ISO 27001:2022 Vedlegg A Kontroll 8.1

Generell veiledning for ISO 27001:2022 vedlegg A 8.1 Samsvar

Organisasjoner må, i henhold til ISO 27001:2022 vedlegg Al 8.1, lage en policy som dekker sikker konfigurasjon og bruk av brukerendepunktsenheter.

Personalet må gjøres oppmerksom på denne policyen, som omfatter:

• Hva slags data, spesielt når det gjelder sikkerhetsnivå, kan behandles, lagres eller brukes i brukerendepunkter?
• Enheter må registreres.
• Fysisk beskyttelse av enheter er obligatorisk.
• Det er forbudt å installere programvare på enheter.
• Regler for installasjon av programvare på enheter og oppdatering av programvare må følges.
• Reglene som regulerer tilkoblingen av brukerendepunktsenheter til det offentlige nettverket eller til nettverk som befinner seg utenfor stedet.
• Tilgangskontroller.
• Lagringsmediets vertsinformasjonsressurser må være kryptert.
• Enheter skal sikres mot inntrengning av skadelig programvare.
• Enheter kan deaktiveres eller sperres fra bruk, og data som er lagret i dem kan slettes eksternt.
• Back-up planer og protokoller bør være på plass.
• Regler for bruk av webapplikasjoner og tjenester.
• Analysere sluttbrukeratferd for å få innsikt i hvordan de samhandler med systemet.
• Flyttbare lagringsmedier, for eksempel USB-stasjoner, kan brukes med stor effekt. Dessuten kan fysiske porter, f.eks. USB-porter, deaktiveres.
• Segregeringsfunksjoner kan brukes til å holde organisasjonens informasjonsressurser forskjellig fra andre eiendeler som er lagret på brukerenheten.

Organisasjoner bør tenke på å forby lagring av ømfintlige data på brukerens endepunktsenheter via tekniske kontroller, ifølge den generelle veiledningen.

Deaktivering av lokale lagringsfunksjoner som SD-kort kan være blant de tekniske kontrollene som brukes.

Organisasjoner bør implementere Configuration Management som skissert i ISO 27001:2022 Annex A Control 8.9 og bruke automatiserte verktøy.

Supplerende veiledning om brukeransvar

Personalet bør informeres om sikkerheten tiltak for brukerendepunktsenheter og deres plikter til å overholde dem. I tillegg bør de forstå sin rolle i implementeringen av disse tiltakene og prosedyrene.

Organisasjoner bør pålegge personell å overholde følgende forskrifter og prosesser:

• Når en tjeneste ikke lenger er nødvendig eller en økt er fullført, bør brukere logge ut og avslutte tjenesten.
• Personell bør ikke forlate enhetene sine uten tilsyn. Når de ikke er i bruk, bør personalet sikre sikkerheten av enhetene deres ved å bruke fysiske tiltak som nøkkellåser og tekniske tiltak som sterke passord.
• Personalet bør utvise ekstra forsiktighet når de bruker endepunktenheter som inneholder konfidensielle data på offentlige steder som mangler sikkerhet.
• Brukerendepunktsenheter må beskyttes mot tyveri, spesielt på farlige steder som hotellrom, møterom eller offentlig transport.

Organisasjoner bør utarbeide et spesielt system for å håndtere tap eller tyveri av brukerens endepunktenheter. Dette systemet må konstrueres med tanke på juridiske, kontraktsmessige og sikkerhetsmessige behov.

Supplerende veiledning om bruk av personlige enheter (BYOD)

Å tillate personell å bruke sine egne enheter til arbeidsrelaterte aktiviteter kan spare organisasjoner penger, men det utsetter konfidensielle data for potensielle risikoer.

ISO 27001:2022 vedlegg A 8.1 foreslår fem ting for organisasjoner å ta hensyn til når de tillater ansatte å bruke sine personlige enheter til arbeidsrelaterte aktiviteter:

1. Tekniske tiltak som programvareverktøy bør settes på plass for å skille personlig og forretningsmessig bruk av enheter, og sikre organisasjonens informasjon.
2. Personell kan ha tilgang til sin egen enhet under forutsetning av at de samtykker til følgende:
• Personalet erkjenner sin plikt til å fysisk beskytte enheter og oppfylle viktige programvareoppdateringer.
• Personalet samtykker i å ikke hevde noen eierrettigheter over selskapets data.
• Personalet er enig i at dataene i enheten kan fjernslettes hvis de går tapt eller blir stjålet, i samsvar med juridiske retningslinjer for personlig informasjon.
3. Sett opp retningslinjer angående rettigheter til åndsverk generert ved hjelp av brukerens endepunkt-gadgets.
4. Når det gjelder lovbestemte restriksjoner på slik tilgang, hvordan tilgang til personells private enheter.
5. Å tillate ansatte å bruke sine individuelle dingser kan medføre juridisk ansvar forårsaket av bruk av tredjepartsprogramvare på disse gadgetene. Bedrifter bør reflektere over programvarelisensavtalene de har med sine leverandører.

