Sikring av brukerendepunktsenheter: ISO 27002-kontroll 8.1 forklart
Mens overgangen til eksternt arbeid og økende bruk av mobile enheter øker de ansattes produktivitet og sparer organisasjoner penger, er brukerens endepunktsenheter som bærbare datamaskiner, mobiltelefoner og nettbrett sårbare for cybertrusler. Dette er fordi cyberkriminelle ofte utnytter disse enhetene for å vinne uautorisert tilgang til bedriftsnettverk og kompromittere informasjonsressurser.
For eksempel kan nettkriminelle målrette ansatte med et phishing-angrep, overtale ansatte til å laste ned et malware-vedlegg, og deretter bruke denne malware-infiserte brukerendepunktsenheten til å spre skadelig programvare over hele bedriftens nettverk. Dette angrepet kan resultere i tap av tilgjengelighet, integritet eller konfidensialitet for informasjonsressurser.
Ifølge en Undersøkelsen utført med 700 IT-fagfolk, opplevde rundt 70 % av organisasjonene kompromittering av informasjonsressurser og IT-infrastruktur som et resultat av et endepunktbrukerrelatert enhetsrelatert angrep i 2020.
Kontroll 8.1 tar for seg hvordan organisasjoner kan etablere, vedlikeholde og implementere emnespesifikke retningslinjer, prosedyrer og tekniske tiltak for å sikre at informasjonsressurser som er vert for eller behandlet på brukerens endepunktsenheter ikke blir kompromittert, tapt eller stjålet.
Formål med kontroll 8.1
Kontroll 8.1 gjør det mulig for organisasjoner å beskytte og opprettholde sikkerheten, konfidensialiteten, integriteten og tilgjengeligheten til informasjonsressurser som er plassert på eller tilgjengelig via endepunktbrukerenheter ved å sette på plass passende retningslinjer, prosedyrer og kontroller.
Attributttabell for kontroll 8.1
Kontroll 8.1 er forebyggende. Det krever at organisasjoner implementerer retningslinjer, prosedyrer og tekniske tiltak som gjelder for alle brukerendepunktenheter som er vert for eller behandler informasjonsressurser, slik at de ikke blir kompromittert, tapt eller stjålet.
| Kontrolltype | Informasjonssikkerhetsegenskaper | Konsepter for cybersikkerhet | Operasjonelle evner | Sikkerhetsdomener |
|---|---|---|---|---|
| #Forebyggende | #Konfidensialitet | #Beskytte | # Asset Management | #Beskyttelse |
| #Integritet | #Informasjonsbeskyttelse | |||
| #Tilgjengelighet |
ISO 27001 gjort enkelt
Et forsprang på 81 % fra dag én
Vi har gjort det harde arbeidet for deg, og gir deg 81 % forsprang fra det øyeblikket du logger på. Alt du trenger å gjøre er å fylle ut de tomme feltene.
Eierskap til kontroll 8.1
Tatt i betraktning at overholdelse av kontroll 8.1 innebærer opprettelse, vedlikehold av og overholdelse av organisasjonsomfattende temaspesifikke retningslinjer, prosedyrer og tekniske tiltak, sier sjefen informasjonssikkerhetsansvarlig bør ha ansvaret for overholdelse med kravene i kontroll 8.1.
Generell veiledning om samsvar
Kontroll 8.1 krever at organisasjoner oppretter en emnespesifikk policy som tar for seg hvordan brukerendepunktsenheter skal konfigureres sikkert og hvordan disse enhetene skal håndteres av brukere.
Alt personell bør informeres om denne policyen og policyen bør dekke følgende:
- Hvilken type informasjon, spesielt på hvilket klassifiseringsnivå, kan behandles, lagres eller brukes i brukerens endepunktsenheter.
- Hvordan enhetene skal registreres.
- Krav til fysisk beskyttelse av enheter.
- Restriksjoner på installasjon av programvare på enheter.
