ISO 27002:2022, Kontroll 8.19 – Installation av programvara på operativa system

Allmän vägledning om efterlevnad

För att säkert kunna hantera förändringar och installationer i sitt nätverk bör organisationer:

1. Se till att mjukvaruuppdateringar endast utförs av utbildad och kompetent personal (se Kontroll 8.5).
2. Installera endast robust körbar kod som är fri från buggar och som säkert har lämnat utvecklingsstadiet.
3. Installera och/eller uppdatera programvaran först efter att uppdateringen eller patchen har testats framgångsrikt, och organisationen är säker på att inga konflikter eller fel kommer att uppstå.
4. Upprätthålla ett uppdaterat bibliotekssystem.
5. Använd ett "konfigurationskontrollsystem" som hanterar alla instanser av operativ programvara, inklusive programdokumentation.
6. Kom överens om en "återställningsstrategi" före eventuella uppdateringar eller installationer, för att säkerställa affärskontinuitet i händelse av ett oförutsett fel eller konflikt.
7. För en logg över eventuella uppdateringar som utförts av operativ programvara, inklusive en sammanfattning av uppdateringen, den inblandade personalen och en tidsstämpel.
8. Se till att oanvänd programvara – inklusive all dokumentation, konfigurationsfiler, systemloggar, stödjande procedurer – lagras säkert för vidare användning om behov skulle uppstå.
9. Genomför en strikt uppsättning regler för vilken typ av programvarupaket som användare kan installera, baserat på principerna om "minst privilegierade" och i enlighet med relevanta roller och ansvarsområden.

Vägledning – Leverantörsprogramvara

När det gäller leverantörslevererad programvara (t.ex. all programvara som används vid drift av maskiner eller för en skräddarsydd affärsfunktion) bör sådan programvara alltid hållas i gott skick genom att hänvisa till leverantörens riktlinjer för säker och säker drift.

Det är viktigt att notera att även där programvara eller programvarumoduler tillhandahålls och hanteras externt (dvs organisationen är inte ansvarig för några uppdateringar), bör åtgärder vidtas för att säkerställa att uppdateringar från tredje part inte kompromissar med integriteten hos organisationens nätverk.

Organisationer bör undvika att använda programvara från leverantörer som inte stöds om det inte är absolut nödvändigt, och överväga de tillhörande säkerhetsriskerna med att använda redundanta applikationer i motsats till en uppgradering till nyare och säkrare system.

Om en leverantör kräver åtkomst till en organisations nätverk för att utföra en installation eller uppdatering, bör aktiviteten övervakas och valideras i linje med alla relevanta auktoriseringsprocedurer (se Kontroll 5.22).

Kompletterande vägledning om kontroll 8.19

Programvara bör uppgraderas, installeras och/eller korrigeras i enlighet med organisationens publicerade ändringshanteringsprocedurer, för att säkerställa enhetlighet med andra delar av verksamheten.

Närhelst en patch identifieras som antingen helt eliminerar en sårbarhet (eller serie av sårbarheter) eller på något sätt hjälper till att förbättra organisationens informationssäkerhetsverksamhet, bör sådana förändringar nästan alltid tillämpas (även om det fortfarande finns ett behov av att bedöma sådana förändringar på från fall till fall).

Där det uppstår behov av att använda programvara med öppen källkod bör denna alltid vara av den senaste allmänt tillgängliga versionen som underhålls aktivt. Följaktligen bör organisationer överväga de inneboende riskerna med att använda ounderhållen programvara inom alla affärsfunktioner.

Stödkontroller

• 5.22
• 8.5

Ändringar och skillnader från ISO 27002:2013

ISO 27002:2022-8.19 ersätter ISO 27002:2003-12.5.1 (Installation av programvara på operativsystem) och 12.6.2 (Restriktioner för installation av programvara).

27002:2022-8.19 är en sammanslagning av de flesta råd som finns i 27002:2003-12.5.1 och 12.6.2, med flera nyckelbegrepp som kortfattat utvidgas och med tillägg av några nya styrande principer:

• Underhålla ett bibliotekssystem.
• Regler som styr användningen av programvara med öppen källkod.
• Närmare logiska kontroller av installation och underhåll av leverantörsprogramvara.

Hur ISMS.online hjälper

ISMS.Online är en komplett lösning för implementering av ISO 27002. Det är ett webbaserat system som låter dig visa att ditt ledningssystem för informationssäkerhet (ISMS) är kompatibelt med de godkända standarderna med hjälp av genomtänkta processer, procedurer och checklistor.

Det är inte bara en lättanvänd plattform för att hantera din ISO 27002-implementering, utan också ett utmärkt verktyg för att utbilda din personal i bästa praxis och processer för informationssäkerhet, samt dokumentera alla dina ansträngningar.

Fördelarna med att använda ISMS.Online:

• Enkel att använda onlineplattform som kan nås från vilken enhet som helst.
• Det är helt anpassningsbart för att möta dina behov.
• Anpassningsbara arbetsflöden och processer för att passa dina affärsbehov.
• Utbildningsverktyg som hjälper nyanställda att komma igång snabbare.
• Ett bibliotek med mallar för dokument som policyer, procedurer, planer och checklistor.

Hör av dig idag för att boka en demo.