ISO 27001:2022 Vedlegg A Kontroll 8.15

Veiledning om hendelseslogginformasjon

En hendelse er enhver aktivitet utført av en fysisk eller logisk enhet på et datasystem, for eksempel en forespørsel om data, ekstern pålogging, automatisk avslutning av systemet eller sletting av en fil.

ISO 27001:2022 vedlegg A 8.15 sier at for at hver hendelseslogg skal oppfylle formålet, må den inneholde fem hovedkomponenter:

• Bruker-ID-en knyttet til personen.
• Systemaktivitet kan overvåkes for å identifisere hva som har skjedd.
• På en bestemt dato og klokkeslett skjedde en hendelse.
• Hendelsen fant sted på enheten/systemet og plasseringen ble identifisert.
• Nettverksadresser og protokoller – IP-informasjon.

Veiledning om hendelsestyper

Det er kanskje ikke mulig å logge alle hendelser på et nettverk av praktiske årsaker. Det er kanskje ikke mulig å logge hver hendelse.

ISO 27001:2022 vedlegg A 8.15 spesifiserer ti hendelser som skal logges, da de kan påvirke risiko og opprettholde et passende nivå av informasjonssikkerhet:

1. Forsøk på systemtilgang vil bli sporet og overvåket.
2. Forsøk på å få tilgang til data og/eller ressurser vil bli overvåket. Enhver slik aktivitet som anses som mistenkelig vil bli rapportert.
3. Endringer i system/OS-konfigurasjon.
4. Bruk av privilegier på høyt nivå.
5. Bruk hjelpeprogrammer eller vedlikeholdsfasiliteter (i henhold til ISO 27001:2022 vedlegg A 8.18).
6. Filtilgangsforespørsler, med slettinger, migreringer osv.
7. Adgangskontroll alarmer og viktige avbrudd.
8. Aktivering og/eller deaktivering av sikkerhetssystemer foran og bak, for eksempel antivirusprogramvare på klientsiden og brannmurbeskyttelsessystemer.
9. Identitetsadministrasjon.
10. Visse handlinger eller modifikasjoner av systemet/dataene utført under en økt i en applikasjon.

Som ISO 27001:2022 vedlegg A 8.17 skisserer, er det viktig å sikre at alle logger synkroniseres til samme tidskilde (eller kilder), og i tilfelle tredjeparts applikasjonslogger må eventuelle tidsavvik adresseres og dokumenteres.

Veiledning om loggbeskyttelse

Logger er den mest grunnleggende måten å fastslå bruker-, system- og applikasjonsaktivitet på et nettverk, spesielt når undersøkelser finner sted.

Det er viktig for organisasjoner å garantere at brukere, uavhengig av tillatelsesnivåer, ikke kan slette eller endre sine egne hendelseslogger.

Logger skal være fullstendige, nøyaktige og sikret mot alle uautoriserte endringer eller forstyrrelser, inkludert:

• Slettede eller redigerte loggfiler.
• Endringer av meldingstype.
• Unnlatelse av å produsere en logg eller overskriving av logger på grunn av lagrings- eller nettverksproblemer bør unngås.

ISO anbefaler at for å forbedre informasjonssikkerheten, bør logger beskyttes med følgende teknikker:

• Skrivebeskyttet opptak.
• Bruk av offentlige åpenhetsfiler.
• Kryptografisk hashing.
• Bare vedlegg opptak.

Organisasjoner kan kreve å sende logger til leverandører for å løse hendelser og feil. Når dette er nødvendig, bør logger "avidentifiseres" (i henhold til ISO 27001:2022 vedlegg A 8.11) med følgende informasjon maskert:

• IP-adresser.
• Vertsnavn.
• Brukernavn.

For å sikre at PII er beskyttet, bør det tas skritt i samsvar med organisasjonens personvernforskrifter og eksisterende lover (se ISO 27001:2022 vedlegg A 5.34).