- Regler for installering av programvare på enhetene og for programvareoppdateringer.
- Regler for hvordan brukerens endepunktsenheter kan kobles til offentlige nettverk eller til nettverk på andre off-site lokaler.
- Tilgangskontroller.
- Kryptering av lagringsmediet som er vert for informasjonsressurser.
- Hvordan enheter vil være beskyttet mot angrep fra skadelig programvare.
- Hvordan enheter kan deaktiveres eller låses ute. Hvordan informasjonen i enhetene kan slettes eksternt.
- Back-up metoder og prosedyrer.
- Regler om bruk av nettapplikasjoner og tjenester.
- Analyse av sluttbrukeratferd.
- Hvordan flyttbare lagringsmedier som USB-stasjoner kan brukes og hvordan fysiske porter som USB-porter kan deaktiveres.
- Hvordan segregeringsevner kan brukes til å skille organisasjonens informasjon eiendeler fra andre eiendeler som er lagret på brukerenheten.
Videre bemerker den generelle veiledningen at organisasjoner bør vurdere å forby lagring av sensitive informasjonsressurser på brukerens endepunktsenheter ved å implementere tekniske kontroller.
Disse tekniske kontrollene kan inkludere deaktivering av lokale lagringsfunksjoner som SD-kort.
Ved å implementere disse anbefalingene bør organisasjoner ty til Configuration Management som beskrevet i Control 8.9 og bruke automatiserte verktøy.
Supplerende veiledning om brukeransvar
Alt personell bør informeres om sikkerhetstiltakene for brukerendepunktsenheter og prosedyrer de bør følge. Dessuten bør de være det gjort seg bevisst sitt ansvar for å anvende disse tiltakene og prosedyrene.
Organisasjoner bør instruere personell til å overholde følgende regler og prosedyrer:
- Når en tjeneste ikke lenger er nødvendig eller når en økt avsluttes, bør brukere logge ut av økten og avslutte tjenestene.
- Personell bør ikke forlate enhetene sine uten tilsyn. Når enhetene ikke er i bruk, bør personell vedlikeholde sikkerhet for enhetene mot uautorisert tilgang eller bruk ved å bruke fysiske kontroller som nøkkellåser og av tekniske kontroller som robuste passord.
- Personell bør opptre med ekstra forsiktighet når de bruker endepunktenheter som inneholder sensitiv informasjon på usikre offentlige områder.
- Brukerendepunktsenheter bør beskyttes mot tyveri, spesielt i risikofylte områder som hotellrom, konferanserom eller offentlig transport.
Videre anbefales organisasjoner også å etablere en spesiell prosedyre for tap eller tyveri av brukerendepunktsenheter. Denne prosedyren bør opprettes under hensyntagen til juridiske, kontraktsmessige og sikkerhetskrav.
Frigjør deg fra et fjell av regneark
Bygg inn, utvid og skaler samsvarsstyringen din uten rot. IO gir deg robustheten og selvtilliten til å vokse sikkert.
Supplerende veiledning om bruk av personlige enheter (BYOD)
Mens det å tillate personell å bruke sine egne personlige enheter til arbeidsrelaterte formål sparer organisasjoner penger, utsetter det sensitiv informasjonsressurser for nye risikoer.
Kontroll 8.1 viser fem anbefalinger som organisasjoner bør vurdere når de lar ansatte bruke sine egne enheter til arbeidsrelaterte oppgaver:
- Det bør være tekniske tiltak som programvareverktøy på plass for å skille personlig og forretningsmessig bruk av enhetene slik at organisasjonens informasjon er beskyttet.
- Personell bør kun få lov til å bruke sin egen enhet etter at de godtar følgende:
- Personalet erkjenner sine plikter til å fysisk beskytte enheter og utføre nødvendige programvareoppdateringer.
- Personalet samtykker i å ikke kreve eierskap til organisasjonens informasjonsmidler.
