ISO 27001:2022 Vedlegg A Kontroll 8.7

Veiledning om ISO 27001:2022 vedlegg A 8.7 Samsvar

Vedlegg A 8.7 krever at selskaper utfører et forsvar mot skadelig programvare som omfatter fire hovedaspekter:

1. Kontrollerte systemer og kontotilgang.
2. Endringsledelse.
3. Anti-malware programvare.
4. Organisasjons informasjonssikkerhet bevisstgjøring (brukeropplæring).

ISO advarer mot å tro at anti-malware programvare er nok til å gi et sikkert miljø. ISO 27001:2022 vedlegg A 8.7 oppfordrer organisasjoner til å ta i bruk en ende-til-ende-strategi mot skadelig programvare, en som begynner med opplæring av brukere og kulminerer i et sikkert nettverk som minimerer muligheten for inntrenging fra en rekke angrepskilder.

Organisasjoner bør iverksette tiltak for å nå sine mål, inkludert:

• Fraråder bruk av ikke-godkjent programvare (se vedlegg A 8.19 og vedlegg A 8.32).
• Stopp tilgangen til ondsinnede eller uegnede nettsteder.
• Reduser antallet sårbarheter som eksisterer på nettverket deres som kan utnyttes av skadevare eller personer med dårlige hensikter (se vedlegg A 8.8 og vedlegg A 8.19).
• Gjennomfør hyppige programvarevurderinger for å oppdage uautorisert programvare, systemendringer og/eller data på nettverket.
• Sikre data og applikasjoner med minimal risiko, gjennom intern eller ekstern anskaffelse.
• Organisasjoner bør implementere en policy for deteksjon av skadelig programvare som involverer regelmessige og omfattende skanninger av alle relevante systemer og filer, skreddersydd for hvert områdes distinkte risiko. En "defence in depth"-tilnærming, inkludert endepunktenheter og gatewaykontroller, bør tas i bruk, som tar hensyn til en rekke angrepsvektorer (f.eks. løsepengevare).
• Avverge inntrenging som stammer fra nødprotokoller og -prosedyrer – spesielt når det er en hendelse eller høyrisiko vedlikeholdsaktiviteter.
• Lag en prosess som gjør det mulig for teknisk personell å deaktivere noen eller alle tiltak mot skadelig programvare når de hindrer organisasjonens drift.
• Implementer en solid plan for sikkerhetskopiering og katastrofegjenoppretting (BUDR) som gjør det lettere for organisasjonen å gjenoppta driften så tidlig som mulig, etter avbrudd (se vedlegg A 8.13). Dette bør omfatte prosedyrer for programvare som ikke kan beskyttes av anti-malware programvare (f.eks. maskinprogramvare).
• Del nettverket og/eller digitale og virtuelle arbeidsrom i seksjoner for å forhindre katastrofal skade dersom et angrep skulle oppstå.
• Gi alt personell opplæring i anti-malware for å øke deres forståelse av en stor samling av emner, inkludert (men ikke begrenset til):
• E-post sikkerhet
• Installerer skadelig programvare
• Sosialteknikk
• Samle informasjon om de nyeste fremskrittene innen skadevaresikkerhet knyttet til bransjen.
• Sørg for at alle varsler om potensielle skadelig programvareangrep (spesielt fra programvare- og maskinvareleverandører) kommer fra en pålitelig kilde og er presise.

Medfølgende vedlegg A kontroller

• ISO 27001:2022 vedlegg A 8.13
• ISO 27001:2022 vedlegg A 8.19
• ISO 27001:2022 vedlegg A 8.32
• ISO 27001:2022 vedlegg A 8.8

Endringer og forskjeller fra ISO 27001:2013

ISO 27001:2022 vedlegg A 8.7 erstatter ISO 27001:2013 Vedlegg A 12.2.1 (som tok for seg kontroller mot skadelig programvare).

ISO 27001:2022 Annex A 8.7 ligner ISO 27001:2013 Annex A 12.2.1, men noen av tilleggsrådene har fått høyere prioritet, tatt i betraktning deres betydning for firmaers anti-malware-programmer. Konkret inkluderer det:

• Det er viktig å sikre sikkerhet mot skadelig programvare i vedlikeholdsperioder.

ISO 27001:2013 Annex A 12.2.1 ber organisasjoner tenke på å bruke to forskjellige anti-malware-plattformer, mens ISO 27001:2022 Annex A 8.7 er fornøyd med én enkelt integrert løsning.

Tabell over alle ISO 27001:2022 vedlegg A kontroller

I tabellen nedenfor finner du mer informasjon om hver enkelt ISO 27001:2022 vedlegg A Kontroll.

Hvordan ISMS.online Hjelp

Vår plattform gir deg tilpassbare dashboards som gir deg sanntidsforståelse av din etterlevelse.

Du kan overvåke og kontrollere hele ISO 27001:2022-samsvaret ditt fra ett sted, inkludert revisjonsledelse, gapanalyse, opplæringsstyring, risikovurdering og mer.

Denne omfattende plattformen tilbyr en enkel og integrert løsning som kan brukes døgnet rundt fra alle enheter koblet til internett. Det legger til rette for et sømløst og sikkert samarbeid mellom ansatte for å overvåke sikkerhetsrisikoer og holde oversikt over organisasjonens fremgang med å oppnå ISO 27001:2022-sertifisering.

Kontakt oss nå for å arrangere en demonstrasjon.