Know-how / ISO 27001

Password Depot Enterprise Server & ISO 27001

Teknisk håndhævet adgangskontrol, stærk autentificering og audit-klar logning til dit ISMS.

Bemærk: Denne side forklarer, hvordan Password Depot Enterprise Server understøtter dit ISMS og dine ISO/IEC 27001-krav. Oplysninger om ISO/IEC 27001-certificeringen af AceBIT GmbH finder du separat i Trust Center.

ISO/IEC 27001:2022-certificeringen kræver effektive foranstaltninger til adgangskontrol, håndtering af autentificeringsoplysninger og sporbarhed af hændelser. Det er præcis her Password Depot Enterprise Server kommer ind: Den centraliserer rettigheder, håndhæver adgangskodepolitikker, logfører sikkerhedsrelevante aktiviteter og integrerer med eksisterende identitets- og overvågningsløsninger.

Anneks A i ISO/IEC 27001:2022 omfatter 93 kontroller, hvoraf mange direkte vedrører adgangskode- og adgangsstyring (bl.a. A.5.15, A.5.16, A.5.17, A.5.18, A.8.2, A.8.3, A.8.5, A.8.15). Med Password Depot kan disse krav implementeres teknisk robust og dokumenteres revisionssikkert.

Overblik – ISO-relevante funktioner i Enterprise Server:
  • Centrale adgangskodepolitikker & kvalitetskontrol (inkl. kompromitterede adgangskoder)
  • Rolle- og gruppebaseret adgangskontrol (RBAC) ned til mappe-/postniveau
  • Stærk autentificering: 2FA (TOTP/e-mail), FIDO2/WebAuthn, SSO (IWA/Azure AD/OIDC)
  • Kryptering: databaser med AES‑256 i hvile; transport via TLS 1.2/1.3
  • Auditlogfiler (inkl. fjern-syslog) & rapporter for brugere, grupper, databaser
  • Valgfrit "andet kodeord" på databaseniveau (fire-øjne-princip)

Relevante ISO 27001:2022-kontroller og implementering med Password Depot

A.5.15 – Adgangskontrol

Krav: Regler for fysisk og logisk adgang til informationer og informationsbehandlingsfaciliteter.

Implementering: Rolle- og gruppebaserede rettigheder med granulær kontrol ned til postniveau. Administratorer definerer brugere/grupper, tildeler læse-/skrive-/admin-rettigheder og håndhæver dermed princippet om mindst mulig adgang. Takket være Active Directory/Azure AD-integration og SSO forbliver identiteter konsistente.

A.5.17 – Autentificeringsoplysninger

Krav: Tildeling og håndtering af autentificeringsoplysninger via en formel proces.

Implementering: Konfigurerbare adgangskodepolitikker (længde, tegnsæt, historik) og et sikkerhedstjek mod lækkede adgangskoder (Pwned-tjeneste, k‑anonymitet). Stærkt login via 2FA (TOTP/e-mail) og FIDO2/WebAuthn; tildeling/nulstilling via AD/Azure AD-processer.

A.5.18 – Adgangsrettigheder

Krav: Tildeling, gennemgang, tilpasning og tilbagetrækning af adgangsrettigheder.

Implementering: Central livscyklusstyring af rettigheder via grupper/tildelinger, hurtig deaktivering ved offboarding og revisionssikkerhed via serverlogfiler og rapporter.

Kritiske sikkerhedsfunktioner til ISO-overholdelse

ISO 27001-krav Password Depot-funktion Compliance-fordel
A.8.2
Privilegerede adgangsrettigheder		 Serverroller (f.eks. server/DB/konto/gruppe-admin), valgfrit andet kodeord (fire øjne) Ren adskillelse af privilegerede opgaver, sporbarhed
A.8.3
Informationsadgangsbegrænsning		 Krypterede serverdatabaser (AES‑256) + rettighedsmatrix Beskyttelse mod uautoriseret adgang
A.8.5
Sikker autentificering		 2FA (TOTP/e-mail), FIDO2/WebAuthn, SSO (IWA/Azure AD/OIDC) Forbedret sikkerhed & klar identitetsbinding
A.8.9
Konfigurationsstyring		 Versioner/ændringshistorik på postniveau, serverlogfiler Sporbarhed af ændringer
A.8.10
Informationssletning		 Sikker sletning af eksterne filer (flere overskrivninger) Standardkonforme datasletning uden for DB
A.8.15
Logning		 Auditlogfiler på serveren; live-eksport via syslog (RFC‑5424) til SIEM Beviser til audits, central overvågning/IR