Veiledning om logganalyse

Når du vurderer logger for å finne, takle og forklare cybersikkerhetshendelser – med sikte på å forhindre gjentakelser – vurder følgende:

• Personellet som utfører analysen har høy kompetanse.
• Logger analyseres i henhold til selskapets protokoll.
• Hendelsene som skal analyseres må kategoriseres og identifiseres etter type og attributt.
• Unntak som følger av nettverksregler generert av sikkerhetsprogramvare, maskinvare og plattformer skal brukes.
• Den typiske progresjonen av nettverkstrafikk i motsetning til uforutsigbare mønstre.
• Spesialisert dataanalyse avslører trender som er bemerkelsesverdige.
• Trusseletterretning.

Veiledning om loggovervåking

Logganalyse bør utføres sammen med grundig overvåkingsaktiviteter som oppdager viktige mønstre og uvanlig atferd.

Organisasjoner bør ta en todelt tilnærming for å nå sine mål:

• Gjennomgå alle forsøk på å få tilgang til sikre og forretningskritiske ressurser, for eksempel domeneservere, nettportaler og fildelingsplattformer.
• Undersøk DNS-poster for å identifisere utgående trafikk knyttet til ondsinnede kilder og skadelige serverprosedyrer.
• Samle databruksposter fra tjenesteleverandører eller interne systemer for å gjenkjenne eventuell ondsinnet oppførsel.
• Samle poster fra fysiske inngangspunkter, som nøkkelkort/fob-logger og romtilgangsdata.

Tilleggsinformasjon

Organisasjoner bør vurdere å bruke spesialiserte hjelpeprogrammer for å sile gjennom den enorme mengden informasjon som produseres av systemlogger, og dermed spare tid og ressurser når de undersøker sikkerhetshendelser, f.eks. et SIEM-verktøy.

Hvis en organisasjon bruker en skybasert plattform for noen del av sin virksomhet, bør loggadministrasjon være et delt ansvar mellom tjenesteleverandøren og organisasjonen.

Medfølgende vedlegg A kontroller

• ISO 27001:2022 vedlegg A 5.34
• ISO 27001:2022 vedlegg A 8.11
• ISO 27001:2022 vedlegg A 8.17
• ISO 27001:2022 vedlegg A 8.18

Endringer og forskjeller fra ISO 27001:2013

ISO 27001:2022 vedlegg A 8.15 erstatter tre kontroller fra ISO 27001:2013 som dekker lagring, administrasjon og analyse av loggfiler:

• 12.4.1 – Hendelseslogging
• 12.4.2 – Beskyttelse av logginformasjon
• 12.4.3 – Administrator- og operatørlogger

ISO 27001:2022 vedlegg A 8.15 tilpasser i stor grad veiledningen fra de tre kontrollene som er diskutert tidligere, og danner en klar protokoll som dekker logging, sammen med noen bemerkelsesverdige tillegg som:

• Retningslinjer som tar for seg beskyttelse av logginformasjon på en utvidet måte.
• Råd om ulike typer hendelser som bør undersøkes nøye.
• Veiledning om overvåking og analyse av logger for å forbedre informasjonssikkerheten.
• Hvordan administrere logger generert av skybaserte plattformer.

Tabell over alle ISO 27001:2022 vedlegg A kontroller

I tabellen nedenfor finner du mer informasjon om hver enkelt ISO 27001:2022 vedlegg A Kontroll.

Hvordan ISMS.online Hjelp

ISMS.online-plattformen legger til rette for hele ISO 27001 implementering, som begynner med risikovurderingsaktiviteter, og avsluttes med etablering av retningslinjer, prosedyrer og retningslinjer for å oppfylle standardens kriterier.

ISMS.online gir organisasjoner en enkel vei til ISO 27001-overholdelse via sitt automatiserte verktøysett. Dens brukervennlige funksjoner gjør det enkelt å demonstrere overholdelse av standarden.

Ta kontakt med oss ​​nå for å arrangere en demonstrasjon.