ISO 27002:2022, Control 8.1 – User Endpoint Devices

Äganderätt till kontroll 8.1

Med tanke på att överensstämmelse med kontroll 8.1 innebär att skapa, underhålla och följa organisationsomfattande ämnesspecifik policy, procedurer och tekniska åtgärder, informationssäkerhetsansvarig bör bära ansvaret för efterlevnaden med kraven i kontroll 8.1.

Allmän vägledning om efterlevnad

Control 8.1 kräver att organisationer skapar en ämnesspecifik policy som tar upp hur användarens slutpunktsenheter ska konfigureras säkert och hur dessa enheter ska hanteras av användare.

All personal bör informeras om denna policy och policyn bör omfatta följande:

• Vilken typ av information, särskilt på vilken klassificeringsnivå, kan bearbetas, lagras eller användas i användarens slutpunktsenheter.
• Hur enheterna ska registreras.
• Krav på fysiskt skydd av enheter.
• Restriktioner för installation av program på enheter.
• Regler om installation av programvara på enheterna och om programuppdateringar.
• Regler om hur användarens slutpunktsenheter kan anslutas till offentliga nätverk eller till nätverk i andra lokaler utanför anläggningen.
• Åtkomstkontroller.
• Kryptering av lagringsmedia som är värd för informationstillgångar.
• Hur enheter kommer att skyddas mot attacker med skadlig programvara.
• Hur enheter kan inaktiveras eller låsas ute. Hur information som finns i enheterna kan raderas på distans.
• Back-up metoder och procedurer.
• Regler för användning av webbapplikationer och tjänster.
• Analys av slutanvändarnas beteende.
• Hur flyttbara lagringsmedia som USB-enheter kan användas och hur fysiska portar som USB-portar kan inaktiveras.
• Hur ser din drömresa ut segregationsförmåga kan användas för att separera organisationens information tillgångar från andra tillgångar lagrade på användarenheten.

Vidare noterar den allmänna vägledningen att organisationer bör överväga att förbjuda lagring av känslig informationstillgångar på användarens slutpunktsenheter genom att implementera tekniska kontroller.

Dessa tekniska kontroller kan inkludera inaktivering av lokala lagringsfunktioner som SD-kort.

För att omsätta dessa rekommendationer i praktiken bör organisationer tillgripa Configuration Management som anges i Control 8.9 och använda automatiserade verktyg.

Kompletterande vägledning om användaransvar

All personal bör informeras om säkerhetsåtgärderna för användarens slutpunktsenheter och procedurer som de bör följa. Dessutom borde de vara det medvetna om sitt ansvar för att tillämpa dessa åtgärder och förfaranden.

Organisationer bör instruera personalen att följa följande regler och procedurer:

• När en tjänst inte längre behövs eller när en session avslutas ska användare logga ut från sessionen och avsluta tjänsterna.
• Personal bör inte lämna sina enheter utan uppsikt. När enheter inte används bör personalen underhålla säkerhet för enheterna mot obehörig åtkomst eller användning genom att tillämpa fysiska kontroller som nyckellås och genom tekniska kontroller som robusta lösenord.
• Personal bör agera med extra försiktighet när de använder endpoint-enheter som innehåller känslig information i osäkra offentliga områden.
• Användarens slutpunktsenheter bör skyddas mot stöld, särskilt i riskfyllda områden som hotellrum, konferensrum eller kollektivtrafik.

Dessutom rekommenderas organisationer också att upprätta ett särskilt förfarande för förlust eller stöld av användarens slutpunktsenheter. Detta förfarande bör skapas med hänsyn till juridiska, avtalsmässiga och säkerhetskrav.

Kompletterande vägledning om användning av personliga enheter (BYOD)

Samtidigt som att tillåta personal att använda sina egna personliga enheter för arbetsrelaterade ändamål sparar organisationer pengar, men det utsätter känslig informationstillgångar för nya risker.

