- Se ISO 27002:2022 Kontroll 8.22 för mer information.
- Se ISO 27001:2013 bilaga A 13.1.3 för mer information.
ISO 27001 Annex A 8.22: Stärka säkerheten genom nätverkssegregation
När cyberbrottslingar infiltrerar datorsystem, tjänster eller enheter, begränsar de sig inte till enbart dessa tillgångar.
De använder den första infiltrationen för att penetrera ett företags hela nätverk, få tillgång till känslig data eller för att utföra ransomware-attacker.
Cyberskurkar kan stjäla inloggningsuppgifterna för HR-personal på ett sjukhus efter en framgångsrik nätfiskeattack, vilket ger dem tillgång till HR-system.
Med hjälp av sin åtkomstpunkt kan angriparna passera nätverket och avslöja nätverk som innehåller konfidentiell patientdata. Detta intrång kan leda till förlust av data, orsaka avbrott i verksamheten eller till och med öppna dörren för en ransomware-attack.
Sjukhuset skulle kunna förhindra obehörig åtkomst till konfidentiell data och minska konsekvenserna av ett intrång genom att använda tekniker för nätverkssegmentering som brandväggar, virtuella nätverk eller serverisolering.
ISO 27001:2022 Annex A 8.22 beskriver hur företag kan tillämpa och bevara lämpliga nätverkssegregationsmetoder för att undvika risker för informationstillgångars tillgänglighet, integritet och konfidentialitet.
Syftet med ISO 27001:2022 bilaga A 8.22
ISO 27001:2022 Annex A 8.22 tillåter organisationer att dela upp sina IT-nätverk i delnätverk beroende på graden av känslighet och betydelse, och att begränsa överföringen av information mellan dessa olika delnätverk.
Organisationer kan använda detta för att stoppa skadlig programvara och virus från att resa från infekterade nätverk till de som innehåller känslig data.
Detta garanterar det organisationer säkra konfidentialitet, integritet och tillgänglighet för datatillgångar som lagras på viktiga undernät.
ISO 27001 på ett enkelt sätt
Ett försprång på 81 % från dag ett
Vi har gjort det hårda arbetet åt dig, vilket ger dig ett försprång på 81 % från det ögonblick du loggar in. Allt du behöver göra är att fylla i tomrummen.
Äganderätt till bilaga A 8.22
Ocuco-landskapet Informationssäkerhetsansvarig bör hållas ansvarig för att följa ISO 27001:2022 bilaga A 8.22, som kräver segmentering av nätverk, enheter och system enligt risker och tillämpning av tekniker och procedurer för nätverkssegregering.
Allmän vägledning om ISO 27001:2022 bilaga A 8.22 Överensstämmelse
Organisationer bör sträva efter att uppnå jämvikt mellan operativa behov och säkerhetsproblem när de inför bestämmelser om nätverkssegregation.
ISO 27001: 2022 Bilaga A Kontroll 8.22 ger tre rekommendationer att ta hänsyn till när du ställer in nätverkssegregering.
Hur man separerar nätverket i mindre undernätverk
När de delar upp nätverket i mindre underdomäner bör organisationer överväga känsligheten och betydelsen av varje nätverksdomän. Beroende på denna bedömning kan nätverksunderdomäner märkas som "public domäner", "skrivbordsdomäner", "serverdomäner" eller "högrisksystem".
Organisationer bör ta hänsyn till affärsavdelningar som HR, marknadsföring och ekonomi i processen att segmentera sitt nätverk.
Organisationer kan också slå samman dessa två kriterier och tilldela nätverkssubdomäner i kategorier som "serverdomän som länkar till försäljningsavdelningen".
Säkerhetsgränser och åtkomstkontroll
Organisationer måste avgränsa gränserna för varje nätverksunderdomän uttryckligen. Om det ska finnas åtkomst mellan två olika nätverksdomäner bör denna anslutning begränsas på perimetrisk nivå genom användning av gateways som brandväggar eller filtrerande routrar.
Organisationer bör utvärdera säkerhetsbehoven för varje domän när de upprättar nätverksseparation och när de beviljar åtkomst via gateways.
Denna bedömning måste utföras i linje med policyn för åtkomstkontroll enligt ISO 27001:2022 bilaga A 5.15, med hänsyn till följande:
- Klassificeringen som tilldelas informationstillgångar är på vilken nivå.
