Syfte med kontroll 8.9
Konfigurationer – oavsett om de fungerar som en enda konfigurationsfil, eller en grupp av konfigurationer kopplade samman – är de underliggande parametrarna som styr hur hårdvara, mjukvara och till och med hela nätverk hanteras.
Som ett exempel kommer en brandväggs konfigurationsfil att innehålla de baslinjeattribut som enheten använder för att hantera trafik till och från en organisations nätverk, inklusive blockeringslistor, portvidarebefordran, virtuella LAN och VPN-information.
Konfigurationshantering är en integrerad del av en organisations bredare kapitalförvaltningsverksamhet. Konfigurationer är nyckeln för att säkerställa att ett nätverk inte bara fungerar som det ska, utan också för att säkra enheter mot obehöriga ändringar eller felaktiga ändringar från underhållspersonalens och/eller leverantörernas sida.
Attributtabell för kontroll 8.9
Kontroll 8.9 är en preventative kontrollera det upprätthåller risken genom att upprätta en serie policyer som styr hur en organisation dokumenterar, implementerar, övervakar och granskar användningen av konfigurationer över hela sitt nätverk.
| Kontroll typ | Informationssäkerhetsegenskaper | Cybersäkerhetskoncept | Operativa förmågor | Säkerhetsdomäner |
|---|---|---|---|---|
| #Förebyggande | #Sekretess | #Skydda | #Säker konfiguration | #Skydd |
| #Integritet | ||||
| #Tillgänglighet |
Äganderätt till kontroll 8.9
Konfigurationshantering är enbart en administrativ uppgift som handlar om underhåll och övervakning av tillgångsinformation och data som finns på ett brett utbud av enheter och applikationer. Som sådan bör ägandet ligga hos IT-chefen eller motsvarande i organisationen.
Befria dig från ett berg av kalkylblad
Bädda in, utöka och skala upp er efterlevnad utan krångel. IO ger er motståndskraften och självförtroendet att växa säkert.
Allmän vägledning om efterlevnad
På det hela taget, organisationens behov av att utarbeta och implementera policyer för konfigurationshantering för både nya system och hårdvara, och alla som redan används. Interna kontroller bör inkludera affärskritiska element som säkerhetskonfigurationer, all hårdvara som innehåller en konfigurationsfil och alla relevanta program eller system.
Kontroll 8.9 ber organisationer att överväga alla relevanta roller och ansvarsområden när de implementerar en konfigurationspolicy, inklusive delegerat ägande av konfigurationer på enhet för enhet eller applikation för applikation.
Vägledning – Standardmallar
Om möjligt bör organisationer använda standardiserade mallar för att säkra all hårdvara, mjukvara och system. Mallar bör:
- Försök att använda allmänt tillgängliga, leverantörsspecifika och/eller öppen källkodsvägledning om hur man bäst konfigurerar hård- och mjukvarutillgångar.
- Uppfyll minimisäkerhetskraven för enheten, applikationen eller systemet som de är tillämpliga på.
- Arbeta i harmoni med organisationens bredare informationssäkerhetsinsatser, inklusive alla relevanta ISO-kontroller.
- Tänk på organisationens unika affärskrav – särskilt när det gäller säkerhetskonfigurationer – inklusive hur genomförbart det är att tillämpa eller hantera en mall vid varje given tidpunkt.
- Granskas med lämpliga intervaller för att tillgodose system- och/eller hårdvaruuppdateringar eller rådande säkerhetshot.
Vägledning – Säkerhetskontroller
Säkerhet är av största vikt när du använder konfigurationsmallar eller ändrar befintliga mallar i enlighet med ovanstående riktlinjer.
När man överväger standardmallar för användning i hela organisationen, för att minimera eventuella informationssäkerhetsrisker bör organisationer:
- Håll antalet användare med administratörsbehörighet till ett minimum.
- Inaktivera alla oanvända eller onödiga identiteter.
- Övervaka noggrant åtkomsten till underhållsprogram, verktygsapplikationer och interna inställningar.
- Se till att klockorna är synkroniserade för att logga konfigurationen korrekt och bistå vid eventuella framtida undersökningar.
- Ändra omedelbart alla standardlösenord eller standardsäkerhetsinställningar som medföljer någon enhet, tjänst eller applikation.
- Implementera en standardutloggningsperiod för alla enheter, system eller applikationer som har lämnats vilande under en viss tidsperiod.
- Se till att alla licenskrav har uppfyllts (se Kontroll 5.32).
ISO 27001 på ett enkelt sätt
Ett försprång på 81 % från dag ett
Vi har gjort det hårda arbetet åt dig, vilket ger dig ett försprång på 81 % från det ögonblick du loggar in. Allt du behöver göra är att fylla i tomrummen.
Vägledning – Hantera och övervaka konfigurationer
En organisation har ett ansvar att underhålla och lagra konfigurationer, inklusive att hålla en granskning av eventuella ändringar eller nya installationer, i linje med en publicerad process för förändringshantering (se Kontroll 8.32).