- Personalet godtar at informasjonen i enheten kan fjernslettes når enheten mistes eller blir stjålet, med forbehold om lovkrav til personopplysninger.
- Etablering av retningslinjer for eierskap til immaterielle rettigheter opprettet ved bruk av brukerens endepunktsenheter.
- Hvordan de private enhetene til personell vil få tilgang med tanke på lovbestemte restriksjoner på slik tilgang.
- Å tillate personell å bruke sine private enheter kan føre til juridisk ansvar på grunn av bruk av tredjepartsprogramvare på disse enhetene. Organisasjoner bør vurdere programvarelisensavtalene de har med sine leverandører.
Supplerende veiledning om trådløse tilkoblinger
Organisasjoner bør utvikle og vedlikeholde prosedyrer for:
- Hvordan trådløse tilkoblinger på enhetene skal konfigureres.
- Hvordan trådløse eller kablede tilkoblinger med tilstrekkelig båndbredde vil bli brukt i overholdelse av emnespesifikke retningslinjer.
Ytterligere veiledning om kontroll 8.1
Når brukerens endepunktsenheter tas ut av organisasjonens lokaler, kan informasjonsressurser bli utsatt for økt risiko for kompromittering. Derfor kan det hende at organisasjoner må etablere ulike kontroller for enheter som brukes utenfor lokalene.
Videre advarer Control 8.1 organisasjoner mot tap av informasjon på grunn av to risikoer knyttet til trådløse tilkoblinger:
- Trådløse tilkoblinger med lav båndbredde kan føre til svikt i sikkerhetskopieringen av data.
- Brukerendepunktsenheter kan av og til bli koblet fra det trådløse nettverket og planlagte sikkerhetskopieringer kan mislykkes.
Administrer all samsvarskontroll, alt på ett sted
ISMS.online støtter over 100 standarder og forskrifter, og gir deg én enkelt plattform for alle dine samsvarsbehov.
Endringer og forskjeller fra ISO 27002:2013
27002:2022/8.1 erstatter 27002:2013/(6.2.1 og 12.2.8)
Strukturelle forskjeller
In kontrast til 2022-versjonen som adresserer brukerendepunktsenheter under én kontroll(8.1), inkluderte 2013-versjonen to separate kontroller: Mobile Device Policy i Control 6.2.1 og Unattended User Equipment in Control 11.2.8.
Videre, mens Control 8.1 i 2022-versjonen gjelder for alle brukerendepunktsenheter som bærbare datamaskiner, nettbrett og mobiltelefoner, refererte 2013-versjonen kun til de mobile enhetene.
2022-versjonen foreskriver tilleggskrav for brukeransvar
Mens begge versjonene stort sett er like når det gjelder kravene til brukeransvar, inneholder 2022-versjonen ett tilleggskrav:
- Personell bør opptre med ekstra forsiktighet når de bruker endepunktenheter som inneholder sensitiv informasjon på usikre offentlige områder.
2022-versjonen er mer omfattende når det gjelder BYOD
Sammenlignet med 2013-versjonen introduserer kontroll 8.1 i 2022-versjonen tre nye krav for bruk av personells private enheter (BYOD):
- Etablering av retningslinjer for eierskap til immaterielle rettigheter opprettet ved bruk av brukerens endepunktsenheter.
- Hvordan de private enhetene til personell vil få tilgang med tanke på lovbestemte restriksjoner på slik tilgang.
- Å tillate personell å bruke sine private enheter kan føre til juridisk ansvar på grunn av bruk av tredjepartsprogramvare på disse enhetene. Organisasjoner bør vurdere programvarelisensavtalene de har med sine leverandører.
2022-versjonen krever en mer detaljert emnespesifikk policy
I likhet med 2013-versjonen krever 2022-versjonen også at organisasjoner vedtar en emnespesifikk policy for brukerendepunktsenheter.
Kontroll 8.1 i 2022-versjonen er imidlertid mer omfattende ettersom den inneholder tre nye elementer som må inkluderes:
- Analyse av sluttbrukeratferd.