Supplerende veiledning om trådløse tilkoblinger

Organisasjoner bør opprette og opprettholde praksis for:

• Konfigurering av de trådløse tilkoblingene på enhetene bør gjøres med forsiktighet. Sørg for at hver tilkobling er sikker og pålitelig.
• Trådløse eller kablede tilkoblinger, med båndbredde for å overholde emnespesifikke retningslinjer, må brukes.

Ytterligere veiledning om vedlegg A 8.1

Når ansatte tar endepunktenhetene sine ut av organisasjonen, kan dataene som er lagret på dem ha større risiko for å bli kompromittert. Følgelig må organisasjoner implementere ulike sikkerhetstiltak for enheter som brukes utenfor deres lokaler.

ISO 27001:2022 vedlegg A 8.1 advarer organisasjoner om to risikoer forbundet med trådløse tilkoblinger som kan føre til tap av data:

1. Trådløse tilkoblinger med begrenset kapasitet kan føre til sammenbrudd av sikkerhetskopiering av data.
2. Brukerendepunkter kan noen ganger miste forbindelsen til det trådløse nettverket og planlagte sikkerhetskopier kan svikte. For å sikre datasikkerhet og pålitelighet bør det gjøres regelmessige sikkerhetskopier og tilkobling til det trådløse nettverket bør overvåkes regelmessig.

Endringer og forskjeller fra ISO 27001:2013

ISO 27001:2022 vedlegg A 8.1 erstatter ISO 27001:2013 vedlegg A 6.2.1 og vedlegg A 12.2.8 i den reviderte 2022-standarden.

Strukturelle forskjeller

I motsetning til ISO 27001:2022 som har en enkelt kontroll som dekker brukerendepunktsenheter (8.1), inneholdt ISO 27001:2013 to separate kontroller: Mobile Device Policy (vedlegg A, kontroll 6.2.1) og uovervåket brukerutstyr (kontroll 11.2.8) ).

Mens ISO 27001:2022 vedlegg A Kontroll 8.1 dekker alle brukerendepunktsenheter som bærbare datamaskiner, nettbrett og mobiltelefoner, adresserte 2013-versjonen kun mobile enheter.

ISO 27001:2022 foreskriver tilleggskrav for brukeransvar

Begge versjoner av avtalen krever et visst nivå av personlig ansvarlighet fra brukere; 2022-versjonen har imidlertid et ekstra krav:

• Personell bør utvise ekstra forsiktighet når de bruker endepunktenheter som inneholder sensitive data i offentlige rom som kan være usikre.

ISO 27001:2022 er mer omfattende når det gjelder BYOD

Sammenlignet med 2013 introduserer vedlegg A 8.1 i 2022 tre nye krav for BYOD (Bring Your Own Device) bruk av personell:

1. Det er nødvendig å etablere retningslinjer angående immaterielle rettigheter til kreasjoner laget ved hjelp av brukerendepunktenheter. Slike retningslinjer må være nøyaktige og klare, og sikre at alle relevante parter anerkjenner sine rettigheter og plikter.
2. Med tanke på de juridiske grensene for tilgang til personells private enheter, hvordan vil dette administreres?
3. Å tillate personell å bruke sine egne enheter kan resultere i juridisk ansvar på grunn av bruk av tredjepartsprogramvare på disse enhetene. Organisasjoner bør tenke over programvarelisensavtalene de har med sine leverandører.

ISO 27001:2022 krever en mer detaljert emnespesifikk policy

I forhold til ISO 27001:2013, må organisasjoner nå implementere en policy som er spesifikk for hvert emne på brukerenheter.

ISO 27001:2022 vedlegg A 8.1 er mer omfattende, og inneholder tre nye elementer som skal inkluderes:

1. Analyse av sluttbrukeratferd ble foretatt.
2. USB-stasjoner er en fin måte å overføre data på, og fysiske USB-porter kan deaktiveres for å forhindre slike overføringer.
3. Segregering av organisasjonens informasjonsressurser kan oppnås ved å utnytte teknologiske muligheter. Dette gjør at ressursene kan skilles fra andre eiendeler som er lagret på brukerenheten.

Tabell over alle ISO 27001:2022 vedlegg A kontroller

I tabellen nedenfor finner du mer informasjon om hver enkelt ISO 27001:2022 vedlegg A-kontroll.

Hvordan ISMS.online Hjelp

ISMS.online er ISO 27001:2022-programvaren for styringssystem. Det letter overholdelse av standarden, og hjelper organisasjoner med å tilpasse sikkerhetspolicyer og -prosedyrer.

Dette skybasert plattform tilbyr et komplett utvalg av verktøy for å hjelpe virksomheter med å lage et ISMS (Information Security Management System) som overholder ISO 27001.

Kontakt oss nå for å arrangere en demonstrasjon.