Loggar – oavsett om det är i form av applikationsloggar, händelseloggar eller allmän systeminformation – utgör en nyckeldel för att få en top-down-vy av IKT-händelser och medarbetarnas åtgärder. Loggar gör det möjligt för organisationer att upprätta en tidslinje med händelser och granska både logiska och fysiska mönster över hela deras nätverk.
Att producera tydlig och lättillgänglig logginformation är en viktig del av en organisations övergripande IKT-strategi och åtföljs av många större informationssäkerhetskontroller som ingår i ISO 27002:2002.
Loggar bör:
Kontroll 8.15 är en detektiv kontrollera det ändrar risken genom att anta ett tillvägagångssätt för loggning som uppfyller ovanstående mål.
Kontroll typ | Informationssäkerhetsegenskaper | Cybersäkerhetskoncept | Operativa förmågor | Säkerhetsdomäner |
---|---|---|---|---|
#Detektiv | #Sekretess #Integritet #Tillgänglighet | #Upptäcka, detektera | #Informationssäkerhet Event Management | #Skydd #Försvar |
Kontroll 8.15 handlar om IKT-operationer som utförs med hjälp av systemadministratörsåtkomst och faller under paraplyet nätverkshantering och underhåll. Som sådan bör ägandet av Kontroll 8.15 ligga hos IT-chefen eller motsvarande i organisationen.
En "händelse" är varje åtgärd som utförs av en logisk eller fysisk närvaro på ett datorsystem – t.ex. en begäran om data, en fjärrinloggning, en automatisk avstängning av systemet, en filradering.
Kontroll 8.15 specifikt att varje enskild händelselogg ska innehålla 5 huvudkomponenter, för att den ska uppfylla sitt operativa syfte:
Av praktiska skäl kanske det inte är möjligt att logga varje enskild händelse som inträffar på ett givet nätverk.
Med det i åtanke identifierar Control 8.15 nedanstående 10 händelser som särskilt viktiga för loggningsändamål, med tanke på deras förmåga att modifiera risker och den roll de spelar för att upprätthålla adekvata nivåer av informationssäkerhet:
Som förklarats i Kontroll 8.17 är det mycket viktigt att alla loggar är länkade till samma synkroniserade tidskälla (eller uppsättning kurser), och i fallet med programloggar från tredje part, eventuella tidsavvikelser som tillgodoses och registreras.
Loggar är den minsta gemensamma nämnaren för att fastställa användar-, system- och applikationsbeteende på ett givet nätverk, särskilt när man står inför en utredning.
Det är därför mycket viktigt för organisationer att se till att användare – oavsett deras behörighetsnivåer – inte behåller möjligheten att ta bort eller ändra sina egna händelseloggar.
Enskilda loggar bör vara fullständiga, korrekta och skyddade mot alla obehöriga ändringar eller driftsproblem, inklusive:
ISO rekommenderar att loggar skyddas med följande metoder för att förbättra informationssäkerheten:
Organisationer kan behöva skicka loggar till leverantörer för att lösa incidenter och fel. Om detta skulle uppstå bör loggarna "avidentifieras" (se kontroll 8.11) och följande information ska maskeras:
Utöver detta bör åtgärder vidtas för att skydda personlig identifierbar information (PII) i linje med organisationens egna datasekretessprotokoll och eventuell rådande lagstiftning (se kontroll 5.34).
När man analyserar loggar i syfte att identifiera, lösa och analysera informationssäkerhetshändelser – med slutmålet att förhindra framtida händelser – måste följande faktorer beaktas:
Vi ger dig ett försprång på 81 %
från det ögonblick du loggar in
Boka din demo
Logganalys bör inte utföras isolerat, utan bör göras tillsammans med rigorösa övervakningsaktiviteter som lokaliserar nyckelmönster och avvikande beteende.
För att uppnå en dubbelfrontsstrategi bör organisationer:
Organisationer bör överväga att använda specialiserade verktyg som hjälper dem att söka igenom de enorma mängder information som systemloggar genererar, för att spara tid och resurser när de utreder säkerhetsincidenter, till exempel ett SIEM-verktyg.