Praktisk implementering i ISMS

  1. Risikoanalyse: Identificer kritiske systemer/konti. I Password Depot kan poster grupperes, tagges med attributter/„vigtighed" og dermed prioriteres efter beskyttelsesbehov.
  2. Politikdefinition: Definer adgangskodepolitikker i overensstemmelse med ISO 27001 & NIST 800‑63B; Password Depot håndhæver teknisk minimumskrav (kvalitet, genbrug, HIBP-tjek).
  3. Udrulning & uddannelse: Brug AD/Azure AD-synkronisering, håndhæv SSO/2FA, rul trinvist ud i kritiske områder.
  4. Løbende overvågning: Kør regelmæssige sikkerhedstjek (kompromitterede adgangskoder), gennemgå serverlogfiler, eksporter rapporter, udfør periodiske adgangsgennemgange.
Audit-forberedelse med Password Depot (praktisk):
  • Eksporter server-rapporter for brugere, grupper, brugere i grupper, serverdatabaser
  • Gem auditlogfiler (lokalt eller via fjern-syslog) som beviser
  • Dokumenter adgangskodepolitikker (definition & teknisk håndhævelse)
  • Kør sikkerhedstjek og adgangsgennemgange regelmæssigt og log resultaterne

Bemærk: Der er ingen dedikeret „ISO‑27001 auditrapport" i menuen – de ovennævnte rapporter/logfiler tjener som auditbeviser.

Merværdi for ISO‑27001-certificering

1. Påviselig kontrol: Serveren logger sikkerhedsrelevante handlinger (logins, ændringer, rettigheder). Via syslog-eksport kan hændelser korreleres centralt (A.8.15).

2. Teknisk håndhævelse af compliance: Politikker for adgangskodekvalitet og -genbrug håndhæves; lækkede adgangskoder opdages og kan blokeres (A.5.17).

3. Forretningskontinuitet: Krypteret datalagring, TLS-transport, serverbackups og klientens offline-tilstand understøtter kravene i A.5.29 – Informationssikkerhed ved forstyrrelser.

Integration i din sikkerhedsarkitektur

  • Active Directory/Azure AD/LDAP: SSO og central brugerstyring (A.5.16)
  • SIEM: Realtidseksport af serverlogfiler via syslog (RFC 5424, UDP) til overvågning & hændelsesrespons (A.5.24–A.5.28, A.8.15)
  • ITSM/Ticketing: Automatiseringer (f.eks. nulstilling af adgangskoder) kan implementeres via REST API
  • Backups: Planlæg regelmæssige serverbackups og opbevar dem beskyttet på virksomhedsniveau (f.eks. krypteret) – svarer til A.8.13 „Informationsbackup"

Begrænsninger du bør kende

  • Ingen native komplet ISO‑27001 auditrapport – beviser leveres via logfiler/standardrapporter.
  • Ingen integreret godkendelsesworkflow („to-persons godkendelse") til hemmeligheder: fire-øjne-beskyttelse er mulig via andet kodeord på databaseniveau; mere avancerede workflows kræver tredjepartssystemer eller API-automatisering.
  • In-transit kryptering: Transport er TLS-baseret (ikke generisk „AES‑256 i transit"). AES‑256 refererer til databasekryptering i hvile.

Konklusion: Password Depot Enterprise Server er en effektiv teknisk byggesten til ISO‑27001-overholdelse: central rettighedsstyring, stærk autentificering, sikker kryptering, auditevne og SIEM-integration. I kombination med dit ISMS (roller, processer, beviser) accelererer det certificeringen – uden marketingfloskler.

Yderligere ressourcer

ISO 27001-kompatibel adgangskodehåndtering

Opdag, hvordan Password Depot Enterprise Server understøtter dit ISMS.

Opdag Enterprise Server