ISO 27002:2022 – Kontroll 8.9 – Konfigurationshantering

Syfte med kontroll 8.9

Konfigurationer – oavsett om de fungerar som en enda konfigurationsfil, eller en grupp av konfigurationer kopplade samman – är de underliggande parametrarna som styr hur hårdvara, mjukvara och till och med hela nätverk hanteras.

Som ett exempel kommer en brandväggs konfigurationsfil att innehålla de baslinjeattribut som enheten använder för att hantera trafik till och från en organisations nätverk, inklusive blockeringslistor, portvidarebefordran, virtuella LAN och VPN-information.

Konfigurationshantering är en integrerad del av en organisations bredare kapitalförvaltningsverksamhet. Konfigurationer är nyckeln för att säkerställa att ett nätverk inte bara fungerar som det ska, utan också för att säkra enheter mot obehöriga ändringar eller felaktiga ändringar från underhållspersonalens och/eller leverantörernas sida.

Attributtabell för kontroll 8.9

Kontroll 8.9 är en preventative kontrollera det upprätthåller risken genom att upprätta en serie policyer som styr hur en organisation dokumenterar, implementerar, övervakar och granskar användningen av konfigurationer över hela sitt nätverk.

Äganderätt till kontroll 8.9

Konfigurationshantering är enbart en administrativ uppgift som handlar om underhåll och övervakning av tillgångsinformation och data som finns på ett brett utbud av enheter och applikationer. Som sådan bör ägandet ligga hos IT-chefen eller motsvarande i organisationen.

Allmän vägledning om efterlevnad

På det hela taget, organisationens behov av att utarbeta och implementera policyer för konfigurationshantering för både nya system och hårdvara, och alla som redan används. Interna kontroller bör inkludera affärskritiska element som säkerhetskonfigurationer, all hårdvara som innehåller en konfigurationsfil och alla relevanta program eller system.

Kontroll 8.9 ber organisationer att överväga alla relevanta roller och ansvarsområden när de implementerar en konfigurationspolicy, inklusive delegerat ägande av konfigurationer på enhet för enhet eller applikation för applikation.

Vägledning – Standardmallar

Om möjligt bör organisationer använda standardiserade mallar för att säkra all hårdvara, mjukvara och system. Mallar bör:

1. Försök att använda allmänt tillgängliga, leverantörsspecifika och/eller öppen källkodsvägledning om hur man bäst konfigurerar hård- och mjukvarutillgångar.
2. Uppfyll minimisäkerhetskraven för enheten, applikationen eller systemet som de är tillämpliga på.
3. Arbeta i harmoni med organisationens bredare informationssäkerhetsinsatser, inklusive alla relevanta ISO-kontroller.
4. Tänk på organisationens unika affärskrav – särskilt när det gäller säkerhetskonfigurationer – inklusive hur genomförbart det är att tillämpa eller hantera en mall vid varje given tidpunkt.
5. Granskas med lämpliga intervaller för att tillgodose system- och/eller hårdvaruuppdateringar eller rådande säkerhetshot.

Vägledning – Säkerhetskontroller

Säkerhet är av största vikt när du använder konfigurationsmallar eller ändrar befintliga mallar i enlighet med ovanstående riktlinjer.

När man överväger standardmallar för användning i hela organisationen, för att minimera eventuella informationssäkerhetsrisker bör organisationer:

1. Håll antalet användare med administratörsbehörighet till ett minimum.
2. Inaktivera alla oanvända eller onödiga identiteter.
3. Övervaka noggrant åtkomsten till underhållsprogram, verktygsapplikationer och interna inställningar.
4. Se till att klockorna är synkroniserade för att logga konfigurationen korrekt och bistå vid eventuella framtida undersökningar.
5. Ändra omedelbart alla standardlösenord eller standardsäkerhetsinställningar som medföljer någon enhet, tjänst eller applikation.
6. Implementera en standardutloggningsperiod för alla enheter, system eller applikationer som har lämnats vilande under en viss tidsperiod.
7. Se till att alla licenskrav har uppfyllts (se Kontroll 5.32).

Vägledning – Hantera och övervaka konfigurationer

En organisation har ett ansvar att underhålla och lagra konfigurationer, inklusive att hålla en granskning av eventuella ändringar eller nya installationer, i linje med en publicerad process för förändringshantering (se Kontroll 8.32).

Loggar bör innehålla information som beskriver:

1. Vem äger tillgången.
2. En tidsstämpel för den senaste konfigurationsändringen.
3. Den aktuella versionen av konfigurationsmallen.
4. All relevant information som förklarar tillgångsrelationen med konfigurationer som finns på andra enheter eller system.

Organisationer bör använda ett brett utbud av tekniker för att övervaka driften av konfigurationsfiler över deras nätverk, inklusive:

1. Automatisering.
2. Specialiserade program för konfigurationsunderhåll.
3. Fjärrsupportverktyg som automatiskt fyller i konfigurationsinformation på enhet för enhet.
4. Verktyg för hantering av företagsenheter och programvara som är utformade för att övervaka stora mängder konfigurationsdata på en gång.
5. BUDR-programvara som automatiskt säkerhetskopierar konfigurationer till en säker plats och återställer mallar antingen på distans eller på plats till komprometterade och/eller felaktiga enheter.

Organisationer bör konfigurera specialiserad programvara för att spåra eventuella ändringar i en enhets konfiguration och vidta lämpliga åtgärder för att åtgärda ändringen så snart som möjligt, antingen genom att validera ändringen eller återställa konfigurationen till dess ursprungliga tillstånd.

Stödjande riktlinjer

• 5.32
• 8.32

Ändringar och skillnader från ISO 27002:2013

Ingen. Kontroll 8.9 har inget prejudikat i ISO 27002:2013 eftersom det är nytt.

Nya ISO 27002 kontroller

Hur ISMS.online hjälper

ISMS.Online är en komplett lösning för implementering av ISO 27002.

Det är ett webbaserat system som låter dig visa att ditt ledningssystem för informationssäkerhet (ISMS) är kompatibelt med godkända standarder med hjälp av genomtänkta processer och procedurer och checklistor.

Hör av dig idag för att boka en demo.