ISO 27002:2022, Control 8.1 – User Endpoint Devices

Eierskap til kontroll 8.1

Tatt i betraktning at overholdelse av kontroll 8.1 innebærer opprettelse, vedlikehold av og overholdelse av organisasjonsomfattende temaspesifikke retningslinjer, prosedyrer og tekniske tiltak, sier sjefen informasjonssikkerhetsansvarlig bør ha ansvaret for overholdelse med kravene i kontroll 8.1.

Generell veiledning om samsvar

Kontroll 8.1 krever at organisasjoner oppretter en emnespesifikk policy som tar for seg hvordan brukerendepunktsenheter skal konfigureres sikkert og hvordan disse enhetene skal håndteres av brukere.

Alt personell bør informeres om denne policyen og policyen bør dekke følgende:

• Hvilken type informasjon, spesielt på hvilket klassifiseringsnivå, kan behandles, lagres eller brukes i brukerens endepunktsenheter.
• Hvordan enhetene skal registreres.
• Krav til fysisk beskyttelse av enheter.
• Restriksjoner på installasjon av programvare på enheter.
• Regler for installering av programvare på enhetene og for programvareoppdateringer.
• Regler for hvordan brukerens endepunktsenheter kan kobles til offentlige nettverk eller til nettverk på andre off-site lokaler.
• Tilgangskontroller.
• Kryptering av lagringsmediet som er vert for informasjonsressurser.
• Hvordan enheter vil være beskyttet mot angrep fra skadelig programvare.
• Hvordan enheter kan deaktiveres eller låses ute. Hvordan informasjonen i enhetene kan slettes eksternt.
• Back-up metoder og prosedyrer.
• Regler om bruk av nettapplikasjoner og tjenester.
• Analyse av sluttbrukeratferd.
• Hvordan flyttbare lagringsmedier som USB-stasjoner kan brukes og hvordan fysiske porter som USB-porter kan deaktiveres.
• Hvordan segregeringsevner kan brukes til å skille organisasjonens informasjon eiendeler fra andre eiendeler som er lagret på brukerenheten.

Videre bemerker den generelle veiledningen at organisasjoner bør vurdere å forby lagring av sensitive informasjonsressurser på brukerens endepunktsenheter ved å implementere tekniske kontroller.

Disse tekniske kontrollene kan inkludere deaktivering av lokale lagringsfunksjoner som SD-kort.

Ved å implementere disse anbefalingene bør organisasjoner ty til Configuration Management som beskrevet i Control 8.9 og bruke automatiserte verktøy.

Supplerende veiledning om brukeransvar

Alt personell bør informeres om sikkerhetstiltakene for brukerendepunktsenheter og prosedyrer de bør følge. Dessuten bør de være det gjort seg bevisst sitt ansvar for å anvende disse tiltakene og prosedyrene.

Organisasjoner bør instruere personell til å overholde følgende regler og prosedyrer:

• Når en tjeneste ikke lenger er nødvendig eller når en økt avsluttes, bør brukere logge ut av økten og avslutte tjenestene.
• Personell bør ikke forlate enhetene sine uten tilsyn. Når enhetene ikke er i bruk, bør personell vedlikeholde sikkerhet for enhetene mot uautorisert tilgang eller bruk ved å bruke fysiske kontroller som nøkkellåser og av tekniske kontroller som robuste passord.
• Personell bør opptre med ekstra forsiktighet når de bruker endepunktenheter som inneholder sensitiv informasjon på usikre offentlige områder.
• Brukerendepunktsenheter bør beskyttes mot tyveri, spesielt i risikofylte områder som hotellrom, konferanserom eller offentlig transport.

Videre anbefales organisasjoner også å etablere en spesiell prosedyre for tap eller tyveri av brukerendepunktsenheter. Denne prosedyren bør opprettes under hensyntagen til juridiske, kontraktsmessige og sikkerhetskrav.

Supplerende veiledning om bruk av personlige enheter (BYOD)

Mens det å tillate personell å bruke sine egne personlige enheter til arbeidsrelaterte formål sparer organisasjoner penger, utsetter det sensitiv informasjonsressurser for nye risikoer.

