ISO 27001:2022 Annex A 8.9 – Configuration Management

• Se ISO 27002:2022 Kontroll 8.9 för mer information.

Syftet med ISO 27001:2022 bilaga A 8.9

Konfigurationer, antingen som en enskild konfigurationsfil eller en samling konfigurationer kopplade samman, avgör hur hårdvara, mjukvara och nätverk hanteras.

Som ett exempel kommer en brandväggs konfigurationsfil att innehålla de baslinjeattribut som enheten använder för att hantera trafiken som kommer in i och lämnar en organisations nätverk, såsom blockeringslistor, portvidarebefordran, virtuella LAN och VPN-information.

Konfigurationshantering är en viktig del av alla organisationer Kapitalförvaltning strategi. Konfigurationer är avgörande för att säkerställa att ett nätverk fungerar som det ska, och för att skydda enheter från icke godkända ändringar eller olämpliga ändringar av underhållspersonal och/eller leverantörer.

Äganderätt till bilaga A 8.9

Konfigurationshantering är en administrativ uppgift som är tillägnad att underhålla och observera tillgångsrelaterad data och information som finns på olika enheter och applikationer. Därför bör ägandet ligga i händerna på Chef för IT eller motsvarande.

Vägledning om ISO 27001:2022 bilaga A 8.9 Överensstämmelse

Organisationer måste skapa och införa policyer för konfigurationshantering för både nya och befintliga system och hårdvara. Interna kontroller bör omfatta nyckelelement som säkerhetskonfigurationer, hårdvara med konfigurationsfiler och eventuell tillämplig programvara eller system.

ISO 27001: 2022 Bilaga A 8.9 kräver att organisationer överväger alla relevanta roller och plikter när de upprättar en konfigurationspolicy, inklusive att tilldela äganderätt till konfigurationer på enhet-för-enhet eller applikation-för-applikation.

Vägledning om standardmallar

Organisationer bör sträva efter att använda standardiserade mallar för att säkra all hårdvara, mjukvara och system när det är praktiskt möjligt. Dessa mallar bör:

• Försök att använda fritt tillgängliga leverantörsspecifika instruktioner och instruktioner med öppen källkod för att optimalt konfigurera hård- och mjukvarutillgångar.
• Se till att enheten, applikationen eller systemet följer minimisäkerhetskraven.
• Samarbeta med företagets större informationssäkerhet aktiviteter, inklusive alla tillämpliga ISO-bestämmelser.
• Ta hänsyn till organisationens speciella affärsbehov – särskilt med avseende på säkerhetsinställningar – samt möjligheten att applicera eller hantera en mall när som helst.
• Med jämna mellanrum, granska system- och maskinvaruuppdateringarna och alla aktuella säkerhetshot för att säkerställa optimal prestanda.

Vägledning om säkerhetskontroller

Säkerhet är av yttersta vikt när man tillämpar konfigurationsmallar eller ändrar befintliga i enlighet med ovanstående riktlinjer.

När man överväger mallar som ska implementeras i hela företaget bör organisationer sträva efter att minska potentiella risker för informationssäkerhet genom att:

• Begränsa mängden personal med administrativ befogenhet till minsta möjliga kvantitet.
• Inaktivera alla identiteter som inte används eller inte behövs.
• Spåra åtkomst till underhållsprogram, verktyg och interna inställningar noggrant.
• Se till att klockorna är koordinerade för att registrera konfigurationen korrekt och hjälpa eventuella framtida sonder.
• Byt genast alla standardlösenord eller säkerhetsinställningar som tillhandahålls med alla enheter, tjänster eller program.
• Implementera en förinställd utloggningsperiod för alla enheter, system eller applikationer som har varit inaktiva under en förutbestämd tidsperiod.
• Säkerställ överensstämmelse med ISO 27001:2022 bilaga A 5.32 för att garantera att alla licenskrav har uppfyllts.

Vägledning om hantering och övervakning av konfigurationer

Organisationen är skyldig att behålla och registrera konfigurationer, tillsammans med en historik över eventuella ändringar eller nya inställningar, i linje med ISO 27001:2022 Annex A 8.32 Change Management-processen.

Loggar bör innehålla information som beskriver:

• Vem innehar tillgången.
• Registrera tiden för den senaste konfigurationsändringen.
• Denna version av konfigurationsmallen som är i kraft.
• Förklara all data som är relevant för tillgångens koppling till konfigurationer på andra prylar/system.

Organisationer bör använda ett brett spektrum av metoder för att hålla koll på hur konfigurationsfiler fungerar över deras nätverk, till exempel:

• Automatisering.
• Specialiserade program för konfigurationsunderhåll är tillgängliga för användning. Dessa program möjliggör effektiv och effektiv hantering av inställningar.
• Fjärrsupportverktyg som automatiskt fyller i konfigurationsdata för varje enhet.
• Verktyg för hantering av företagsenheter och programvara skapas för att observera stora mängder konfigurationsdata samtidigt.
• BUDR-programvaran tillhandahåller automatiska säkerhetskopior av konfigurationer till en säker plats och kan fjärråterställa mallar eller på plats återställa mallar till felaktiga eller komprometterade enheter.

Organisationer bör använda specialiserad programvara för att övervaka eventuella ändringar i en enhets konfiguration, vidta snabba åtgärder för att antingen godkänna eller återställa transformationen till dess ursprungliga status.

Bifogade kontroller i bilaga A

• ISO 27001:2022 bilaga A 5.32
• ISO 27001:2022 bilaga A 8.32

Ändringar och skillnader från ISO 27001:2013

ISO 27001:2022 bilaga A 8.9 finns inte i ISO 27001:2013, eftersom det är ett nytt tillägg i 2022 års revision.

Tabell över alla ISO 27001:2022 bilaga A kontroller

I tabellen nedan hittar du mer information om varje enskild ISO 27001:2022 Bilaga A Kontrollera.

Hur ISMS.online Hjälp

ISMS.Online ger ett heltäckande synsätt på ISO 27001 implementering. Det erbjuder ett fullservicepaket som säkerställer att hela processen hanteras snabbt och effektivt. Den tillhandahåller alla nödvändiga verktyg, resurser och vägledning för att göra det möjligt för organisationer att implementera standarden med tillförsikt.

Detta webbaserade system tillåter dig att visa att din Information Security Management System (ISMS) uppfyller de accepterade standarderna, med väl genomtänkta processer, rutiner och checklistor.

Kontakta oss nu för att arrangera en demonstration.