Hvis ansatte besøker nettsteder med skadelig innhold, kan dette utsette bedriftsnettverk og informasjonssystemer for sikkerhetsrisikoer som angrep fra skadelig programvare.
For eksempel kan cyberangripere sende en phishing-e-post til en ansatts jobb-e-post, overtale ham til å klikke på en lenke og besøke et nettsted. Når den ansatte besøker denne nettsiden, kan de automatisk laste opp skadelig programvare på den ansattes enhet og deretter infiltrere inn i bedriftens nettverk. Denne typen angrep kalles drive-by nedlasting og den laster automatisk ned skadelig programvare når en ansatt besøker et nettsted.
Derfor bør organisasjoner sette på plass passende nettfiltreringskontroller for å begrense og kontrollere tilgang til eksterne nettsteder og forhindre sikkerhetstrusler.
Kontroll 8.23 gjør det mulig for organisasjoner å eliminere sikkerhetsrisikoer som skadelig programvareinfeksjon som kan oppstå som et resultat av tilgang til eksterne nettsteder med skadelig innhold.
Kontroll 8.23 er en forebyggende type kontroll som krever at organisasjoner iverksetter passende tilgangskontroller og tiltak for å hindre tilgang til skadelig innhold på eksterne nettsteder.
| Kontrolltype | Informasjonssikkerhetsegenskaper | Konsepter for cybersikkerhet | Operasjonelle evner | Sikkerhetsdomener |
|---|---|---|---|---|
| #Forebyggende | #Konfidensialitet #Integritet #Tilgjengelighet | #Beskytte | #System- og nettverkssikkerhet | #Beskyttelse |
Tatt i betraktning at 8.28 innebærer identifikasjon av eksterne nettsteder med høy risiko og utforming og implementering av hensiktsmessige tilgangs- og nettfiltreringskontroller, bør informasjonssikkerhetssjefen være ansvarlig for å ta passende skritt for samsvar.
Organisasjoner bør etablere og implementere nødvendige kontroller for å hindre ansatte i å få tilgang til eksterne nettsteder som kan inneholde virus, phishing-materiale eller andre typer ulovlig informasjon.
En effektiv teknikk for å forhindre tilgang til farlige eksterne nettsteder er å blokkere IP-adressen eller domenet til nettsteder identifisert som farlige. Noen nettlesere og anti-malware-verktøy lar for eksempel organisasjoner gjøre dette automatisk.
Kontroll 8.23 bemerker at organisasjoner bør bestemme hvilke typer nettsteder som ikke skal åpnes av ansatte.
Spesielt bør følgende typer nettsteder blokkeres:
Før utforming og implementering av denne kontrollen, anbefales organisasjoner å sette på plass regler for sikker og hensiktsmessig tilgang til og bruk av nettressurser. Dette bør også inkludere å pålegge restriksjoner på nettsteder som inneholder upassende materiale.
Disse reglene bør gjennomgås og oppdateres med jevne mellomrom.
Kontroll 8.23 krever at alle ansatte skal gis opplæring i hvordan de får tilgang til og bruker nettressurser på en sikker måte.
Denne opplæringen bør dekke organisasjonens egne regler og bør ta for seg hvordan personalet kan ta opp sine sikkerhetsproblemer ved å kontakte den aktuelle personen i organisasjonen.
Videre bør opplæring også ta for seg hvordan ansatte kan få tilgang til begrensede nettsteder av gyldige forretningsgrunner og hvordan denne unntaksprosessen fungerer for slik tilgang.
Sist, men ikke minst, bør opplæringen ta for seg nettleserrådgivning som advarer brukere om at et nettsted ikke er sikkert, men som tillater brukere å fortsette. Personalet bør instrueres om ikke å ignorere slike advarsler.
Det finnes en rekke nettfiltreringsteknikker som:
27002:2022/8.23 er en ny type kontroll.
Du kan overvåke og administrere alle aspekter av ISO 27002-samsvarsreisen fra ett sted – revisjonsstyring, gapanalyse, opplæringsledelse, risikovurdering osv.
Det gir en brukervennlig, integrert løsning som kan nås 24/7 via alle enheter med internettforbindelse. Plattformen lar alle ansatte samarbeide sømløst og sikkert for å håndtere sikkerhetsrisikoer og spore organisasjonens etterlevelse, samt reisen mot ISO 27001-sertifisering.
Ta kontakt i dag for å bestill en demo.
Vi gir deg et forsprang på 81 %
fra det øyeblikket du logger inn
Bestill demoen din
| ISO/IEC 27002:2022 kontrollidentifikator | ISO/IEC 27002:2013 Kontrollidentifikator | Kontrollnavn |
|---|---|---|
| 5.7 | Ny | Trusselintelligens |
| 5.23 | Ny | Informasjonssikkerhet for bruk av skytjenester |
| 5.30 | Ny | IKT-beredskap for forretningskontinuitet |
| 7.4 | Ny | Fysisk sikkerhetsovervåking |
| 8.9 | Ny | Konfigurasjonsstyring |
| 8.10 | Ny | Sletting av informasjon |
| 8.11 | Ny | Datamaskering |
| 8.12 | Ny | Forebygging av datalekkasje |
| 8.16 | Ny | Overvåking av aktiviteter |
| 8.23 | Ny | Web-filtrering |
| 8.28 | Ny | Sikker koding |
| ISO/IEC 27002:2022 kontrollidentifikator | ISO/IEC 27002:2013 Kontrollidentifikator | Kontrollnavn |
|---|---|---|
| 6.1 | 07.1.1 | Screening |
| 6.2 | 07.1.2 | Vilkår og betingelser for ansettelsen |
| 6.3 | 07.2.2 | Informasjonssikkerhetsbevissthet, utdanning og opplæring |
| 6.4 | 07.2.3 | Disiplinær prosess |
| 6.5 | 07.3.1 | Ansvar etter oppsigelse eller endring av arbeidsforhold |
| 6.6 | 13.2.4 | Avtaler om konfidensialitet eller taushetsplikt |
| 6.7 | 06.2.2 | Fjernarbeid |
| 6.8 | 16.1.2, 16.1.3 | Informasjonssikkerhet hendelsesrapportering |
| ISO/IEC 27002:2022 kontrollidentifikator | ISO/IEC 27002:2013 Kontrollidentifikator | Kontrollnavn |
|---|---|---|
| 7.1 | 11.1.1 | Fysiske sikkerhetsomkretser |
| 7.2 | 11.1.2, 11.1.6 | Fysisk inngang |
| 7.3 | 11.1.3 | Sikring av kontorer, rom og fasiliteter |
| 7.4 | Ny | Fysisk sikkerhetsovervåking |
| 7.5 | 11.1.4 | Beskyttelse mot fysiske og miljømessige trusler |
| 7.6 | 11.1.5 | Arbeid i sikre områder |
| 7.7 | 11.2.9 | Oversiktlig skrivebord og oversiktlig skjerm |
| 7.8 | 11.2.1 | Utstyrsplassering og beskyttelse |
| 7.9 | 11.2.6 | Sikkerhet av eiendeler utenfor lokaler |
| 7.10 | 08.3.1, 08.3.2, 08.3.3, 11.2.5 | Lagringsmedier |
| 7.11 | 11.2.2 | Støtteverktøy |
| 7.12 | 11.2.3 | Kablingssikkerhet |
| 7.13 | 11.2.4 | Vedlikehold av utstyr |
| 7.14 | 11.2.7 | Sikker avhending eller gjenbruk av utstyr |
