ISO 27002:2022 – Contrôle 8.5 – Authentification sécurisée

Objectif du contrôle 8.5

L'authentification sécurisée est la principale méthode utilisée par les utilisateurs humains et non humains lorsqu'ils tentent d'utiliser les actifs TIC d'une organisation.

Au cours de la dernière décennie, la technologie d'authentification a subi un changement fondamental, passant des validations traditionnelles basées sur le nom d'utilisateur/mot de passe à une variété de techniques complémentaires impliquant des informations biométriques, des contrôles d'accès logiques et physiques, des authentifications d'appareils externes, des codes SMS et des mots de passe à usage unique (OTP).

27002:2022-8.5 met tout cela en contexte et conseille les organisations sur la manière précise dont elles devraient être contrôler l’accès à leurs systèmes et actifs TIC via une passerelle de connexion sécurisée.

Le contrôle 8.5 est un contrôle préventif qui maintient le risque en mettant en œuvre la technologie et en établissant des procédures d'authentification sécurisées spécifiques à un sujet qui garantissent que les utilisateurs et les identités humains et non humains sont soumis à une procédure d'authentification robuste et sécurisée lorsqu'ils tentent d'accéder aux ressources TIC.

Attributs Table de contrôle 8.5

Propriété du contrôle 8.5

Control 8.5 traite de la capacité d'une organisation à contrôler l'accès à son réseau (et aux informations et données qu'il contient) aux carrefours critiques, tels qu'une passerelle de connexion.

Même si le contrôle traite de la sécurité des informations et des données dans un concept plus large, les orientations opérationnelles sont avant tout de nature technique.

En tant que tel, la propriété doit appartenir au responsable informatique (ou à son équivalent organisationnel), qui détient responsabilité des fonctions d'administration informatique quotidiennes de l'organisation.

Orientations générales sur le contrôle 8.5

Le contrôle 8.5 demande aux organisations d'envisager des contrôles d'authentification adaptés au type et à la sensibilité des données et du réseau auxquels vous accédez, notamment :

• Authentification multifacteur (MFA)
• Certificats numériques
• Contrôles d'accès intelligents (cartes à puce)
• Connexions biométriques
• Jetons sécurisés

L'objectif primordial des contrôles d'authentification sécurisés d'une organisation devrait être de prévenir et/ou minimiser le risque d’accès non autorisé à ses systèmes protégés.

Pour y parvenir, Control 8.5 présente 12 points d’orientation principaux. Les organisations devraient :

1. Restreindre l’affichage des informations jusqu’à une tentative d’authentification réussie.
2. Affichez un avertissement de pré-connexion qui indique clairement que les informations ne doivent être accessibles qu'aux utilisateurs autorisés.
3. Réduire au minimum l'assistance qu'il fournit aux utilisateurs non authentifiés qui tentent d'accéder au système. Par exemple, les organisations ne doivent pas divulguer quelle partie spécifique d'une tentative de connexion est incorrecte, comme un aspect biométrique d'une connexion MFA, et plutôt indiquer simplement que la tentative de connexion a échoué. .
4. Validez la tentative de connexion uniquement lorsque toutes les informations requises ont été fournies au service de connexion, pour maintenir la sécurité.
5. Mettez en œuvre des mesures de sécurité conformes aux normes de l'industrie qui protègent contre l'accès généralisé et/ou les attaques par force brute sur les portails de connexion. Ces mesures peuvent inclure :
• Contrôles CAPTCHA
• Application d'une réinitialisation du mot de passe après un nombre défini de tentatives de connexion infructueuses
• Empêcher d'autres tentatives de connexion après un nombre prédéfini de tentatives infructueuses
6. Enregistrer toutes les tentatives de connexion échouées pour à des fins d'audit et de sécurité, y compris leur utilisation dans le cadre de procédures pénales et/ou réglementaires.
7. Lancer un incident de sécurité chaque fois qu'une divergence de connexion majeure est détectée, telle qu'une intrusion perçue. Dans ces cas, tout le personnel interne concerné doit être informé, en particulier ceux disposant d'un accès administrateur système ou de toute capacité à lutter contre les tentatives de connexion malveillantes.
8. Lors de la validation d'une connexion, relayez certaines informations vers une source de données distincte répertoriant :
• La date et l'heure de la précédente connexion réussie
• Une liste de toutes les tentatives de connexion depuis la dernière connexion validée
9. Afficher les mots de passe sous forme d'astérisques (ou de symboles abstraits similaires), lorsqu'il n'y a pas de nécessité pressante de ne pas le faire (par exemple, accessibilité des utilisateurs).
10. Interdire strictement le partage ou l’affichage des mots de passe sous forme de texte clair et lisible.
11. Maintenez une politique consistant à mettre fin aux sessions de connexion inactives après une période de temps spécifique. Ceci est particulièrement pertinent pour les sessions actives dans des emplacements à haut risque (environnements de travail à distance) ou sur des actifs fournis par l'utilisateur tels que des ordinateurs portables personnels ou des téléphones mobiles.
12. Limiter la durée pendant laquelle une session authentifiée peut rester ouverte – même lorsqu'elle est active – par rapport aux informations auxquelles vous accédez (c'est-à-dire les informations critiques pour l'entreprise ou les applications financièrement sensibles).

Conseils – Connexions biométriques

L'ISO recommande qu'en raison d'un certain nombre de facteurs liés à l'efficacité et à l'intégrité des processus de connexion biométrique par rapport aux mesures traditionnelles (mots de passe, MFA, jetons, etc.), les méthodes d'authentification biométrique ne doit pas être utilisé isolément, et accompagné d'au moins une autre technique de connexion.

Modifications et différences par rapport à la norme ISO 27002:2013

27002:2022-8.5 remplace 27002:2014-9.4.2 (Procédures de connexion sécurisées).

27002:2022-8.5 contient le les mêmes 12 points d’orientation que son homologue de 2013, avec des ajustements mineurs dans la formulation, et suit le même ensemble de principes de sécurité sous-jacents.

Conformément à l'essor des technologies MFA et de connexion biométrique au cours de la dernière décennie, 27002:2022-8.5 contient des conseils explicites sur l'utilisation des deux techniques que les organisations devraient prendre en compte lors de la formulation de leur propre ensemble de contrôles de connexion.

Nouveaux contrôles ISO 27002

Comment ISMS.online vous aide

Notre plateforme basée sur le cloud vous offre un cadre robuste de contrôles de sécurité des informations afin que vous puissiez liste de contrôle de votre processus ISMS au fur et à mesure, pour vous assurer qu'il répond aux exigences de la norme ISO 27000k. Utilisé correctement, ISMS. en ligne peut vous aider à obtenir la certification avec le strict minimum de temps et de ressources.

Contactez-nous dès aujourd'hui pour réserver une démo.