Syfte med kontroll 8.21
Inom datoranvändning kan en "nätverkstjänst" i stora drag beskrivas som ett system som körs på "nätverksapplikationslagret", som t.ex. e-mail, tryckning, Eller en filserver. Nättjänster inkluderar även hanterade applikationer och säkerhetslösningar som t.ex brandväggar eller gateway antivirusplattformar, intrångsdetekteringssystem och anslutningstjänster.
Nättjänster representerar ofta de viktigaste funktionella delarna av ett nätverk och är avgörande för den dagliga driften av ett modernt kommersiellt IKT-nätverk. Säkerhet är därför av största vikt, och användningen av nätverkstjänster måste övervakas noggrant och hanteras direkt för att minimera risken för fel, intrång och affärsstörningar.
Attributtabell för kontroll 8.21
Kontroll 8.21 är en förebyggande kontroll den där upprätthåller risken genom att upprätta en uppsättning regler som styr användningen av både nättjänster och, genom associering, själva värdnätverket.
| Kontroll typ | Informationssäkerhetsegenskaper | Cybersäkerhetskoncept | Operativa förmågor | Säkerhetsdomäner |
|---|---|---|---|---|
| #Förebyggande | #Sekretess | #Skydda | #System- och nätverkssäkerhet | #Skydd |
| #Integritet | ||||
| #Tillgänglighet |
Äganderätt till kontroll 8.21
Kontroll 8.21 behandlar tekniska koncept som rör underhåll och förvaltning av flera nyckelkomponenter i en organisations IKT-nätverk. Som sådan bör ägandet ligga hos IT-chefen eller motsvarande i organisationen.
ISO 27001 på ett enkelt sätt
Ett försprång på 81 % från dag ett
Vi har gjort det hårda arbetet åt dig, vilket ger dig ett försprång på 81 % från det ögonblick du loggar in. Allt du behöver göra är att fylla i tomrummen.
Allmän vägledning om efterlevnad
Kontroll 8.21 identifierar tre huvudsäkerhetstyper när det gäller det bredare begreppet nätverkstjänstsäkerhet:
- Säkerhetsfunktioner
- Servicenivåer
- Servicekrav
Dessa tre åtgärder bör beaktas av alla interna och externa leverantörer av nättjänster, och organisationen bör vidta åtgärder för att säkerställa att leverantörerna alltid fullgör sina skyldigheter.
Organisationer bör bedöma en leverantör av nätverkstjänster på deras förmåga att hantera tjänster som dikteras av en entydig uppsättning SLA, och övervaka efterlevnaden efter bästa förmåga.
En del av denna verksamhetsbedömning bör inkludera referenser som erhållits från pålitliga källor som intygar en nättjänstleverantörs förmåga att hantera tjänster på ett säkert och effektivt sätt.
Nätverkssäkerhetsregler bör inkludera:
- Alla nätverkstjänster och tillhörande nätverk som är tillåtna att nås.
- Autentiseringskraven för åtkomst till nämnda nätverkstjänster, inklusive vem som har behörighet att få åtkomst till dem, varifrån och när de kan göra det.
- Hur personal erhåller förhandstillstånd att få åtkomst till nätverkstjänster, inklusive slutlig sign-off och affärsfallsanalys.
- En robust uppsättning nätverkshanteringskontroller som skyddar nätverkstjänster mot missbruk och obehörig åtkomst.
- Hur personal tillåts åtkomst till nätverkstjänster (dvs. på distans eller uteslutande på plats).
- Loggningsprocedurer som detaljerar nyckelinformation om åtkomst till nätverkstjänster och personalen som använder dem – t.ex. tid, plats och enhetsdata.
- Övervakning av användningen av nätverkstjänster.
Vägledning – Säkerhet för nätverkstjänster
Control 8.21 innehåller också vägledningsnoteringar om hur man ökar säkerheten för alla nätverkstjänster, inklusive back-end-funktionalitet och användardrift.
- Organisationer bör överväga säkerhetsfunktioner som t.ex autentisering, kryptering och anslutningskontroller.
- Rigida parametrar bör fastställas som dikterar anslutningen till nätverkstjänster.
- Användare bör kunna välja mängden data som cachelagras (tillfälligt lagrad) av en nätverkstjänst för att både öka den totala prestandan och säkerställa att data inte lagras överdrivet så mycket att det utgör en påtaglig säkerhetsrisk.
- Begränsa åtkomst till nätverkstjänster.