Kontroll 8.1 viser fem anbefalinger som organisasjoner bør vurdere når de lar ansatte bruke sine egne enheter til arbeidsrelaterte oppgaver:

1. Det bør være tekniske tiltak som programvareverktøy på plass for å skille personlig og forretningsmessig bruk av enhetene slik at organisasjonens informasjon er beskyttet.
2. Personell bør kun få lov til å bruke sin egen enhet etter at de godtar følgende:
• Personalet erkjenner sine plikter til å fysisk beskytte enheter og utføre nødvendige programvareoppdateringer.
• Personalet samtykker i å ikke kreve eierskap til organisasjonens informasjonsmidler.
• Personalet godtar at informasjonen i enheten kan fjernslettes når enheten mistes eller blir stjålet, med forbehold om lovkrav til personopplysninger.
3. Etablering av retningslinjer for eierskap til immaterielle rettigheter opprettet ved bruk av brukerens endepunktsenheter.
4. Hvordan de private enhetene til personell vil få tilgang med tanke på lovbestemte restriksjoner på slik tilgang.
5. Å tillate personell å bruke sine private enheter kan føre til juridisk ansvar på grunn av bruk av tredjepartsprogramvare på disse enhetene. Organisasjoner bør vurdere programvarelisensavtalene de har med sine leverandører.

Supplerende veiledning om trådløse tilkoblinger

Organisasjoner bør utvikle og vedlikeholde prosedyrer for:

• Hvordan trådløse tilkoblinger på enhetene skal konfigureres.
• Hvordan trådløse eller kablede tilkoblinger med tilstrekkelig båndbredde vil bli brukt i overholdelse av emnespesifikke retningslinjer.

Ytterligere veiledning om kontroll 8.1

Når brukerens endepunktsenheter tas ut av organisasjonens lokaler, kan informasjonsressurser bli utsatt for økt risiko for kompromittering. Derfor kan det hende at organisasjoner må etablere ulike kontroller for enheter som brukes utenfor lokalene.

Videre advarer Control 8.1 organisasjoner mot tap av informasjon på grunn av to risikoer knyttet til trådløse tilkoblinger:

• Trådløse tilkoblinger med lav båndbredde kan føre til svikt i sikkerhetskopieringen av data.
• Brukerendepunktsenheter kan av og til bli koblet fra det trådløse nettverket og planlagte sikkerhetskopieringer kan mislykkes.

Endringer og forskjeller fra ISO 27002:2013

27002:2022/8.1 erstatter 27002:2013/(6.2.1 og 12.2.8)

Strukturelle forskjeller

In kontrast til 2022-versjonen som adresserer brukerendepunktsenheter under én kontroll(8.1), inkluderte 2013-versjonen to separate kontroller: Mobile Device Policy i Control 6.2.1 og Unattended User Equipment in Control 11.2.8.

Videre, mens Control 8.1 i 2022-versjonen gjelder for alle brukerendepunktsenheter som bærbare datamaskiner, nettbrett og mobiltelefoner, refererte 2013-versjonen kun til de mobile enhetene.

2022-versjonen foreskriver tilleggskrav for brukeransvar

Mens begge versjonene stort sett er like når det gjelder kravene til brukeransvar, inneholder 2022-versjonen ett tilleggskrav:

• Personell bør opptre med ekstra forsiktighet når de bruker endepunktenheter som inneholder sensitiv informasjon på usikre offentlige områder.

2022-versjonen er mer omfattende når det gjelder BYOD

Sammenlignet med 2013-versjonen introduserer kontroll 8.1 i 2022-versjonen tre nye krav for bruk av personells private enheter (BYOD):

• Etablering av retningslinjer for eierskap til immaterielle rettigheter opprettet ved bruk av brukerens endepunktsenheter.
• Hvordan de private enhetene til personell vil få tilgang med tanke på lovbestemte restriksjoner på slik tilgang.
• Å tillate personell å bruke sine private enheter kan føre til juridisk ansvar på grunn av bruk av tredjepartsprogramvare på disse enhetene. Organisasjoner bør vurdere programvarelisensavtalene de har med sine leverandører.

2022-versjonen krever en mer detaljert emnespesifikk policy

I likhet med 2013-versjonen krever 2022-versjonen også at organisasjoner vedtar en emnespesifikk policy for brukerendepunktsenheter.

Kontroll 8.1 i 2022-versjonen er imidlertid mer omfattende ettersom den inneholder tre nye elementer som må inkluderes:

1. Analyse av sluttbrukeratferd.
2. Hvordan flyttbare enheter som USB-stasjoner kan brukes og hvordan fysiske porter som USB-porter kan deaktiveres.
3. Hvordan segregeringsevner kan brukes til å skille organisasjonens informasjon eiendeler fra andre eiendeler som er lagret på brukerenheten.

Hvordan ISMS.online hjelper

ISMS.Online er den ledende ISO 27002-programvaren for styringssystem som støtter samsvar med ISO 27002og hjelper bedrifter med å tilpasse sikkerhetspolitikken og prosedyrer med standarden.

Den skybaserte plattformen gir et komplett sett med verktøy for å hjelpe organisasjoner med å sette opp en styringssystem for informasjonssikkerhet (ISMS) i henhold til ISO 27002.

Ta kontakt i dag for å bestill en demo.