ISO 27001:2022 bilaga A 8.27 – Säker systemarkitektur och tekniska principer

• Se ISO 27002:2022 Kontroll 8.27 för mer information.
• Se ISO 27001:2013 bilaga A 14.2.5 för mer information.

ISO 27001:2022 Kontroll 8.27 – Stärka systemsäkerheten från grunden

ISO 27001: 2022 Bilaga A 8.27 specificerar att organisationer måste implementera säker systemarkitektur och tekniska principer för att säkerställa att utformningen, implementeringen och förvaltningen av informationssystemet är lämpliga för organisationens säkerhetskrav. Detta inkluderar etablering av säkra systemarkitekturer, tekniska principer och säkra designpraxis.

De intrikata strukturerna hos samtida informationssystem, i kombination med den oupphörliga föränderliga cybersäkerhetsriskmiljön, gör informationssystem mer benägna för befintliga och potentiella säkerhetshot.

Bilaga A 8.27 beskriver hur organisationer kan skydda deras informationssystem från säkerhetshot till implementering av säkra systemtekniska principer under alla stadier av informationssystemets livscykel.

Syftet med ISO 27001:2022 bilaga A 8.27

Bilaga A 8.27 underlättar organisationer att säkra informationssystem under faserna av design, driftsättning och drift, genom att etablera och implementera säkra systemtekniska principer som systemingenjörer måste följa.

Äganderätt till bilaga A 8.27

Smakämnen Chef för informationssäkerhet ska hållas ansvarig för att upprätta, upprätthålla och omsätta de regler som styr säker konstruktion av informationssystem.

Allmän vägledning om ISO 27001:2022 bilaga A 8.27 Överensstämmelse

ISO 27001:2022 Annex A 8.27 understryker nödvändigheten för organisationer att integrera säkerhet i hela sina informationssystem, inklusive affärsprocesser, applikationer och dataarkitektur.

Säkra tekniska rutiner bör implementeras för alla uppgifter som är kopplade till informationssystem, regelbundet granskas och uppdateras för att ta hänsyn till nya hot och attackmönster.

Bilaga A 8.27 gäller även för system skapade av externa leverantörer, utöver de som utvecklats och drivs internt.

Organisationer bör garantera att tjänsteleverantörernas praxis och standarder är i linje med deras säkra tekniska protokoll.

ISO 27001:2022 bilaga A 8.27 kräver säkra systemtekniska principer för att behandla följande åtta ämnen:

1. Metoder för användarautentisering.
2. Säker sessionskontrollvägledning.
3. Rutiner för sanering och validering av data.
4. Säkerhetsåtgärder för att skydda informationstillgångar och system mot kända hot analyseras omfattande.
5. Säkerhetsåtgärder analyserade för deras förmåga att identifiera, eliminera och reagera på säkerhetshot.
6. Analysera de säkerhetsåtgärder som tillämpas på specifika affärsaktiviteter, såsom informationskryptering.
7. Var och hur säkerhetsåtgärder kommer att genomföras. En specifik säkerhetskontroll i bilaga A kan integreras i den tekniska infrastrukturen som en del av denna process.
8. Det sätt på vilket olika säkerhetsåtgärder samverkar och fungerar som ett kombinerat system.

Vägledning om nollförtroendeprincipen

Organisationer bör ha dessa nollförtroendeprinciper i åtanke:

• Baserat på antagandet att organisationens system redan är komprometterade och att den definierade perimetersäkerheten för dess nätverk inte kan ge tillräckligt skydd.
• En policy med "verifiering före förtroende" bör antas när det gäller att ge tillgång till informationssystem. Detta säkerställer att åtkomst beviljas först efter granskning, vilket säkerställer att rätt personer har det.
• Att säkerställa att förfrågningar till informationssystem skyddas med end-to-end-kryptering ger säkerhet.
• Verifieringsmekanismer implementeras under förutsättning att åtkomstförfrågningar från externa, öppna nätverk till informationssystem.
• Implementera minsta behörighet och dynamisk åtkomstkontroll i enlighet med ISO 27001:2022 bilaga A 5.15, 5.18 och 8.2. Detta måste omfatta autentisering och auktorisering av känslig information och informationssystem med hänsyn till kontextuella aspekter som användaridentiteter (ISO 27001:2022 bilaga A 5.16) och informationsklassificering (ISO 27001:2022 bilaga A 5.12).
• Autentisera identiteten för begäranden och verifiera auktorisationsbegäranden för att få tillgång till informationssystem enligt autentiseringsinformation i ISO 27001:2022 bilaga A 5.17, 5.16 och 8.5.