Om en organisation använder en molnbaserad plattform för att utföra någon del av sin verksamhet, bör logghantering ses som ett delat ansvar mellan tjänsteleverantören och organisationen själva.
ISO 27002:2002-8.15 ersätter tre kontroller från ISO 27002:2003 som handlar om lagring, hantering och analys av loggfiler:
27002:2002-8.15 bekräftar i stort sett alla vägledningspunkter från ovanstående tre kontroller till ett tydligt protokoll som hanterar loggning, med några anmärkningsvärda expansioner, inklusive (men inte begränsat till):
ISMS.Online-plattformen hjälper till med alla aspekter av implementering av ISO 27002, från att hantera riskbedömningsaktiviteter till att utveckla policyer, procedurer och riktlinjer för att uppfylla standardens krav.
Med sin automatiserade verktygsuppsättning gör ISMS.Online det enkelt för organisationer att visa överensstämmelse med ISO 27002-standarden.
Kontakta oss idag för att schema en demo.
Boka en skräddarsydd hands-on session
utifrån dina behov och mål
Boka din demo
ISO/IEC 27002:2022 Kontrollidentifierare | ISO/IEC 27002:2013 Kontrollidentifierare | Kontrollnamn |
---|---|---|
5.7 | Nya | Hot intelligens |
5.23 | Nya | Informationssäkerhet för användning av molntjänster |
5.30 | Nya | ICT-beredskap för kontinuitet i verksamheten |
7.4 | Nya | Fysisk säkerhetsövervakning |
8.9 | Nya | Konfigurationshantering |
8.10 | Nya | Radering av information |
8.11 | Nya | Datamaskering |
8.12 | Nya | Förebyggande av dataläckage |
8.16 | Nya | Övervakningsaktiviteter |
8.23 | Nya | Webbfiltrering |
8.28 | Nya | Säker kodning |
ISO/IEC 27002:2022 Kontrollidentifierare | ISO/IEC 27002:2013 Kontrollidentifierare | Kontrollnamn |
---|---|---|
6.1 | 07.1.1 | Screening |
6.2 | 07.1.2 | Anställningsvillkor |
6.3 | 07.2.2 | Informationssäkerhetsmedvetenhet, utbildning och träning |
6.4 | 07.2.3 | Disciplinär process |
6.5 | 07.3.1 | Ansvar efter uppsägning eller byte av anställning |
6.6 | 13.2.4 | Sekretess- eller sekretessavtal |
6.7 | 06.2.2 | Fjärrbearbetning |
6.8 | 16.1.2, 16.1.3 | Händelserapportering för informationssäkerhet |
ISO/IEC 27002:2022 Kontrollidentifierare | ISO/IEC 27002:2013 Kontrollidentifierare | Kontrollnamn |
---|---|---|
7.1 | 11.1.1 | Fysiska säkerhetsområden |
7.2 | 11.1.2, 11.1.6 | Fysiskt inträde |
7.3 | 11.1.3 | Säkra kontor, rum och lokaler |
7.4 | Nya | Fysisk säkerhetsövervakning |
7.5 | 11.1.4 | Skydd mot fysiska och miljömässiga hot |
7.6 | 11.1.5 | Arbeta i säkra områden |
7.7 | 11.2.9 | Tydligt skrivbord och tydlig skärm |
7.8 | 11.2.1 | Utrustningsplacering och skydd |
7.9 | 11.2.6 | Säkerhet av tillgångar utanför lokaler |
7.10 | 08.3.1, 08.3.2, 08.3.3, 11.2.5 | Lagringsmedia |
7.11 | 11.2.2 | Stöd till verktyg |
7.12 | 11.2.3 | Kabelsäkerhet |
7.13 | 11.2.4 | Utrustningsunderhåll |
7.14 | 11.2.7 | Säker kassering eller återanvändning av utrustning |