- Hvordan flyttbare enheter som USB-stasjoner kan brukes og hvordan fysiske porter som USB-porter kan deaktiveres.
- Hvordan segregeringsevner kan brukes til å skille organisasjonens informasjon eiendeler fra andre eiendeler som er lagret på brukerenheten.
Nye ISO 27002 kontroller
| ISO/IEC 27002:2022 kontrollidentifikator | ISO/IEC 27002:2013 kontrollidentifikator | Kontrollnavn |
|---|---|---|
| 5.7 | NEW | Trusselintelligens |
| 5.23 | NEW | Informasjonssikkerhet for bruk av skytjenester |
| 5.30 | NEW | IKT-beredskap for forretningskontinuitet |
| 7.4 | NEW | Fysisk sikkerhetsovervåking |
| 8.9 | NEW | Konfigurasjonsstyring |
| 8.10 | NEW | Sletting av informasjon |
| 8.11 | NEW | Datamaskering |
| 8.12 | NEW | Forebygging av datalekkasje |
| 8.16 | NEW | Overvåking av aktiviteter |
| 8.23 | NEW | Web-filtrering |
| 8.28 | NEW | Sikker koding |
| ISO/IEC 27002:2022 kontrollidentifikator | ISO/IEC 27002:2013 kontrollidentifikator | Kontrollnavn |
|---|---|---|
| 6.1 | 07.1.1 | Screening |
| 6.2 | 07.1.2 | Vilkår og betingelser for ansettelsen |
| 6.3 | 07.2.2 | Informasjonssikkerhetsbevissthet, utdanning og opplæring |
| 6.4 | 07.2.3 | Disiplinær prosess |
| 6.5 | 07.3.1 | Ansvar etter oppsigelse eller endring av arbeidsforhold |
| 6.6 | 13.2.4 | Avtaler om konfidensialitet eller taushetsplikt |
| 6.7 | 06.2.2 | Fjernarbeid |
| 6.8 | 16.1.2, 16.1.3 | Informasjonssikkerhet hendelsesrapportering |
| ISO/IEC 27002:2022 kontrollidentifikator | ISO/IEC 27002:2013 kontrollidentifikator | Kontrollnavn |
|---|---|---|
| 7.1 | 11.1.1 | Fysiske sikkerhetsomkretser |
| 7.2 | 11.1.2, 11.1.6 | Fysisk inngang |
| 7.3 | 11.1.3 | Sikring av kontorer, rom og fasiliteter |
| 7.4 | NEW | Fysisk sikkerhetsovervåking |
| 7.5 | 11.1.4 | Beskyttelse mot fysiske og miljømessige trusler |
| 7.6 | 11.1.5 | Arbeid i sikre områder |
| 7.7 | 11.2.9 | Oversiktlig skrivebord og oversiktlig skjerm |
| 7.8 | 11.2.1 | Utstyrsplassering og beskyttelse |
| 7.9 | 11.2.6 | Sikkerhet av eiendeler utenfor lokaler |
| 7.10 | 08.3.1, 08.3.2, 08.3.3, 11.2.5 | Lagringsmedier |
| 7.11 | 11.2.2 | Støtteverktøy |
| 7.12 | 11.2.3 | Kablingssikkerhet |
| 7.13 | 11.2.4 | Vedlikehold av utstyr |
| 7.14 | 11.2.7 | Sikker avhending eller gjenbruk av utstyr |
Hvordan ISMS.online hjelper
ISMS.Online er den ledende ISO 27002-programvaren for styringssystem som støtter samsvar med ISO 27002og hjelper bedrifter med å tilpasse sikkerhetspolitikken og prosedyrer med standarden.
Den skybaserte plattformen gir et komplett sett med verktøy for å hjelpe organisasjoner med å sette opp en styringssystem for informasjonssikkerhet (ISMS) i henhold til ISO 27002.
Ta kontakt i dag for å bestill en demo.
