ISO 27001:2022 Vedlegg A Kontroll 8.9

Veiledning om ISO 27001:2022 vedlegg A 8.9 Samsvar

Organisasjoner må lage og vedta retningslinjer for konfigurasjonsadministrasjon for både nye og eksisterende systemer og maskinvare. Interne kontroller bør omfatte nøkkelelementer som sikkerhetskonfigurasjoner, maskinvare med konfigurasjonsfiler, og all relevant programvare eller systemer.

ISO 27001: 2022 Vedlegg A 8.9 krever at organisasjoner vurderer alle relevante roller og plikter når de etablerer en konfigurasjonspolicy, inkludert å tildele eierskap til konfigurasjoner på enhet-for-enhet eller applikasjon-for-applikasjon basis.

Veiledning om standardmaler

Organisasjoner bør strebe etter å bruke standardiserte maler for å sikre all maskinvare, programvare og systemer når det er praktisk mulig. Disse malene bør:

• Forsøk å bruke fritt tilgjengelige leverandørspesifikke og åpen kildekodeinstruksjoner for å konfigurere maskinvare- og programvareressurser optimalt.
• Sørg for at enheten, applikasjonen eller systemet overholder minimumssikkerhetskravene.
• Samarbeide med selskapets større informasjonssikkerhet aktiviteter, inkludert alle gjeldende ISO-forskrifter.
• Ta hensyn til organisasjonens spesielle forretningsbehov – spesielt med hensyn til sikkerhetsinnstillinger – samt muligheten for å bruke eller administrere en mal til enhver tid.
• Gjennomgå system- og maskinvareoppdateringer med jevne mellomrom, og eventuelle aktuelle sikkerhetstrusler, for å sikre optimal ytelse.

Veiledning om sikkerhetskontroller

Sikkerhet er av største betydning når du bruker konfigurasjonsmaler eller endrer eksisterende i samsvar med veiledningen nevnt ovenfor.

Når de vurderer maler som skal implementeres på tvers av selskapet, bør organisasjoner strebe etter å redusere potensielle informasjonssikkerhetsfarer ved å:

• Begrens mengden personell med administrativ myndighet til minst mulig.
• Deaktiver eventuelle identiteter som ikke brukes eller ikke er nødvendige.
• Spor tilgang til vedlikeholdsprogrammer, verktøy og interne innstillinger nøye.
• Sørg for at klokkene er koordinert for å registrere konfigurasjonen nøyaktig og hjelpe eventuelle fremtidige sonder.
• Bytt umiddelbart standardpassord eller sikkerhetsinnstillinger som følger med enhver enhet, tjeneste eller program.
• Implementer en forhåndsinnstilt avloggingsperiode for alle enheter, systemer eller applikasjoner som har vært inaktive i en forhåndsbestemt tidsramme.
• Sørg for samsvar med ISO 27001:2022 vedlegg A 5.32 for å garantere at alle lisensieringskrav er oppfylt.

Veiledning om administrering og overvåking av konfigurasjoner

Organisasjonen er forpliktet til å beholde og registrere konfigurasjoner, sammen med en historikk over eventuelle endringer eller nye oppsett, i tråd med ISO 27001:2022 Annex A 8.32 Change Management-prosessen.

Logger bør inneholde informasjon som detaljer:

• Hvem har eiendelen.
• Registrer tidspunktet for den siste konfigurasjonsendringen.
• Denne versjonen av konfigurasjonsmalen som er i kraft.
• Forklar eventuelle data som er relevante for eiendelens tilknytning til konfigurasjoner på andre gadgets/systemer.

Organisasjoner bør bruke et bredt spekter av metoder for å holde oversikt over hvordan konfigurasjonsfiler fungerer på tvers av nettverket, for eksempel:

• Automasjon.
• Spesialiserte konfigurasjonsvedlikeholdsprogrammer er tilgjengelige for bruk. Disse programmene muliggjør effektiv og effektiv styring av innstillinger.
• Fjernstøtteverktøy som automatisk fyller ut konfigurasjonsdata for hver enhet.
• Bedriftsenhets- og programvareadministrasjonsverktøy er laget for å observere store mengder konfigurasjonsdata samtidig.
• BUDR-programvaren gir automatiserte sikkerhetskopier av konfigurasjoner til et sikkert sted, og kan eksternt eller på stedet gjenopprette maler til funksjonsfeil eller kompromitterte enheter.

Organisasjoner bør bruke spesialisert programvare for å overvåke endringer i en enhets konfigurasjon, og ta raske tiltak for å enten godkjenne eller tilbakestille transformasjonen til dens opprinnelige status.

Medfølgende vedlegg A kontroller

• ISO 27001:2022 vedlegg A 5.32
• ISO 27001:2022 vedlegg A 8.32

Endringer og forskjeller fra ISO 27001:2013

ISO 27001:2022 vedlegg A 8.9 finnes ikke i ISO 27001:2013, ettersom det er et nytt tillegg i 2022-revisjonen.

Tabell over alle ISO 27001:2022 vedlegg A kontroller

I tabellen nedenfor finner du mer informasjon om hver enkelt ISO 27001:2022 Vedlegg A Kontroll.

Hvordan ISMS.online Hjelp

ISMS.Online gir en omfattende tilnærming til ISO 27001 implementering. Den tilbyr en fullservicepakke, som sikrer at hele prosessen håndteres raskt og effektivt. Den gir alle nødvendige verktøy, ressurser og veiledning for å gjøre det mulig for organisasjoner å implementere standarden med tillit.

Dette nettbaserte systemet lar deg demonstrere at din Informasjonssikkerhetsstyringssystem (ISMS) oppfyller aksepterte standarder, med gjennomtenkte prosesser, prosedyrer og sjekklister.

Kontakt oss nå for å arrangere en demonstrasjon.