Vad bör säkra systemtekniska tekniker omfatta?

Din organisation bör tänka på följande:

• Inkorporerar säkra arkitekturprinciper som "säkerhet genom design", "försvar i djupet", "misslyckas säkert", "misstroende input från externa applikationer", "förutsätter intrång", "minst privilegium", "användbarhet och hanterbarhet" och "minst funktionalitet". ” är avgörande.
• Genomföra en säkerhetsorienterad designgranskning för att upptäcka eventuella informationssäkerhetsproblem och se till att säkerhetsåtgärder är etablerade och uppfyller säkerhetsbehoven.
• Det är viktigt att dokumentera och erkänna säkerhetsåtgärder som inte uppfyller kraven.
• Systemhärdning är avgörande för säkerheten i alla system.

Vilka kriterier ska man tänka på när man utformar säkra tekniska principer?

Organisationer bör ta hänsyn till följande punkter när de sätter upp principer för säkra systemteknik:

• Kravet att samordna kontroller i bilaga A med särskild säkerhetsarkitektur är oumbärligt.
• En organisations befintliga tekniska säkerhetsinfrastruktur, inklusive infrastruktur för publika nyckel, identitetshantering och förebyggande av dataläckage.
• Kan organisationen konstruera och upprätthålla den valda tekniken.
• Kostnaden och den tid som krävs för att uppfylla säkerhetskraven, med hänsyn till deras komplexitet, måste beaktas.
• Det är viktigt att följa nuvarande bästa praxis.

Vägledning om tillämpning av säkra systemtekniska principer

ISO 27001:2022 Annex A 8.27 anger att organisationer kan använda säkra tekniska principer när de sätter upp följande:

• Feltolerans och andra motståndskraftsstrategier är viktiga. De hjälper till att säkerställa att systemen förblir i drift trots att oväntade händelser inträffar.
• Segregation genom virtualisering är en teknik som kan användas.
• Säkerhetssäkring, se till att systemen förblir säkra och ogenomträngliga för skadlig störning.

Säker virtualiseringsteknik kan minska risken för avlyssning mellan applikationer som körs på samma enhet.

Det framhålls att manipulationssystem kan upptäcka både logisk och fysisk manipulation av informationssystem, vilket förhindrar obehörig åtkomst till data.

Ändringar och skillnader från ISO 27001:2013

ISO 27001:2022 bilaga A 8.27 ersätter ISO 27001:2013 bilaga A 14.2.5 i den reviderade 2022-standarden.

2022-versionen innehåller mer omfattande krav än 2013-versionen, såsom:

• Jämfört med 2013 ger 2022 års version vägledning om vad säkra tekniska principer bör omfatta.
• Till skillnad från 2013 års iteration tar versionen från 2022 hänsyn till de kriterier som organisationer bör ta hänsyn till när de konstruerar säkra systemtekniska principer.
• 2022-versionen ger vägledning om principen om noll förtroende, som inte ingick i 2013 års version.
• 2022-utgåvan av dokumentet innehåller rekommendationer för säkra tekniska tekniker, till exempel "säkerhet genom design", som inte fanns i 2013 års version.

Tabell över alla ISO 27001:2022 bilaga A kontroller

I tabellen nedan hittar du mer information om varje individ ISO 27001:2022 bilaga A Kontrollera.

Hur ISMS.online Hjälp

Vår steg-för-steg checklista gör implementeringen av ISO 27001 till en lek. Vår komplett efterlevnadslösning för ISO/IEC 27001:2022 guidar dig genom processen från början till slut.

När du loggar in kan du förvänta dig upp till 81 % framsteg.

Denna lösning är heltäckande och okomplicerad.

Nå ut nu för att boka en demonstration.