ISO 27001:2022 Bilaga A Kontroll 8.8

Vägledning om att identifiera sårbarheter

Innan man utför sårbarhetskontroller är det viktigt att skaffa en heltäckande och aktuell lista över fysiska och digitala tillgångar (se bilaga A 5.9 och 5.14) som ägs och drivs av organisationen.

Programvarutillgångsdata bör omfatta:

• Versionsnummer som för närvarande är i drift.
• Där programvaran distribueras över gården.
• Leverantörsnamn.
• Applikationsnamn.

Organisationer bör sträva efter att identifiera tekniska sårbarheter genom att:

• Det är viktigt att tydligt definiera vem i organisationen som är ansvarig för sårbarhetshantering från en teknisk synvinkel, som uppfyller sina olika funktioner, som inkluderar (men är inte begränsade till):
• Övervakning.
• Uppdaterar.
• Kapitalförvaltning.
• Riskbedömning.
• Inom organisationen vem är ansvarig för mjukvaran.
• Håll ett register över applikationer och verktyg för att identifiera tekniska svagheter.
• Be leverantörer och leverantörer att avslöja eventuella mottagligheter med nya system och hårdvara när de tillhandahåller dem (enligt bilaga A 5.20 i ISO 27001:2022), och tydligt specificera så mycket i alla tillämpliga kontrakt och serviceavtal.
• Använd verktyg för sårbarhetsskanning och korrigeringsmöjligheter.
• Utför periodiska, dokumenterade penetrationstester, antingen av intern personal eller av en autentiserad tredje part.
• Var medveten om potentialen för underliggande programmatiska sårbarheter när du använder tredje parts kodbibliotek eller källkod (se ISO 27001:2022 bilaga A 8.28).

Vägledning om offentlig verksamhet

Organisationer bör skapa policyer och procedurer som upptäcker sårbarheter i alla sina produkter och tjänster och få bedömningar av dessa sårbarheter relaterade till deras utbud.

ISO råder organisationer att vidta åtgärder för att identifiera eventuella sårbarheter och att motivera tredje part att delta i sårbarhetshanteringsaktiviteter genom att erbjuda bounty-program (där potentiella utnyttjanden eftersträvas och rapporteras till organisationen i utbyte mot en belöning).

Organisationer bör göra sig tillgängliga för allmänheten genom forum, offentliga e-postadresser och forskning så att de kan utnyttja allmänhetens samlade kunskap för att skydda sina produkter och tjänster.

Organisationer bör granska alla korrigerande åtgärder som vidtagits och överväga att lämna ut relevant information till berörda individer eller organisationer. Dessutom bör de samarbeta med specialiserade säkerhetsorganisationer för att sprida kunskap om sårbarheter och attackvektorer.

Organisationer bör tänka på att tillhandahålla ett valfritt automatiskt uppdateringssystem som kunder kan välja att använda eller inte, enligt deras affärsbehov.

Vägledning om att utvärdera sårbarheter

Korrekt rapportering är avgörande för att säkerställa snabba och effektiva korrigerande åtgärder när säkerhetsrisker upptäcks.

Organisationer bör bedöma sårbarheter genom att:

• Granska rapporterna noggrant och avgör vilka åtgärder som är nödvändiga, såsom att ändra, uppdatera eller eliminera påverkade system och/eller utrustning.
• Nå en lösning som tar hänsyn till andra ISO-kontroller (särskilt de som är relaterade till ISO 27001:2022) och erkänner risknivån.

Vägledning om att motverka sårbarheter i programvara

Sårbarheter i mjukvara kan effektivt hanteras med ett proaktivt tillvägagångssätt för programuppdateringar och patchhantering. Att säkerställa regelbundna uppdateringar och patchar kan hjälpa till att skydda ditt system från potentiella hot.

Organisationer bör se till att behålla befintliga programvaruversioner innan de gör några ändringar, utföra grundliga tester på alla ändringar och tillämpa dessa på en angiven kopia av programvaran.

