Za tvrtke Za privatne korisnike
Stručne informacije / ISO 27001

Password Depot Enterprise Server & ISO 27001

Tehnički provedena kontrola pristupa, snažna autentifikacija i sigurnost revizije za vaš ISMS.

Napomena: Na ovoj se stranici objašnjava kako Password Depot Enterprise Server podržava vaš ISMS i vaše zahtjeve norme ISO/IEC 27001. Informacije o ISO/IEC-27001 certifikacija tvrtke AceBIT GmbH možete zasebno pronaći u Trust Centeru.

ISO/IEC 27001:2022 certifikacija zahtijeva učinkovite mjere za kontrolu pristupa, upravljanje podacima za autentifikaciju i za sljedivost događaja. Upravo tu nastupa Password Depot Enterprise Server: centralizira prava pristupa, provodi pravila za lozinke, bilježi sigurnosno relevantne aktivnosti i integrira se u postojeća rješenja za upravljanje identitetima i nadzor.

Prilog A norme ISO/IEC 27001:2022 obuhvaća 93 kontrole, od kojih se brojne izravno odnose na upravljanje lozinkama i pristupom (uklj. A.5.15, A.5.16, A.5.17, A.5.18, A.8.2, A.8.3, A.8.5, A.8.15). S pomoću Password Depot-a ti se zahtjevi mogu tehnički ispravno implementirati i dokazati na revizijski siguran način.

Na prvi pogled – ISO-relevantne značajke Enterprise Servera:
  • Središnja pravila za lozinke i provjera kvalitete (uklj. kompromitirane lozinke)
  • Kontrola pristupa temeljena na ulogama i grupama (RBAC) sve do razine mapa/unosa
  • Snažna autentifikacija: 2FA (TOTP/e-pošta), FIDO2/WebAuthn, SSO (IWA/Azure AD/OIDC)
  • Šifriranje: baze podataka s AES-256 u mirovanju; prijenos putem TLS 1.2/1.3
  • Audit logovi (uklj. Remote-Syslog) i izvješća za korisnike, grupe, baze podataka
  • Opcija „druga lozinka” na razini baze podataka (načelo četiri oka)

Relevantne kontrole norme ISO 27001:2022 i implementacija uz Password Depot

A.5.15 – Kontrola pristupa

Zahtjev: Pravila za fizički i logički pristup informacijama i sredstvima za obradu informacija.

Implementacija: Prava temeljena na ulogama i grupama s granularnim upravljanjem sve do razine unosa. Administratori definiraju korisnike/grupe, dodjeljuju prava čitanja/pisanja/admin prava i tako provode Least-Privilege-Prinzip. Zahvaljujući integraciji s Active Directory-/Azure-AD-om i SSO održavaju identitete dosljednima.

A.5.17 – Autentifikacijske informacije

Zahtjev: Dodjela i upravljanje autentifikacijskim informacijama putem formalnog procesa.

Provedba: Konfigurabilne politike lozinki (duljina, skupovi znakova, povijest) i sigurnosna provjera protiv kompromitiranih lozinki (Pwned usluga, k-anonimnost). Snažna prijava putem 2FA (TOTP/E-mail) i FIDO2/WebAuthn; dodjela/reset putem AD/Azure AD procesa.

A.5.18 – Prava pristupa

Zahtjev: Omogućiti, provjeravati, prilagođavati i ukidati prava pristupa.

Provedba: Centralizirano upravljanje životnim ciklusom prava putem grupa/dodjela, brzo blokiranje pri offboardingu i revizijska sljedivost putem zapisnika poslužitelja i izvještaja.

Ključne sigurnosne funkcije za ISO usklađenost

ISO 27001 AnforderungPassword Depot FeatureCompliance‑Nutzen
A.8.2
Privilegierte Zugriffsrechte		Server‑Rollen (z. B. Server/DB/Account/Group Admin), optional zweites Kennwort (Vier‑Augen)Saubere Trennung privilegierter Aufgaben, Nachvollziehbarkeit
A.8.3
Informationszugriffsbeschränkung		Verschlüsselte Server‑Datenbanken (AES‑256) + BerechtigungsmatrixSchutz vor unbefugtem Zugriff
A.8.5
Sichere Authentifizierung		2FA (TOTP/E‑Mail), FIDO2/WebAuthn, SSO (IWA/Azure AD/OIDC)Erhöhte Sicherheit & klare Identitätsbindung
A.8.9
Konfigurationsmanagement		Versionen/Änderungshistorie auf Eintragsebene, Server‑LogsNachvollziehbarkeit von Änderungen
A.8.10
Informationslöschung		Sicheres Löschen externer Dateien (mehrfaches Überschreiben)Regelkonforme Datenlöschung außerhalb der DB
A.8.15
Protokollierung		Audit‑Logs im Server; Live‑Export via Syslog (RFC‑5424) an SIEMBeweise für Audits, zentrales Monitoring/IR