Loggar bör innehålla information som beskriver:
- Vem äger tillgången.
- En tidsstämpel för den senaste konfigurationsändringen.
- Den aktuella versionen av konfigurationsmallen.
- All relevant information som förklarar tillgångsrelationen med konfigurationer som finns på andra enheter eller system.
Organisationer bör använda ett brett utbud av tekniker för att övervaka driften av konfigurationsfiler över deras nätverk, inklusive:
- Automatisering.
- Specialiserade program för konfigurationsunderhåll.
- Fjärrsupportverktyg som automatiskt fyller i konfigurationsinformation på enhet för enhet.
- Verktyg för hantering av företagsenheter och programvara som är utformade för att övervaka stora mängder konfigurationsdata på en gång.
- BUDR-programvara som automatiskt säkerhetskopierar konfigurationer till en säker plats och återställer mallar antingen på distans eller på plats till komprometterade och/eller felaktiga enheter.
Organisationer bör konfigurera specialiserad programvara för att spåra eventuella ändringar i en enhets konfiguration och vidta lämpliga åtgärder för att åtgärda ändringen så snart som möjligt, antingen genom att validera ändringen eller återställa konfigurationen till dess ursprungliga tillstånd.
Stödjande riktlinjer
- 5.32
- 8.32
Hantera all din efterlevnad, allt på ett ställe
ISMS.online stöder över 100 standarder och föreskrifter, vilket ger dig en enda plattform för alla dina efterlevnadsbehov.
Ändringar och skillnader från ISO 27002:2013
Ingen. Kontroll 8.9 har inget prejudikat i ISO 27002:2013 eftersom det är nytt.
Nya ISO 27002 kontroller
| ISO/IEC 27002:2022 Kontrollidentifierare | ISO/IEC 27002:2013 Kontrollidentifierare | Kontrollnamn |
|---|---|---|
| 5.7 | NYA | Hot intelligens |
| 5.23 | NYA | Informationssäkerhet för användning av molntjänster |
| 5.30 | NYA | ICT-beredskap för kontinuitet i verksamheten |
| 7.4 | NYA | Fysisk säkerhetsövervakning |
| 8.9 | NYA | Konfigurationshantering |
| 8.10 | NYA | Radering av information |
| 8.11 | NYA | Datamaskering |
| 8.12 | NYA | Förebyggande av dataläckage |
| 8.16 | NYA | Övervakningsaktiviteter |
| 8.23 | NYA | Webbfiltrering |
| 8.28 | NYA | Säker kodning |
| ISO/IEC 27002:2022 Kontrollidentifierare | ISO/IEC 27002:2013 Kontrollidentifierare | Kontrollnamn |
|---|---|---|
| 6.1 | 07.1.1 | Screening |
| 6.2 | 07.1.2 | Anställningsvillkor |
| 6.3 | 07.2.2 | Informationssäkerhetsmedvetenhet, utbildning och träning |
| 6.4 | 07.2.3 | Disciplinär process |
| 6.5 | 07.3.1 | Ansvar efter uppsägning eller byte av anställning |
| 6.6 | 13.2.4 | Sekretess- eller sekretessavtal |
| 6.7 | 06.2.2 | Fjärrbearbetning |
| 6.8 | 16.1.2, 16.1.3 | Händelserapportering för informationssäkerhet |
| ISO/IEC 27002:2022 Kontrollidentifierare | ISO/IEC 27002:2013 Kontrollidentifierare | Kontrollnamn |
|---|---|---|
| 7.1 | 11.1.1 | Fysiska säkerhetsområden |
| 7.2 | 11.1.2, 11.1.6 | Fysiskt inträde |
| 7.3 | 11.1.3 | Säkra kontor, rum och lokaler |
| 7.4 | NYA | Fysisk säkerhetsövervakning |
| 7.5 | 11.1.4 | Skydd mot fysiska och miljömässiga hot |
| 7.6 | 11.1.5 | Arbeta i säkra områden |
| 7.7 | 11.2.9 | Tydligt skrivbord och tydlig skärm |
| 7.8 | 11.2.1 | Utrustningsplacering och skydd |
| 7.9 | 11.2.6 | Säkerhet av tillgångar utanför lokaler |
| 7.10 | 08.3.1, 08.3.2, 08.3.3, 11.2.5 | Lagringsmedia |
| 7.11 | 11.2.2 | Stöd till verktyg |
| 7.12 | 11.2.3 | Kabelsäkerhet |
| 7.13 | 11.2.4 | Utrustningsunderhåll |
| 7.14 | 11.2.7 | Säker kassering eller återanvändning av utrustning |
Hur ISMS.online hjälper
ISMS.Online är en komplett lösning för implementering av ISO 27002.
Det är ett webbaserat system som låter dig visa att ditt ledningssystem för informationssäkerhet (ISMS) är kompatibelt med godkända standarder med hjälp av genomtänkta processer och procedurer och checklistor.
Hör av dig idag för att boka en demo.