Hantera all din efterlevnad, allt på ett ställe
ISMS.online stöder över 100 standarder och föreskrifter, vilket ger dig en enda plattform för alla dina efterlevnadsbehov.
Ändringar och skillnader från ISO 27002:2013
ISO 27002:2022-8.21 ersätter ISO 27002:2003-13.1.2 (Säkerhet för nätverkstjänster).
27002:2022-8.21 innehåller flera större tillägg till sin motsvarighet från 2013, där den senare helt fokuserar på nätverkstjänstsäkerhet (som innehåller samma uppsättning vägledningsnoteringar) och utelämnar all allmän vägledning överhuvudtaget om nätverksregler (se punkterna 1-7 ovan under "Allmänna riktlinjer").
Nya ISO 27002 kontroller
| ISO/IEC 27002:2022 Kontrollidentifierare | ISO/IEC 27002:2013 Kontrollidentifierare | Kontrollnamn |
|---|---|---|
| 5.7 | NYA | Hot intelligens |
| 5.23 | NYA | Informationssäkerhet för användning av molntjänster |
| 5.30 | NYA | ICT-beredskap för kontinuitet i verksamheten |
| 7.4 | NYA | Fysisk säkerhetsövervakning |
| 8.9 | NYA | Konfigurationshantering |
| 8.10 | NYA | Radering av information |
| 8.11 | NYA | Datamaskering |
| 8.12 | NYA | Förebyggande av dataläckage |
| 8.16 | NYA | Övervakningsaktiviteter |
| 8.23 | NYA | Webbfiltrering |
| 8.28 | NYA | Säker kodning |
| ISO/IEC 27002:2022 Kontrollidentifierare | ISO/IEC 27002:2013 Kontrollidentifierare | Kontrollnamn |
|---|---|---|
| 6.1 | 07.1.1 | Screening |
| 6.2 | 07.1.2 | Anställningsvillkor |
| 6.3 | 07.2.2 | Informationssäkerhetsmedvetenhet, utbildning och träning |
| 6.4 | 07.2.3 | Disciplinär process |
| 6.5 | 07.3.1 | Ansvar efter uppsägning eller byte av anställning |
| 6.6 | 13.2.4 | Sekretess- eller sekretessavtal |
| 6.7 | 06.2.2 | Fjärrbearbetning |
| 6.8 | 16.1.2, 16.1.3 | Händelserapportering för informationssäkerhet |
| ISO/IEC 27002:2022 Kontrollidentifierare | ISO/IEC 27002:2013 Kontrollidentifierare | Kontrollnamn |
|---|---|---|
| 7.1 | 11.1.1 | Fysiska säkerhetsområden |
| 7.2 | 11.1.2, 11.1.6 | Fysiskt inträde |
| 7.3 | 11.1.3 | Säkra kontor, rum och lokaler |
| 7.4 | NYA | Fysisk säkerhetsövervakning |
| 7.5 | 11.1.4 | Skydd mot fysiska och miljömässiga hot |
| 7.6 | 11.1.5 | Arbeta i säkra områden |
| 7.7 | 11.2.9 | Tydligt skrivbord och tydlig skärm |
| 7.8 | 11.2.1 | Utrustningsplacering och skydd |
| 7.9 | 11.2.6 | Säkerhet av tillgångar utanför lokaler |
| 7.10 | 08.3.1, 08.3.2, 08.3.3, 11.2.5 | Lagringsmedia |
| 7.11 | 11.2.2 | Stöd till verktyg |
| 7.12 | 11.2.3 | Kabelsäkerhet |
| 7.13 | 11.2.4 | Utrustningsunderhåll |
| 7.14 | 11.2.7 | Säker kassering eller återanvändning av utrustning |
Hur ISMS.online hjälper
ISO 27002-standarden är en uppsättning riktlinjer som hjälper organisationer att skydda sina informationstillgångar. Den är tillämplig på alla typer av organisationer, oavsett storlek, struktur eller bransch.
ISMS.online är en molnbaserad plattform som erbjuder hjälp med att implementera ISO 27002-standarden effektivt och kostnadseffektivt.
Det ger organisationer enkel tillgång till uppdaterad information om deras efterlevnadsstatus hela tiden genom dess användarvänliga instrumentpanelsgränssnitt som gör det möjligt för chefer att övervaka deras framsteg mot att uppnå efterlevnad snabbt och enkelt.
Kontakta oss idag för att BOKA EN DEMO.
