Når cyberkriminelle kompromitterer datanettverk, tjenester eller enheter, begrenser de seg ikke til de kompromitterte eiendelene.
De utnytter den første inntrengningen til å infiltrere hele en organisasjons nettverk, få tilgang til sensitiv informasjonsressurser eller utføre løsepengevareangrep.
For eksempel kan cyberkriminelle stjele påloggingsinformasjonen til menneskelige ressurser (HR)-ansatte ved et sykehus etter et vellykket phishing-angrep og få tilgang til menneskelige ressurser.
De kan deretter bruke dette tilgangspunktet til å bevege seg sideveis over hele nettverket og oppdage nettverk som er vert for sensitiv pasientinformasjon. Denne inntrengningen kan resultere i kompromittering av informasjonsressurser, utløse nedetid eller utsette sykehuset for et løsepenge-angrep.
Hvis sykehuset hadde nettverkssegregeringsteknikker som brannmurer, virtuelle nettverk eller serverisolering, ville det sannsynligvis hindre inntrengere i å få tilgang til sensitiv informasjonsressurser og minimere virkningen av bruddet.
Kontroll 8.22 tar for seg hvordan organisasjoner kan implementere og vedlikeholde passende nettverkssegregeringsteknikker for å eliminere risikoer for tilgjengeligheten, integriteten og konfidensialiteten til informasjonsmidler.
Kontroll 8.22 gjør det mulig for organisasjoner å separere datanettverkene sine i undernettverk basert på følsomhets- og kritikalitetsnivå og begrense trafikkflyten mellom disse forskjellige undernettverkene.
Dette hjelper organisasjoner med å forhindre spredning av skadelig programvare eller virus fra kompromitterte nettverk til andre nettverk som lagrer sensitiv informasjon.
Dette sikrer at organisasjoner opprettholder konfidensialiteten, integriteten og tilgjengeligheten til informasjonsressurser som er vert for kritiske undernettverk.
Kontroll 8.22 er forebyggende ettersom den krever at organisasjoner tar en proaktiv tilnærming og etablerer og implementerer regler, prosedyrer og passende teknikker for å skille det større datanettverket inn i mindre nettverksdomener slik at kompromittering av sensitive nettverk kan forhindres.
| Kontrolltype | Informasjonssikkerhetsegenskaper | Konsepter for cybersikkerhet | Operasjonelle evner | Sikkerhetsdomener |
|---|---|---|---|---|
| #Forebyggende | #Konfidensialitet #Integritet #Tilgjengelighet | #Beskytte | #System- og nettverkssikkerhet | #Beskyttelse |
Tatt i betraktning at Kontroll 8.22 innebærer segmentering av nettverk, enheter og systemer basert på risikonivået som er involvert, og også implementering av nettverkssegregeringsteknikker og -prosedyrer, bør en informasjonssikkerhetsansvarlig holdes ansvarlig for overholdelse.
Når de implementerer nettverkssegregeringstiltak, bør organisasjoner prøve å finne en balanse mellom operasjonelle behov og sikkerhetshensyn.
Kontroll 8.22 lister opp tre anbefalinger som bør vurderes ved implementering av nettverkssegregering.
Når de deler nettverket i mindre nettverksunderdomener, bør organisasjoner vurdere sensitivitets- og kritikalitetsnivået til hvert nettverksdomene. Avhengig av denne analysen, kan nettverksunderdomener tilordnes 'offentlige domener', 'skrivebordsdomener', 'serverdomener' eller 'høyrisikosystemer'.
Videre kan organisasjoner også vurdere forretningsavdelingene som HR, markedsføring og finans når de skiller nettverket.
Det bemerkes også at organisasjoner kan kombinere disse to kriteriene og tildele nettverksunderdomener i kategorier som 'serverdomene som kobler til salgsavdelingen'.
Organisasjoner bør definere omkretsen til hvert nettverksunderdomene tydelig. Hvis det vil være tilgang mellom to forskjellige nettverksdomener, bør denne tilgangen begrenses på perimeternivå via gatewayen som brannmurer eller filtreringsrutere.
Organisasjoner bør vurdere sikkerhetskravene for hvert spesifikke domene når de implementerer nettverkssegregering og når de godkjenner tilgang via gatewayene.