- Vikten av informationen är av största vikt.
- Kostnad och funktionalitet är viktiga faktorer när man bestämmer vilken gateway-teknik som ska användas.
Trådlösa nätverk
ISO 27001: 2022 Bilaga A 8.22 rekommenderar att organisationer följer följande praxis när de skapar nätverkssäkerhetsparametrar för trådlösa nätverk:
- Utvärdera användningen av metoder för justering av radiotäckning för att dela upp trådlösa nätverk.
- För känsliga nätverk kan organisationer ta alla försök till trådlös åtkomst som externa anslutningar och förbjuda åtkomst till interna nätverk tills gatewaykontrollen ger godkännande.
- Personal bör endast använda sina egna enheter i enlighet med organisationens policy; nätverksåtkomsten till personal och gäster bör hållas åtskilda.
- Besökare bör omfattas av samma regler för Wi-Fi-användning som teammedlemmar.
Befria dig från ett berg av kalkylblad
Bädda in, utöka och skala upp er efterlevnad utan krångel. IO ger er motståndskraften och självförtroendet att växa säkert.
Kompletterande vägledning om ISO 27001:2022 bilaga A 8.22
Organisationer bör se till att alla affärspartnerskap är föremål för lämpliga säkerhetsåtgärder. Bilaga A 8.22 råder organisationer att vidta åtgärder för att skydda sina nätverk, IT-enheter och andra informationsfaciliteter när de kontaktar affärspartners.
Nätverk som är känsliga kan utsättas för en ökad risk för obehörig åtkomst. För att skydda sig mot detta bör organisationer vidta lämpliga åtgärder.
Ändringar och skillnader från ISO 27001:2013
ISO 27001:2022 bilaga A 8.22 ersätter ISO 27001:2013 Bilaga A 13.1.3 i den senaste ISO-revisionen.
I jämförelse med ISO 27001:2013 kräver ISO 27001:2022-revisionen följande av trådlösa nätverk:
- Om personalen följer organisationens policy och endast använder sina egna enheter, bör den trådlösa nätverksåtkomst som tillhandahålls för personal och besökare hållas åtskilda.
- Gäster bör omfattas av samma restriktioner och kontroller gällande Wi-Fi som personal.
Tabell över alla ISO 27001:2022 bilaga A kontroller
I tabellen nedan hittar du mer information om varje enskild ISO 27001:2022 Annex A-kontroll.
| Bilaga A Kontrolltyp | ISO/IEC 27001:2022 Bilaga A Identifierare | ISO/IEC 27001:2013 Bilaga A Identifierare | Bilaga A Namn |
|---|---|---|---|
| Organisatoriska kontroller | Bilaga A 5.1 |
Bilaga A 5.1.1 Bilaga A 5.1.2 |
Policyer för informationssäkerhet |
| Organisatoriska kontroller | Bilaga A 5.2 | Bilaga A 6.1.1 | Informationssäkerhetsroller och ansvar |
| Organisatoriska kontroller | Bilaga A 5.3 | Bilaga A 6.1.2 | Uppdelning av arbetsuppgifter |
| Organisatoriska kontroller | Bilaga A 5.4 | Bilaga A 7.2.1 | Ledningsansvar |
| Organisatoriska kontroller | Bilaga A 5.5 | Bilaga A 6.1.3 | Kontakt med myndigheter |
| Organisatoriska kontroller | Bilaga A 5.6 | Bilaga A 6.1.4 | Kontakt med specialintressegrupper |
| Organisatoriska kontroller | Bilaga A 5.7 | NYA | Hotinformation |
| Organisatoriska kontroller | Bilaga A 5.8 |
Bilaga A 6.1.5 Bilaga A 14.1.1 |
Informationssäkerhet i projektledning |
| Organisatoriska kontroller | Bilaga A 5.9 |
Bilaga A 8.1.1 Bilaga A 8.1.2 |