Praktična implementacija u ISMS-u

  1. Analiza rizika: Identificirati kritične sustave/račune. U Password Depot moguće je grupirati unose, označiti ih atributima/„važnošću” i tako ih prioritizirati prema potrebnoj razini zaštite.
  2. Definicija pravila: Definirati politike lozinki u skladu s normama ISO 27001 i NIST 800–63B; Password Depot tehnički provodi minimalne zahtjeve (kvaliteta, ponovna upotreba, HIBP provjera).
  3. Uvođenje i obuka: Koristiti AD/Azure–AD–Sync, nametnuti SSO/2FA, uvoditi postupno u kritičnim područjima.
  4. Kontinuirano nadziranje: Redovito provoditi sigurnosne provjere (kompromitirane lozinke), provjeravati zapisnike poslužitelja, izvoziti izvješća, provoditi revizije prava pristupa.
Priprema za audit uz Password Depot (praktično):
  • Poslužiteljska–izvješća za korisnike, grupe, korisnike u grupama, baze podataka poslužitelja izvesti
  • Audit–zapisnike (lokalno ili putem Remote–Syslog) sačuvati kao dokaze
  • Politike lozinki dokumentirati (definicija i tehnička provedba)
  • Sigurnosnu provjeru i revizije pristupa redovito provoditi i evidentirati

Napomena: Ne postoji namjenski „ISO–27001–Audit–Report” u izborniku – gore navedena izvješća/zapisnici služe kao auditni dokazi.

Dodana vrijednost za ISO–27001 certifikaciju

1. Dokaziva kontrola: Poslužitelj bilježi sigurnosno relevantne radnje (prijave, promjene, prava). Putem Syslog izvoza događaji se mogu centralno korelirati (A.8.15).

2. Tehnička provedba usklađenosti: Provode se pravila za kvalitetu lozinki i njihovu ponovnu upotrebu; otkrivaju se kompromitirane lozinke i mogu se blokirati (A.5.17).

3. Poslovni kontinuitet: Šifrirana pohrana podataka, TLS prijenos, sigurnosne kopije poslužitelja i klijent–Offline način rada podržavaju zahtjeve za A.5.29 – Informacijska sigurnost pri poremećajima.

Integracija u vašu sigurnosnu arhitekturu

  • Active Directory/Azure AD/LDAP: SSO i centralno upravljanje korisnicima (A.5.16)
  • SIEM: Izvoz poslužiteljskih logova u stvarnom vremenu putem Sysloga (RFC 5424, UDP) za nadzor i incident response (A.5.24–A.5.28, A.8.15)
  • ITSM/Ticketing: Automatizacije (npr. resetiranje lozinki) putem REST API moguće za implementaciju
  • Backupi: Redovito planirati sigurnosne kopije poslužitelja i pohraniti ih na strani poduzeća zaštićeno (npr. šifrirano) – odgovara A.8.13 „Information Backup“

Ograničenja (koja biste trebali znati)

  • Nema nativnog cjelovitog izvještaja za ISO 27001 audit – dokazi se osiguravaju putem logova/standardnih izvještaja.
  • Nema integriranog workflowa odobravanja („odobrenje od strane dvije osobe“) za secrets: zaštita po načelu četiri oka moguća je putem druge lozinke na razini baze podataka; napredniji workflowi zahtijevaju sustave trećih strana odnosno API automatizaciju.
  • Enkripcija podataka u prijenosu: Prijenos se temelji na TLS-u (ne paušalno „AES-256 in-transit“). AES-256 odnosi se na enkripciju baze podataka u mirovanju.

Zaključak: Password Depot Enterprise Server je učinkovit tehnički gradivni element za usklađenost s ISO 27001: centralno upravljanje pravima, snažna autentifikacija, sigurna enkripcija, mogućnost audita i povezivanje sa SIEM-om. U kombinaciji s vašim ISMS-om (uloge, procesi, dokazi) ubrzava certifikaciju – bez marketinških fraza.

Dodatni izvori

Upravljanje lozinkama usklađeno s normom ISO 27001

Saznajte kako Password Depot Enterprise Server podržava vaš ISMS.

Otkrijte Enterprise Server