 控制措施的一部分，您可能需要考慮在授權某些操作或存取應用程式內的資料之前，請要求進行額外的身份驗證。例如，銀行應用程式可能會要求您在轉帳之前輸入來自身份驗證器應用程式或透過簡訊收到的驗證碼，即使您已經造訪了該應用程式。

設計系統登入流程時，應著重降低未經授權存取的風險。應考慮以下幾點：

• 密碼或其他敏感資訊不應以明文顯示在螢幕上，也不應以明文格式透過網路傳輸。
• 任何錯誤訊息都不應向惡意使用者透露哪些資料可能是正確的。例如，顯示用戶密碼錯誤會誤導惡意用戶，讓他們以為用戶名是正確的。
• 防止暴力破解嘗試存取系統，方法是在一定次數的登入失敗後鎖定帳戶。
• 記錄所有登入嘗試，包括成功和失敗的嘗試，並在偵測到潛在的登入控制漏洞時發出安全性警報。例如，如果使用者輸入錯誤密碼的嘗試次數超過一定閾值，或有人透過自動化工具發動DDoS攻擊試圖登錄，系統都會發出警報。
• 限制高風險應用程式的連線時間，以減少未經授權存取的機會視窗。
• 不活躍的會話在不活動後應安全註銷，尤其是在從網路外部或用戶設備上存取系統時。

其他貼文

• 本系列其他文章請見： ISO 27001實施的策略方法
• 閱讀本系列的前一篇：透過控制 A.8.01 加強用戶設備安全
• 閱讀本系列下一篇：優化容量和防禦惡意軟體：控制措施 A.8.06 和 A.8.07 詳解