När sårbarheter har identifierats bör organisationer vidta åtgärder för att åtgärda dem:

• Sikta på att snabbt och effektivt åtgärda alla säkerhetsbrister.
• Om det är möjligt, observera de organisatoriska protokollen för förändringsledning (se ISO 27001:2022 bilaga A 8.32) och incidenthantering (se ISO 27001:2022 bilaga A 5.26).
• Tillämpa endast patchar och uppdateringar från tillförlitliga, certifierade källor, särskilt för programvara och utrustning från tredje part:
• Organisationer bör utvärdera data till hands för att avgöra om det är nödvändigt att tillämpa automatiska uppdateringar (eller komponenter av dem) på köpt mjukvara och hårdvara.
• Innan du installerar, testa eventuella uppdateringar för att förhindra oväntade problem i en livemiljö.
• Ge högsta prioritet åt att ta itu med högrisk och viktiga affärssystem.
• Se till att korrigerande åtgärder är framgångsrika och äkta.

I händelse av att ingen uppdatering är tillgänglig, eller några hinder för att installera en (t.ex. kostnadsrelaterad), bör organisationer överväga andra metoder, som:

• Begär vägledning från leverantören om en tillfällig åtgärd medan korrigerande ansträngningar intensifieras.
• Stäng av alla nätverkstjänster som påverkas av sårbarheten.
• Implementera säkerhetskontroller vid viktiga gateways, såsom trafikregler och filter, för att skydda nätverket.
• Öka övervakningen i proportion till den risk som är förknippad med detta.
• Se till att alla berörda parter är medvetna om felet, inklusive leverantörer och köpare.
• Fördröja uppdateringen och utvärdera riskerna, särskilt notera eventuella driftskostnader.

Bifogade kontroller i bilaga A

• ISO 27001:2022 bilaga A 5.14
• ISO 27001:2022 bilaga A 5.20
• ISO 27001:2022 bilaga A 5.9
• ISO 27001:2022 bilaga A 8.20
• ISO 27001:2022 bilaga A 8.22
• ISO 27001:2022 bilaga A 8.28

Kompletterande vägledning om bilaga A 8.8

Organisationer bör upprätthålla en revisionsspår av alla relevanta sårbarhetshanteringsaktiviteter för att hjälpa till med korrigerande åtgärder och föra fram protokoll i händelse av ett säkerhetsintrång.

Att regelbundet utvärdera och granska hela processen för sårbarhetshantering är ett utmärkt sätt att förbättra prestandan och proaktivt identifiera eventuella sårbarheter.

Om organisationen anlitar en molntjänstleverantör bör de säkerställa att leverantörens tillvägagångssätt för sårbarhetshantering är kompatibel med deras egen och bör inkluderas i det bindande tjänsteavtalet mellan båda parter, inklusive eventuella rapporteringsförfaranden (se ISO 27001:2022 bilaga A 5.32) .

Ändringar och skillnader från ISO 27001:2013

ISO 27001:2022 bilaga A 8.8 ersätter två Annex A-kontroller från ISO 27001:2013, dessa är:

• 12.6.1 – Hantering av tekniska sårbarheter
• 18.2.3 – Översyn av teknisk efterlevnad

ISO 27001:2022 Annex A 8.8 introducerar en ny, distinkt metod för sårbarhetshantering än den som finns i ISO 27001:2013. Det är en anmärkningsvärd avvikelse från den tidigare standarden.

ISO 27001:2013 Annex A 12.6.1 fokuserade främst på att införa korrigerande åtgärder när en sårbarhet upptäcks, medan bilaga A 18.2.3 endast gäller tekniska medel (till stor del penetrationstestning).

ISO 27001:2022 Annex A 8.8 introducerar nya avsnitt som handlar om en organisations offentliga ansvar, metoder för att identifiera sårbarheter och molnleverantörernas roll för att hålla sårbarheter till ett minimum.

ISO 27001:2022 lägger stor vikt vid sårbarhetshanteringens roll inom andra områden (såsom förändringshantering) och uppmuntrar till ett holistiskt tillvägagångssätt, med flera andra kontroller och informationssäkerhetsprocesser.

Tabell över alla ISO 27001:2022 bilaga A kontroller

I tabellen nedan hittar du mer information om varje individ ISO 27001:2022 bilaga A Kontrollera.

Hur ISMS.online Hjälp

Vår plattformen är användarvänlig och rakt på sak. Det är avsett för alla i organisationen, inte bara teknikkunniga personer. Vi rekommenderar att involvera personal från alla nivåer i verksamheten konstruera ditt ISMS eftersom detta hjälper till att skapa ett system som håller.

Ta kontakt nu för att arrangera en demonstration.