Kontroll 8.1 listar fem rekommendationer som organisationer bör överväga när de tillåter anställda att använda sina egna enheter för arbetsrelaterade uppgifter:

1. Det bör finnas tekniska åtgärder såsom mjukvaruverktyg för att separera den personliga och affärsmässiga användningen av enheterna så att organisationens information skyddas.
2. Personal bör endast tillåtas använda sin egen enhet efter att de samtyckt till följande:
• Personalen erkänner sina skyldigheter att fysiskt skydda enheter och att utföra nödvändiga programuppdateringar.
• Personalen samtycker till att inte göra anspråk på något ägande av organisationens informationstillgångar.
• Personalen samtycker till att information som finns i enheten kan fjärrraderas när enheten tappas bort eller blir stulen, med förbehåll för lagkrav på personuppgifter.
3. Upprättande av policyer för ägande av immateriella rättigheter skapade genom användning av användarens slutpunktsenheter.
4. Hur personalens privata enheter kommer att nås med tanke på de lagstadgade begränsningarna för sådan åtkomst.
5. Att tillåta personal att använda sina privata enheter kan leda till juridiskt ansvar på grund av användningen av programvara från tredje part på dessa enheter. Organisationer bör överväga de programvarulicensavtal de har med sina leverantörer.

Kompletterande vägledning om trådlösa anslutningar

Organisationer bör utveckla och underhålla rutiner för:

• Hur trådlösa anslutningar på enheterna ska konfigureras.
• Hur trådlösa eller trådbundna anslutningar med tillräcklig bandbredd kommer att användas i efterlevnad av ämnesspecifika policyer.

Ytterligare vägledning om kontroll 8.1

När användarens slutpunktsenheter tas ut från organisationens lokaler kan informationstillgångar exponeras för ökade risker för kompromisser. Därför kan organisationer behöva upprätta olika kontroller för enheter som används utanför lokaler.

Dessutom varnar Control 8.1 organisationer mot förlust av information på grund av två risker relaterade till trådlösa anslutningar:

• Trådlösa anslutningar med låg bandbredd kan resultera i att datasäkerhetskopieringen misslyckas.
• Användarens slutpunktsenheter kan ibland kopplas bort från det trådlösa nätverket och schemalagda säkerhetskopieringar kan misslyckas.

Ändringar och skillnader från ISO 27002:2013

27002:2022/8.1 ersätter 27002:2013/(6.2.1 och 12.2.8)

Strukturella skillnader

In kontrast till 2022 års version som adresserar användarens slutpunktsenheter under en kontroll(8.1), 2013 års version inkluderade två separata kontroller: Mobile Device Policy i Control 6.2.1 och Unnattended User Equipment in Control 11.2.8.

Dessutom, medan Control 8.1 i 2022-versionen gäller för alla användares slutpunktsenheter som bärbara datorer, surfplattor och mobiltelefoner, hänvisade 2013-versionen endast till de mobila enheterna.

2022-versionen föreskriver ytterligare krav för användaransvar

Även om båda versionerna i stort sett är lika när det gäller kraven på användaransvar, innehåller 2022-versionen ytterligare ett krav:

• Personal bör agera med extra försiktighet när de använder endpoint-enheter som innehåller känslig information i osäkra offentliga områden.

2022-versionen är mer omfattande när det gäller BYOD

Jämfört med 2013 års version introducerar kontroll 8.1 i 2022 års version tre nya krav för användning av personalens privata enheter (BYOD):

• Upprättande av policyer för ägande av immateriella rättigheter skapade genom användning av användarens slutpunktsenheter.
• Hur personalens privata enheter kommer att nås med tanke på de lagstadgade begränsningarna för sådan åtkomst.
• Att tillåta personal att använda sina privata enheter kan leda till juridiskt ansvar på grund av användningen av programvara från tredje part på dessa enheter. Organisationer bör överväga de programvarulicensavtal de har med sina leverantörer.

2022-versionen kräver en mer detaljerad ämnesspecifik policy

I likhet med 2013-versionen kräver 2022-versionen också att organisationer antar en ämnesspecifik policy för användarens slutpunktsenheter.

Kontrollen 8.1 i 2022 års version är dock mer omfattande eftersom den innehåller tre nya element som måste inkluderas:

1. Analys av slutanvändarnas beteende.
2. Hur flyttbara enheter som USB-enheter kan användas och hur fysiska portar som USB-portar kan inaktiveras.
3. Hur ser din drömresa ut segregationsförmåga kan användas för att separera organisationens information tillgångar från andra tillgångar lagrade på användarenheten.

Hur ISMS.online hjälper

ISMS.Online är den ledande programvaran för ledningssystem för ISO 27002 som stöder efterlevnad av ISO 27002 och hjälper företag att anpassa sina säkerhetspolicyer och procedurer med standarden.

Den molnbaserade plattformen tillhandahåller en komplett uppsättning verktyg för att hjälpa organisationer att sätta upp en ledningssystem för informationssäkerhet (ISMS) enligt ISO 27002.

Hör av dig idag för att boka en demo.