ISO 27001:2022 Bilaga A Kontroll 8.15

Vägledning om händelselogginformation

En händelse är varje aktivitet som utförs av en fysisk eller logisk enhet på ett datorsystem, såsom en begäran om data, fjärrinloggning, automatisk avstängning av systemet eller radering av en fil.

ISO 27001:2022 Annex A 8.15 anger att för att varje händelselogg ska uppfylla sitt syfte måste den innehålla fem huvudkomponenter:

• Användar-ID som är kopplat till personen.
• Systemaktivitet kan övervakas för att identifiera vad som hände.
• Vid ett visst datum och tid inträffade en händelse.
• Händelsen ägde rum på enheten/systemet och dess plats identifierades.
• Nätverksadresser och protokoll – IP-information.

Vägledning om evenemangstyper

Det är kanske inte möjligt att logga alla händelser på ett nätverk av praktiska skäl. Att logga varje händelse kanske inte är genomförbart.

ISO 27001:2022 Annex A 8.15 specificerar tio händelser som bör loggas, eftersom de kan påverka risker och upprätthålla en lämplig nivå av informationssäkerhet:

1. Systemåtkomstförsök kommer att spåras och övervakas.
2. Försök att komma åt data och/eller resurser kommer att övervakas. All sådan aktivitet som ses som misstänkt kommer att rapporteras.
3. System/OS-konfigurationsändringar.
4. Användningen av privilegier på hög nivå.
5. Använd verktygsprogram eller underhållsanläggningar (enligt ISO 27001:2022 bilaga A 8.18).
6. Begäran om filåtkomst, med raderingar, migrering, etc.
7. Åtkomstkontroll larm och viktiga avbrott.
8. Aktivering och/eller inaktivering av front- och backend-säkerhetssystem, t.ex. antivirusprogram på klientsidan och brandväggsskydd.
9. Identitetsadministration.
10. Vissa åtgärder eller ändringar av systemet/data som gjorts under en session i en applikation.

Som ISO 27001:2022 bilaga A 8.17 beskriver, är det viktigt att se till att alla loggar synkroniseras till samma tidskälla (eller källor) och, i händelse av tredjepartsapplikationsloggar, måste eventuella tidsavvikelser åtgärdas och dokumenteras.

Vägledning om loggskydd

Loggar är det mest grundläggande sättet att fastställa användar-, system- och applikationsaktivitet på ett nätverk, särskilt när undersökningar pågår.

Det är viktigt för organisationer att garantera att användare, oavsett deras behörighetsnivåer, inte kan radera eller ändra sina egna händelseloggar.

Loggar ska vara fullständiga, korrekta och skyddade mot alla obehöriga ändringar eller störningar, inklusive:

• Raderade eller redigerade loggfiler.
• Ändringar av meddelandetyp.
• Underlåtenhet att skapa en logg eller överskrivning av loggar på grund av lagrings- eller nätverksproblem bör undvikas.

ISO rekommenderar att för att förbättra informationssäkerheten bör loggar skyddas med följande tekniker:

• Skrivskyddad inspelning.
• Användning av offentliga transparensfiler.
• Kryptografisk hashing.
• Inspelning endast med tillägg.

Organisationer kan kräva att loggar skickas till leverantörer för att åtgärda incidenter och fel. När detta är nödvändigt ska loggarna "avidentifieras" (enligt ISO 27001:2022 bilaga A 8.11) med följande information maskerad:

• IP-adresser.
• Värdnamn.
• Användarnamn.

För att säkerställa att PII skyddas bör åtgärder vidtas i enlighet med organisationens datasekretessbestämmelser och befintliga lagar (se ISO 27001:2022 bilaga A 5.34).

Vägledning om logganalys

När du bedömer loggar för att lokalisera, tackla och förklara cybersäkerhetsincidenter – i syfte att förhindra upprepning – överväg följande:

• Den personal som utför analysen har hög kompetens.
• Loggar analyseras i enlighet med företagets protokoll.
• Händelserna som ska analyseras måste kategoriseras och identifieras efter typ och attribut.
• Undantag som härrör från nätverksregler som genereras av säkerhetsprogramvara, hårdvara och plattformar ska tillämpas.
• Den typiska utvecklingen av nätverkstrafik i motsats till oförutsägbara mönster.
• Specialiserad dataanalys avslöjar trender som är anmärkningsvärda.
• Hotintelligens.

Vägledning om loggövervakning

Logganalys bör genomföras tillsammans med noggrann övervakningsverksamhet som upptäcker viktiga mönster och ovanligt beteende.

Organisationer bör ta ett tvådelat tillvägagångssätt för att nå sina mål:

• Granska alla försök att komma åt säkra och affärskritiska resurser, såsom domänservrar, webbportaler och fildelningsplattformar.
• Undersök DNS-poster för att identifiera eventuell utgående trafik associerad med skadliga källor och skadliga serverprocedurer.
• Samla in dataanvändningsposter från tjänsteleverantörer eller interna system för att känna igen eventuellt skadligt beteende.
• Samla in poster från fysiska ingångar, som nyckelkort/fob-loggar och rumsåtkomstdata.

Kompletterande information

Organisationer bör fundera på att använda specialiserade hjälpprogram för att sålla igenom den enorma mängd information som produceras av systemloggar, vilket sparar tid och resurser när de undersöker säkerhetsincidenter, t.ex. ett SIEM-verktyg.

Om en organisation använder en molnbaserad plattform för någon del av sin verksamhet, bör logghantering vara ett delat ansvar mellan tjänsteleverantören och organisationen.

Bifogade kontroller i bilaga A

• ISO 27001:2022 bilaga A 5.34
• ISO 27001:2022 bilaga A 8.11
• ISO 27001:2022 bilaga A 8.17
• ISO 27001:2022 bilaga A 8.18

Ändringar och skillnader från ISO 27001:2013

ISO 27001:2022 bilaga A 8.15 ersätter tre kontroller från ISO 27001:2013 som täcker lagring, hantering och analys av loggfiler:

• 12.4.1 – Händelseloggning
• 12.4.2 – Skydd av logginformation
• 12.4.3 – Administratörs- och operatörsloggar

ISO 27001:2022 Annex A 8.15 anpassar till stor del vägledningen från de tre kontrollerna som diskuterats tidigare, och bildar ett tydligt protokoll som täcker loggning, tillsammans med några anmärkningsvärda tillägg som:

• Riktlinjer som tar upp skyddet av logginformation på ett utökat sätt.
• Råd om olika typer av händelser som bör undersökas noggrant.
• Vägledning om övervakning och analys av loggar för att förbättra informationssäkerheten.
• Hur man hanterar loggar som genereras av molnbaserade plattformar.

Tabell över alla ISO 27001:2022 bilaga A kontroller

I tabellen nedan hittar du mer information om varje individ ISO 27001:2022 bilaga A Kontrollera.

Hur ISMS.online Hjälp

ISMS.online-plattformen underlättar hela ISO 27001 implementering, som börjar med riskbedömningsaktiviteter och avslutas med upprättandet av policyer, procedurer och riktlinjer för att uppfylla standardens kriterier.

ISMS.online ger organisationer en enkel väg till ISO 27001-efterlevnad via dess automatiserade verktygsuppsättning. Dess användarvänliga funktioner gör det enkelt att visa att standarden följs.

Kontakta oss nu för att arrangera en demonstration.