Formål med kontroll 8.21
I databehandling kan en 'nettverkstjeneste' i store trekk beskrives som et system som kjører på 'nettverksapplikasjonslaget', som f.eks. e-post, utskriftEller en filserver. Nettverkstjenester inkluderer også administrerte applikasjoner og sikkerhetsløsninger som f.eks brannmurer eller gateway antivirus plattformer, inntrengningsdeteksjonssystemer og tilkoblingstjenester.
Netttjenester representerer ofte de viktigste funksjonelle delene av et nettverk, og er avgjørende for den daglige driften av et moderne kommersielt IKT-nettverk. Sikkerhet er derfor avgjørende, og bruken av nettverkstjenester må overvåkes nøye og styres direkte for å minimere den tilhørende risikoen for feil, inntrenging og forretningsavbrudd.
Attributttabell for kontroll 8.21
Kontroll 8.21 er en forebyggende kontroll Det opprettholder risiko ved å etablere et sett med regler som styrer bruken av både nettverkstjenester og, ved tilknytning, selve vertsnettverket.
| Kontrolltype | Informasjonssikkerhetsegenskaper | Konsepter for cybersikkerhet | Operasjonelle evner | Sikkerhetsdomener |
|---|---|---|---|---|
| #Forebyggende | #Konfidensialitet | #Beskytte | #System- og nettverkssikkerhet | #Beskyttelse |
| #Integritet | ||||
| #Tilgjengelighet |
Eierskap til kontroll 8.21
Kontroll 8.21 omhandler tekniske konsepter knyttet til vedlikehold og forvaltning av flere nøkkelkomponenter i en organisasjons IKT-nettverk. Som sådan bør eierskapet ligge hos IT-sjefen, eller tilsvarende organisatorisk.
ISO 27001 gjort enkelt
Et forsprang på 81 % fra dag én
Vi har gjort det harde arbeidet for deg, og gir deg 81 % forsprang fra det øyeblikket du logger på. Alt du trenger å gjøre er å fylle ut de tomme feltene.
Generell veiledning om samsvar
Kontroll 8.21 identifiserer tre hovedsikkerhetstyper når det gjelder det bredere konseptet nettverkstjenestesikkerhet:
- Sikkerhetsfunksjoner
- Servicenivåer
- Servicekrav
Disse tre tiltakene bør tas i betraktning av alle interne og eksterne nettverkstjenesteleverandører, og organisasjonen bør iverksette tiltak for å sikre at tilbydere til enhver tid oppfyller sine forpliktelser.
Organisasjoner bør vurdere en nettverkstjenesteleverandør på deres evne til å administrere tjenester som diktert av et entydig sett med SLAer, og overvåke overholdelse etter beste evne.
En del av denne operasjonelle vurderingen bør inkludere referanser hentet fra pålitelige kilder som bekrefter en nettverkstjenesteleverandørs evne til å administrere tjenester på en sikker og effektiv måte.
Nettverkssikkerhetsregler bør omfatte:
- Alle nettverkstjenester og tilknyttede nettverk som er tillatt å få tilgang til.
- Autentiseringskravene for å få tilgang til nevnte nettverkstjenester, inkludert hvem som er autorisert til å få tilgang til dem, fra hvor og når de er i stand til å gjøre det.
- Hvordan personell får forhåndsautorisasjon for å få tilgang til nettverkstjenester, inkludert endelig avmelding og analyse av forretningscase.
- Et robust sett med nettverksadministrasjonskontroller som sikrer nettverkstjenester mot misbruk og uautorisert tilgang.
- Hvordan personell får tilgang til nettverkstjenester (dvs. eksternt eller utelukkende på stedet).
- Loggingsprosedyrer som detaljerer nøkkelinformasjon om tilgang til nettverkstjenester og personellet som bruker dem – f.eks. tid, sted og enhetsdata.
- Overvåking av bruken av nettverkstjenester.
Veiledning – Nettverkstjenestesikkerhet
Control 8.21 inneholder også veiledningsnotater om hvordan du kan øke sikkerheten på tvers av alle nettverkstjenester, inkludert back-end-funksjonalitet og brukerdrift.
- Organisasjoner bør vurdere sikkerhetsfunksjoner som f.eks autentisering, kryptering og tilkoblingskontroller.
- Det bør etableres rigide parametere som dikterer tilkoblingen til nettverkstjenester.
- Brukere bør kunne velge mengden data som bufres (midlertidig lagret) av en nettverkstjeneste for både å øke den generelle ytelsen og sikre at dataene ikke lagres for mye til det utgjør en konkret sikkerhetsrisiko.
