Konfigurationer – oavsett om de fungerar som en enda konfigurationsfil, eller en grupp av konfigurationer kopplade samman – är de underliggande parametrarna som styr hur hårdvara, mjukvara och till och med hela nätverk hanteras.
Som ett exempel kommer en brandväggs konfigurationsfil att innehålla de baslinjeattribut som enheten använder för att hantera trafik till och från en organisations nätverk, inklusive blockeringslistor, portvidarebefordran, virtuella LAN och VPN-information.
Konfigurationshantering är en integrerad del av en organisations bredare kapitalförvaltningsverksamhet. Konfigurationer är nyckeln för att säkerställa att ett nätverk inte bara fungerar som det ska, utan också för att säkra enheter mot obehöriga ändringar eller felaktiga ändringar från underhållspersonalens och/eller leverantörernas sida.
Kontroll 8.9 är en preventative kontrollera det upprätthåller risken genom att upprätta en serie policyer som styr hur en organisation dokumenterar, implementerar, övervakar och granskar användningen av konfigurationer över hela sitt nätverk.
Konfigurationshantering är enbart en administrativ uppgift som handlar om underhåll och övervakning av tillgångsinformation och data som finns på ett brett utbud av enheter och applikationer. Som sådan bör ägandet ligga hos IT-chefen eller motsvarande i organisationen.
Kontroll typ | Informationssäkerhetsegenskaper | Cybersäkerhetskoncept | Operativa förmågor | Säkerhetsdomäner |
---|---|---|---|---|
#Förebyggande | #Sekretess #Integritet #Tillgänglighet | #Skydda | #Säker konfiguration | #Skydd |
På det hela taget, organisationens behov av att utarbeta och implementera policyer för konfigurationshantering för både nya system och hårdvara, och alla som redan används. Interna kontroller bör inkludera affärskritiska element som säkerhetskonfigurationer, all hårdvara som innehåller en konfigurationsfil och alla relevanta program eller system.
Kontroll 8.9 ber organisationer att överväga alla relevanta roller och ansvarsområden när de implementerar en konfigurationspolicy, inklusive delegerat ägande av konfigurationer på enhet för enhet eller applikation för applikation.
Om möjligt bör organisationer använda standardiserade mallar för att säkra all hårdvara, mjukvara och system. Mallar bör:
Säkerhet är av största vikt när du använder konfigurationsmallar eller ändrar befintliga mallar i enlighet med ovanstående riktlinjer.
När man överväger standardmallar för användning i hela organisationen, för att minimera eventuella informationssäkerhetsrisker bör organisationer:
En organisation har ett ansvar att underhålla och lagra konfigurationer, inklusive att hålla en granskning av eventuella ändringar eller nya installationer, i linje med en publicerad process för förändringshantering (se Kontroll 8.32).
Loggar bör innehålla information som beskriver:
Organisationer bör använda ett brett utbud av tekniker för att övervaka driften av konfigurationsfiler över deras nätverk, inklusive:
Organisationer bör konfigurera specialiserad programvara för att spåra eventuella ändringar i en enhets konfiguration och vidta lämpliga åtgärder för att åtgärda ändringen så snart som möjligt, antingen genom att validera ändringen eller återställa konfigurationen till dess ursprungliga tillstånd.
Ingen. Kontroll 8.9 har inget prejudikat i ISO 27002:2013 eftersom det är nytt.
ISMS.Online är en komplett lösning för implementering av ISO 27002.
Det är ett webbaserat system som låter dig visa att ditt ledningssystem för informationssäkerhet (ISMS) är kompatibelt med godkända standarder med hjälp av genomtänkta processer och procedurer och checklistor.
Hör av dig idag för att boka en demo.
Vi ger dig ett försprång på 81 %
från det ögonblick du loggar in
Boka din demo
ISO/IEC 27002:2022 Kontrollidentifierare | ISO/IEC 27002:2013 Kontrollidentifierare | Kontrollnamn |
---|---|---|
5.7 | Nya | Hot intelligens |
5.23 | Nya | Informationssäkerhet för användning av molntjänster |
5.30 | Nya | ICT-beredskap för kontinuitet i verksamheten |
7.4 | Nya | Fysisk säkerhetsövervakning |
8.9 | Nya | Konfigurationshantering |
8.10 | Nya | Radering av information |
8.11 | Nya | Datamaskering |
8.12 | Nya | Förebyggande av dataläckage |
8.16 | Nya | Övervakningsaktiviteter |
8.23 | Nya | Webbfiltrering |
8.28 | Nya | Säker kodning |
ISO/IEC 27002:2022 Kontrollidentifierare | ISO/IEC 27002:2013 Kontrollidentifierare | Kontrollnamn |
---|---|---|
6.1 | 07.1.1 | Screening |
6.2 | 07.1.2 | Anställningsvillkor |
6.3 | 07.2.2 | Informationssäkerhetsmedvetenhet, utbildning och träning |
6.4 | 07.2.3 | Disciplinär process |
6.5 | 07.3.1 | Ansvar efter uppsägning eller byte av anställning |
6.6 | 13.2.4 | Sekretess- eller sekretessavtal |
6.7 | 06.2.2 | Fjärrbearbetning |
6.8 | 16.1.2, 16.1.3 | Händelserapportering för informationssäkerhet |
ISO/IEC 27002:2022 Kontrollidentifierare | ISO/IEC 27002:2013 Kontrollidentifierare | Kontrollnamn |
---|---|---|
7.1 | 11.1.1 | Fysiska säkerhetsområden |
7.2 | 11.1.2, 11.1.6 | Fysiskt inträde |
7.3 | 11.1.3 | Säkra kontor, rum och lokaler |
7.4 | Nya | Fysisk säkerhetsövervakning |
7.5 | 11.1.4 | Skydd mot fysiska och miljömässiga hot |
7.6 | 11.1.5 | Arbeta i säkra områden |
7.7 | 11.2.9 | Tydligt skrivbord och tydlig skärm |
7.8 | 11.2.1 | Utrustningsplacering och skydd |
7.9 | 11.2.6 | Säkerhet av tillgångar utanför lokaler |
7.10 | 08.3.1, 08.3.2, 08.3.3, 11.2.5 | Lagringsmedia |
7.11 | 11.2.2 | Stöd till verktyg |
7.12 | 11.2.3 | Kabelsäkerhet |
7.13 | 11.2.4 | Utrustningsunderhåll |
7.14 | 11.2.7 | Säker kassering eller återanvändning av utrustning |