Inventering av information och andra tillhörande tillgångar |
| Organisatoriska kontroller | Bilaga A 5.10 |
Bilaga A 8.1.3 Bilaga A 8.2.3 |
Acceptabel användning av information och andra tillhörande tillgångar |
| Organisatoriska kontroller | Bilaga A 5.11 | Bilaga A 8.1.4 | Återlämnande av tillgångar |
| Organisatoriska kontroller | Bilaga A 5.12 | Bilaga A 8.2.1 | Klassificering av information |
| Organisatoriska kontroller | Bilaga A 5.13 | Bilaga A 8.2.2 | Märkning av information |
| Organisatoriska kontroller | Bilaga A 5.14 |
Bilaga A 13.2.1 Bilaga A 13.2.2 Bilaga A 13.2.3 |
Informationsöverföring |
| Organisatoriska kontroller | Bilaga A 5.15 |
Bilaga A 9.1.1 Bilaga A 9.1.2 |
Åtkomstkontroll |
| Organisatoriska kontroller | Bilaga A 5.16 | Bilaga A 9.2.1 | Identitetshantering |
| Organisatoriska kontroller | Bilaga A 5.17 |
Bilaga A 9.2.4 Bilaga A 9.3.1 Bilaga A 9.4.3 |
Autentiseringsinformation |
| Organisatoriska kontroller | Bilaga A 5.18 |
Bilaga A 9.2.2 Bilaga A 9.2.5 Bilaga A 9.2.6 |
Åtkomsträttigheter |
| Organisatoriska kontroller | Bilaga A 5.19 | Bilaga A 15.1.1 | Informationssäkerhet i leverantörsrelationer |
| Organisatoriska kontroller | Bilaga A 5.20 | Bilaga A 15.1.2 | Adressering av informationssäkerhet inom leverantörsavtal |
| Organisatoriska kontroller | Bilaga A 5.21 | Bilaga A 15.1.3 | Hantera informationssäkerhet i ICT Supply Chain |
| Organisatoriska kontroller | Bilaga A 5.22 |
Bilaga A 15.2.1 Bilaga A 15.2.2 |
Övervakning, granskning och förändringshantering av leverantörstjänster |
| Organisatoriska kontroller | Bilaga A 5.23 | NYA | Informationssäkerhet för användning av molntjänster |
| Organisatoriska kontroller | Bilaga A 5.24 | Bilaga A 16.1.1 | Informationssäkerhet Incident Management Planering och förberedelse |
| Organisatoriska kontroller | Bilaga A 5.25 | Bilaga A 16.1.4 | Bedömning och beslut om informationssäkerhetshändelser |
| Organisatoriska kontroller | Bilaga A 5.26 | Bilaga A 16.1.5 | Svar på informationssäkerhetsincidenter |
| Organisatoriska kontroller | Bilaga A 5.27 | Bilaga A 16.1.6 | Lär dig av informationssäkerhetsincidenter |
| Organisatoriska kontroller | Bilaga A 5.28 | Bilaga A 16.1.7 | Insamling av bevis |
| Organisatoriska kontroller | Bilaga A 5.29 |
Bilaga A 17.1.1 Bilaga A 17.1.2 Bilaga A 17.1.3 |
Informationssäkerhet under avbrott |
| Organisatoriska kontroller | Bilaga A 5.30 | NYA | IKT-beredskap för affärskontinuitet |
| Organisatoriska kontroller | Bilaga A 5.31 |
Bilaga A 18.1.1 Bilaga A 18.1.5 |
Juridiska, lagstadgade, regulatoriska och avtalsmässiga krav |
| Organisatoriska kontroller | Bilaga A 5.32 | Bilaga A 18.1.2 | Immateriella rättigheter |
| Organisatoriska kontroller | Bilaga A 5.33 | Bilaga A 18.1.3 | Skydd av register |
| Organisatoriska kontroller | Bilaga A 5.34 | Bilaga A 18.1.4 | Integritet och skydd av PII |
| Organisatoriska kontroller | Bilaga A 5.35 | Bilaga A 18.2.1 | Oberoende granskning av informationssäkerhet |
| Organisatoriska kontroller | Bilaga A 5.36 |
Bilaga A 18.2.2 Bilaga A 18.2.3 |
Efterlevnad av policyer, regler och standarder för informationssäkerhet |