Denne vurderingen bør utføres i samsvar med tilgangskontrollpolicyen som kreves under kontroll 5.15 og bør også vurdere følgende:
Tatt i betraktning at det er utfordrende å definere nettverkssikkerhetsparametere for trådløse nettverk, anbefaler Control 8.22 organisasjoner å følge følgende praksis:
Kontroll 8.22 bemerker at organisasjoner ofte inngår ulike forretningspartnerskap med andre virksomheter og deler nettverk, IT-enheter og andre informasjonsfasiliteter.
Derfor kan sensitive nettverk bli utsatt for en økt risiko for uautorisert tilgang av andre brukere, og organisasjoner bør iverksette passende tiltak for å forhindre denne risikoen.
27002:2022/8.22 replaces 27002:2013/(13.1.3)
Selv om 2022- og 2013-versjonene i stor grad ligner, er det én viktig forskjell.
I motsetning til 2013-versjonen inkluderer 2022-versjonen følgende krav for trådløse nettverk:
ISMS.Online lar deg:
ISMS.Online tilbyr et komplett utvalg funksjoner for å hjelpe organisasjoner og bedrifter med å oppnå samsvar med industristandarden ISO 27001 og/eller ISO 27002 ISMS.
Ta kontakt med oss i dag for å planlegg en demonstrasjon.
Vi gir deg et forsprang på 81 %
fra det øyeblikket du logger inn
Bestill demoen din
| ISO/IEC 27002:2022 kontrollidentifikator | ISO/IEC 27002:2013 Kontrollidentifikator | Kontrollnavn |
|---|---|---|
| 5.7 | Ny | Trusselintelligens |
| 5.23 | Ny | Informasjonssikkerhet for bruk av skytjenester |
| 5.30 | Ny | IKT-beredskap for forretningskontinuitet |
| 7.4 | Ny | Fysisk sikkerhetsovervåking |
| 8.9 | Ny | Konfigurasjonsstyring |
| 8.10 | Ny | Sletting av informasjon |
| 8.11 | Ny | Datamaskering |
| 8.12 | Ny | Forebygging av datalekkasje |
| 8.16 | Ny | Overvåking av aktiviteter |
| 8.23 | Ny | Web-filtrering |
| 8.28 | Ny | Sikker koding |
| ISO/IEC 27002:2022 kontrollidentifikator | ISO/IEC 27002:2013 Kontrollidentifikator | Kontrollnavn |
|---|---|---|
| 6.1 | 07.1.1 | Screening |
| 6.2 | 07.1.2 | Vilkår og betingelser for ansettelsen |
| 6.3 | 07.2.2 | Informasjonssikkerhetsbevissthet, utdanning og opplæring |
| 6.4 | 07.2.3 | Disiplinær prosess |
| 6.5 | 07.3.1 | Ansvar etter oppsigelse eller endring av arbeidsforhold |
| 6.6 | 13.2.4 | Avtaler om konfidensialitet eller taushetsplikt |
| 6.7 | 06.2.2 | Fjernarbeid |
| 6.8 | 16.1.2, 16.1.3 | Informasjonssikkerhet hendelsesrapportering |
| ISO/IEC 27002:2022 kontrollidentifikator | ISO/IEC 27002:2013 Kontrollidentifikator | Kontrollnavn |
|---|---|---|
| 7.1 | 11.1.1 | Fysiske sikkerhetsomkretser |
| 7.2 | 11.1.2, 11.1.6 | Fysisk inngang |
| 7.3 | 11.1.3 | Sikring av kontorer, rom og fasiliteter |
| 7.4 | Ny | Fysisk sikkerhetsovervåking |
| 7.5 | 11.1.4 | Beskyttelse mot fysiske og miljømessige trusler |
| 7.6 | 11.1.5 | Arbeid i sikre områder |
| 7.7 | 11.2.9 | Oversiktlig skrivebord og oversiktlig skjerm |
| 7.8 | 11.2.1 | Utstyrsplassering og beskyttelse |
| 7.9 | 11.2.6 | Sikkerhet av eiendeler utenfor lokaler |
| 7.10 | 08.3.1, 08.3.2, 08.3.3, 11.2.5 | Lagringsmedier |
| 7.11 | 11.2.2 | Støtteverktøy |
| 7.12 | 11.2.3 | Kablingssikkerhet |
| 7.13 | 11.2.4 | Vedlikehold av utstyr |
| 7.14 | 11.2.7 | Sikker avhending eller gjenbruk av utstyr |