- Begrensning av tilgang til nettverkstjenester.
Administrer all samsvarskontroll, alt på ett sted
ISMS.online støtter over 100 standarder og forskrifter, og gir deg én enkelt plattform for alle dine samsvarsbehov.
Endringer og forskjeller fra ISO 27002:2013
ISO 27002:2022-8.21 erstatter ISO 27002:2003-13.1.2 (Sikkerhet for nettverkstjenester).
27002:2022-8.21 inneholder flere viktige tillegg til motstykket fra 2013, hvor sistnevnte helt fokuserer på nettverkstjenestesikkerhet (som inneholder det samme settet med veiledningsnotater) og utelater generell veiledning overhodet om nettverksregler (se punkt 1-7 ovenfor under 'Generell veiledning').
Nye ISO 27002 kontroller
| ISO/IEC 27002:2022 kontrollidentifikator | ISO/IEC 27002:2013 kontrollidentifikator | Kontrollnavn |
|---|---|---|
| 5.7 | NEW | Trusselintelligens |
| 5.23 | NEW | Informasjonssikkerhet for bruk av skytjenester |
| 5.30 | NEW | IKT-beredskap for forretningskontinuitet |
| 7.4 | NEW | Fysisk sikkerhetsovervåking |
| 8.9 | NEW | Konfigurasjonsstyring |
| 8.10 | NEW | Sletting av informasjon |
| 8.11 | NEW | Datamaskering |
| 8.12 | NEW | Forebygging av datalekkasje |
| 8.16 | NEW | Overvåking av aktiviteter |
| 8.23 | NEW | Web-filtrering |
| 8.28 | NEW | Sikker koding |
| ISO/IEC 27002:2022 kontrollidentifikator | ISO/IEC 27002:2013 kontrollidentifikator | Kontrollnavn |
|---|---|---|
| 6.1 | 07.1.1 | Screening |
| 6.2 | 07.1.2 | Vilkår og betingelser for ansettelsen |
| 6.3 | 07.2.2 | Informasjonssikkerhetsbevissthet, utdanning og opplæring |
| 6.4 | 07.2.3 | Disiplinær prosess |
| 6.5 | 07.3.1 | Ansvar etter oppsigelse eller endring av arbeidsforhold |
| 6.6 | 13.2.4 | Avtaler om konfidensialitet eller taushetsplikt |
| 6.7 | 06.2.2 | Fjernarbeid |
| 6.8 | 16.1.2, 16.1.3 | Informasjonssikkerhet hendelsesrapportering |
| ISO/IEC 27002:2022 kontrollidentifikator | ISO/IEC 27002:2013 kontrollidentifikator | Kontrollnavn |
|---|---|---|
| 7.1 | 11.1.1 | Fysiske sikkerhetsomkretser |
| 7.2 | 11.1.2, 11.1.6 | Fysisk inngang |
| 7.3 | 11.1.3 | Sikring av kontorer, rom og fasiliteter |
| 7.4 | NEW | Fysisk sikkerhetsovervåking |
| 7.5 | 11.1.4 | Beskyttelse mot fysiske og miljømessige trusler |
| 7.6 | 11.1.5 | Arbeid i sikre områder |
| 7.7 | 11.2.9 | Oversiktlig skrivebord og oversiktlig skjerm |
| 7.8 | 11.2.1 | Utstyrsplassering og beskyttelse |
| 7.9 | 11.2.6 | Sikkerhet av eiendeler utenfor lokaler |
| 7.10 | 08.3.1, 08.3.2, 08.3.3, 11.2.5 | Lagringsmedier |
| 7.11 | 11.2.2 | Støtteverktøy |
| 7.12 | 11.2.3 | Kablingssikkerhet |
| 7.13 | 11.2.4 | Vedlikehold av utstyr |
| 7.14 | 11.2.7 | Sikker avhending eller gjenbruk av utstyr |
Hvordan ISMS.online hjelper
ISO 27002-standarden er et sett med retningslinjer som hjelper organisasjoner med å beskytte informasjonsmidlene sine. Den gjelder for alle typer organisasjoner, uavhengig av størrelse, struktur eller bransje.
ISMS.online er en skybasert plattform som tilbyr assistanse til å implementere ISO 27002-standarden effektivt og kostnadseffektivt.
Den gir organisasjoner enkel tilgang til oppdatert informasjon om deres overholdelsesstatus til enhver tid gjennom det brukervennlige dashboard-grensesnittet som lar ledere overvåke fremdriften mot å oppnå samsvar raskt og enkelt.
Kontakt oss i dag for planlegg en demonstrasjon.