| Organisatoriska kontroller | Bilaga A 5.37 | Bilaga A 12.1.1 | Dokumenterade driftprocedurer |
| Bilaga A Kontrolltyp | ISO/IEC 27001:2022 Bilaga A Identifierare | ISO/IEC 27001:2013 Bilaga A Identifierare | Bilaga A Namn |
|---|---|---|---|
| Människor kontroller | Bilaga A 6.1 | Bilaga A 7.1.1 | Screening |
| Människor kontroller | Bilaga A 6.2 | Bilaga A 7.1.2 | Villkor för anställning |
| Människor kontroller | Bilaga A 6.3 | Bilaga A 7.2.2 | Informationssäkerhetsmedvetenhet, utbildning och träning |
| Människor kontroller | Bilaga A 6.4 | Bilaga A 7.2.3 | Disciplinär process |
| Människor kontroller | Bilaga A 6.5 | Bilaga A 7.3.1 | Ansvar efter uppsägning eller byte av anställning |
| Människor kontroller | Bilaga A 6.6 | Bilaga A 13.2.4 | Sekretess- eller sekretessavtal |
| Människor kontroller | Bilaga A 6.7 | Bilaga A 6.2.2 | Fjärrarbete |
| Människor kontroller | Bilaga A 6.8 |
Bilaga A 16.1.2 Bilaga A 16.1.3 |
Händelserapportering för informationssäkerhet |
| Bilaga A Kontrolltyp | ISO/IEC 27001:2022 Bilaga A Identifierare | ISO/IEC 27001:2013 Bilaga A Identifierare | Bilaga A Namn |
|---|---|---|---|
| Fysiska kontroller | Bilaga A 7.1 | Bilaga A 11.1.1 | Fysiska säkerhetsområden |
| Fysiska kontroller | Bilaga A 7.2 |
Bilaga A 11.1.2 Bilaga A 11.1.6 |
Fysisk inträde |
| Fysiska kontroller | Bilaga A 7.3 | Bilaga A 11.1.3 | Säkra kontor, rum och faciliteter |
| Fysiska kontroller | Bilaga A 7.4 | NYA | Fysisk säkerhetsövervakning |
| Fysiska kontroller | Bilaga A 7.5 | Bilaga A 11.1.4 | Skydd mot fysiska och miljömässiga hot |
| Fysiska kontroller | Bilaga A 7.6 | Bilaga A 11.1.5 | Arbeta i säkra områden |
| Fysiska kontroller | Bilaga A 7.7 | Bilaga A 11.2.9 | Clear Desk och Clear Screen |
| Fysiska kontroller | Bilaga A 7.8 | Bilaga A 11.2.1 | Utrustningsplacering och skydd |
| Fysiska kontroller | Bilaga A 7.9 | Bilaga A 11.2.6 | Säkerhet för tillgångar utanför lokaler |
| Fysiska kontroller | Bilaga A 7.10 |
Bilaga A 8.3.1 Bilaga A 8.3.2 Bilaga A 8.3.3 Bilaga A 11.2.5 |
Förvarings media |
| Fysiska kontroller | Bilaga A 7.11 | Bilaga A 11.2.2 | Stöd till verktyg |
| Fysiska kontroller | Bilaga A 7.12 | Bilaga A 11.2.3 | Kabelsäkerhet |
| Fysiska kontroller | Bilaga A 7.13 | Bilaga A 11.2.4 | Utrustningsunderhåll |
| Fysiska kontroller | Bilaga A 7.14 | Bilaga A 11.2.7 | Säker kassering eller återanvändning av utrustning |
| Bilaga A Kontrolltyp | ISO/IEC 27001:2022 Bilaga A Identifierare | ISO/IEC 27001:2013 Bilaga A Identifierare | Bilaga A Namn |
|---|---|---|---|
| Tekniska kontroller | Bilaga A 8.1 |
Bilaga A 6.2.1 Bilaga A 11.2.8 |
Användarens slutpunktsenheter |
| Tekniska kontroller | Bilaga A 8.2 | Bilaga A 9.2.3 | Privilegerade åtkomsträttigheter |
| Tekniska kontroller | Bilaga A 8.3 | Bilaga A 9.4.1 | Begränsning av informationsåtkomst |
| Tekniska kontroller | Bilaga A 8.4 | Bilaga A 9.4.5 | Tillgång till källkod |
| Tekniska kontroller | Bilaga A 8.5 | Bilaga A 9.4.2 | Säker autentisering |
| Tekniska kontroller | Bilaga A 8.6 | Bilaga A 12.1.3 | Kapacitetshantering |
| Tekniska kontroller | Bilaga A 8.7 | Bilaga A 12.2.1 | Skydd mot skadlig programvara |
| Tekniska kontroller | Bilaga A 8.8 |
Bilaga A 12.6.1 Bilaga A 18.2.3 |
Hantering av tekniska sårbarheter |
| Tekniska kontroller | Bilaga A 8.9 | NYA | Systemintegration |
| Tekniska kontroller | Bilaga A 8.10 | NYA | Informationsradering |
| Tekniska kontroller | Bilaga A 8.11 | NYA | Datamaskning |
| Tekniska kontroller | Bilaga A 8.12 | NYA | Förebyggande av dataläckage |
| Tekniska kontroller | Bilaga A 8.13 | Bilaga A 12.3.1 | Backup av information |
| Tekniska kontroller | Bilaga A 8.14 | Bilaga A 17.2.1 | Redundans av informationsbehandlingsanläggningar |
| Tekniska kontroller | Bilaga A 8.15 |
Bilaga A 12.4.1 Bilaga A 12.4.2 Bilaga A 12.4.3 |
Loggning |
| Tekniska kontroller | Bilaga A 8.16 | NYA | Övervakningsaktiviteter |
| Tekniska kontroller | Bilaga A 8.17 | Bilaga A 12.4.4 | Klocksynkronisering |
| Tekniska kontroller | Bilaga A 8.18 | Bilaga A 9.4.4 | Användning av privilegierade verktygsprogram Åtkomsträttigheter |
| Tekniska kontroller | Bilaga A 8.19 |
Bilaga A 12.5.1 Bilaga A 12.6.2 |
Installation av programvara på operativa system |
| Tekniska kontroller | Bilaga A 8.20 | Bilaga A 13.1.1 | Nätverkssäkerhet |
| Tekniska kontroller | Bilaga A 8.21 | Bilaga A 13.1.2 | Säkerhet för nätverkstjänster |
| Tekniska kontroller | Bilaga A 8.22 | Bilaga A 13.1.3 | Segregering av nätverk |
| Tekniska kontroller | Bilaga A 8.23 | NYA | Webbfiltrering |
| Tekniska kontroller | Bilaga A 8.24 |
Bilaga A 10.1.1 Bilaga A 10.1.2 |
Användning av kryptografi |
| Tekniska kontroller | Bilaga A 8.25 | Bilaga A 14.2.1 | Säker utvecklingslivscykel |
| Tekniska kontroller | Bilaga A 8.26 |
Bilaga A 14.1.2 Bilaga A 14.1.3 |
Programsäkerhetskrav |
| Tekniska kontroller | Bilaga A 8.27 | Bilaga A 14.2.5 | Principer för säker systemarkitektur och teknikLärdomar från informationssäkerhetsincidenter |
| Tekniska kontroller | Bilaga A 8.28 | NYA | Säker kodning |
| Tekniska kontroller | Bilaga A 8.29 |
Bilaga A 14.2.8 Bilaga A 14.2.9 |
Säkerhetstestning i utveckling och acceptans |
| Tekniska kontroller | Bilaga A 8.30 | Bilaga A 14.2.7 | Outsourcad utveckling |
| Tekniska kontroller | Bilaga A 8.31 |
Bilaga A 12.1.4 Bilaga A 14.2.6 |
Separation av utvecklings-, test- och produktionsmiljöer |
| Tekniska kontroller | Bilaga A 8.32 |
Bilaga A 12.1.2 Bilaga A 14.2.2 Bilaga A 14.2.3 Bilaga A 14.2.4 |
Change Management |
| Tekniska kontroller | Bilaga A 8.33 | Bilaga A 14.3.1 | Testinformation |
| Tekniska kontroller | Bilaga A 8.34 | Bilaga A 12.7.1 | Skydd av informationssystem under revisionstestning |
Hur ISMS.online Hjälp
ISMS.Online underlättar för dig att:
- Dokument bearbetas enkelt med detta användarvänliga gränssnitt. Ingen mjukvaruinstallation krävs på din dator eller nätverk.
- Effektivisera din riskbedömningsprocedur genom att automatisera den.
- Uppnå enkelt efterlevnad genom att använda onlinerapporter och checklistor.
- Håll ett register över din utveckling medan du arbetar mot certifiering.
ISMS.online tillhandahåller en omfattande uppsättning funktioner för att hjälpa organisationer och företag att möta branschen ISO 27002 och/eller ISO 27001:2022 ISMS-standard.
Ta kontakt med oss för att anordna en demonstration.