Formål med kontroll 8.9
Konfigurasjoner – enten de fungerer som en enkelt konfigurasjonsfil, eller en gruppe konfigurasjoner koblet sammen – er de underliggende parameterne som styrer hvordan maskinvare, programvare og til og med hele nettverk administreres.
For eksempel vil en brannmurs konfigurasjonsfil inneholde grunnlinjeattributtene som enheten bruker for å administrere trafikk til og fra en organisasjons nettverk, inkludert blokkeringslister, portvideresending, virtuelle LAN og VPN-informasjon.
Konfigurasjonsadministrasjon er en integrert del av en organisasjons bredere aktivaforvaltningsoperasjon. Konfigurasjoner er nøkkelen for å sikre at et nettverk ikke bare fungerer som det skal være, men også for å sikre enheter mot uautoriserte endringer eller feilaktige endringer fra vedlikeholdspersonell og/eller leverandører.
Attributttabell for kontroll 8.9
Kontroll 8.9 er en forebyggende kontrollere det opprettholder risiko ved å etablere en rekke retningslinjer som styrer hvordan en organisasjon dokumenterer, implementerer, overvåker og vurderer bruken av konfigurasjoner på tvers av hele nettverket.
| Kontrolltype | Informasjonssikkerhetsegenskaper | Konsepter for cybersikkerhet | Operasjonelle evner | Sikkerhetsdomener |
|---|---|---|---|---|
| #Forebyggende | #Konfidensialitet | #Beskytte | #Sikker konfigurasjon | #Beskyttelse |
| #Integritet | ||||
| #Tilgjengelighet |
Eierskap til kontroll 8.9
Konfigurasjonsadministrasjon er utelukkende en administrativ oppgave som omhandler vedlikehold og overvåking av informasjon og data på aktivasiden som finnes på et bredt spekter av enheter og applikasjoner. Som sådan bør eierskapet ligge hos IT-sjefen, eller tilsvarende organisatorisk.
Frigjør deg fra et fjell av regneark
Bygg inn, utvid og skaler samsvarsstyringen din uten rot. IO gir deg robustheten og selvtilliten til å vokse sikkert.
Generell veiledning om samsvar
I det hele tatt, organisasjonens behov for å utarbeide og implementere retningslinjer for konfigurasjonsadministrasjon for både nye systemer og maskinvare, og alle som allerede er i bruk. Internkontroll bør inkludere forretningskritiske elementer som sikkerhetskonfigurasjoner, all maskinvare som inneholder en konfigurasjonsfil og eventuelle relevante programvareapplikasjoner eller systemer.
Kontroll 8.9 ber organisasjoner om å vurdere alle relevante roller og ansvar når de implementerer en konfigurasjonspolicy, inkludert delegert eierskap til konfigurasjoner på enhet-for-enhet, eller applikasjon-for-applikasjon basis.
Veiledning – Standardmaler
Der det er mulig, bør organisasjoner bruke standardiserte maler for å sikre all maskinvare, programvare og systemer. Maler bør:
- Forsøk å bruke offentlig tilgjengelige, leverandørspesifikke og/eller åpen kildekodeveiledning om hvordan man best kan konfigurere maskinvare- og programvareressurser.
- Oppfyll minimumssikkerhetskravene for enheten, applikasjonen eller systemet de gjelder for.
- Arbeid i harmoni med organisasjonens bredere informasjonssikkerhetsinnsats, inkludert alle relevante ISO-kontroller.
- Husk organisasjonens unike forretningskrav – spesielt når det gjelder sikkerhetskonfigurasjoner – inkludert hvor mulig det er å bruke eller administrere en mal til enhver tid.
- Bli gjennomgått med passende intervaller for å imøtekomme system- og/eller maskinvareoppdateringer, eller rådende sikkerhetstrusler.
Veiledning – Sikkerhetskontroller
Sikkerhet er avgjørende når du bruker konfigurasjonsmaler, eller endrer eksisterende maler i tråd med veiledningen ovenfor.
Når de vurderer standardmaler for bruk på tvers av organisasjonen, bør organisasjoner for å minimere informasjonssikkerhetsrisikoer:
- Hold antallet brukere med administratorrettigheter på et minimum.
- Deaktiver eventuelle ubrukte eller unødvendige identiteter.
- Overvåk tilgangen til vedlikeholdsprogrammer, hjelpeapplikasjoner og interne innstillinger nøye.
- Sørg for at klokkene er synkronisert for å logge konfigurasjonen riktig, og bistå i eventuelle fremtidige undersøkelser.
- Endre umiddelbart eventuelle standardpassord eller standard sikkerhetsinnstillinger som følger med enhver enhet, tjeneste eller applikasjon.
- Implementer en standard avloggingsperiode for alle enheter, systemer eller applikasjoner som har vært i dvale i en spesifisert tidsperiode.
- Sørg for at alle lisenskrav er oppfylt (se kontroll 5.32).
ISO 27001 gjort enkelt
Et forsprang på 81 % fra dag én
Vi har gjort det harde arbeidet for deg, og gir deg 81 % forsprang fra det øyeblikket du logger på. Alt du trenger å gjøre er å fylle ut de tomme feltene.
Veiledning – Administrere og overvåke konfigurasjoner
En organisasjon har et ansvar for å vedlikeholde og lagre konfigurasjoner, inkludert å holde et revisjonsspor for eventuelle endringer eller nye installasjoner, i tråd med en publisert endringsbehandlingsprosess (se kontroll 8.32).
Logger bør inneholde informasjon som skisserer:
- Hvem eier eiendelen.
- Et tidsstempel for den siste konfigurasjonsendringen.
- Den gjeldende versjonen av konfigurasjonsmalen.
- All relevant informasjon som forklarer aktivaforholdet med konfigurasjoner som holdes på andre enheter eller systemer.
Organisasjoner bør implementere et bredt spekter av teknikker for å overvåke driften av konfigurasjonsfiler på tvers av nettverket, inkludert:
- Automasjon.
- Spesialiserte konfigurasjonsvedlikeholdsprogrammer.
- Fjernstøtteverktøy som automatisk fyller ut konfigurasjonsinformasjon på enhet-for-enhet-basis.
- Bedriftsenhets- og programvareadministrasjonsverktøy som er utviklet for å overvåke store mengder konfigurasjonsdata på en gang.
- BUDR-programvare som automatisk sikkerhetskopierer konfigurasjoner til et sikkert sted, og gjenoppretter maler enten eksternt eller på stedet til kompromitterte og/eller feilfungerende enheter.
Organisasjoner bør konfigurere spesialisert programvare for å spore eventuelle endringer i en enhets konfigurasjon, og iverksette passende tiltak for å rette opp endringen så snart som mulig, enten ved å validere endringen eller tilbakestille konfigurasjonen til dens opprinnelige tilstand.
Støttende retningslinjer
- 5.32
- 8.32
Administrer all samsvarskontroll, alt på ett sted
ISMS.online støtter over 100 standarder og forskrifter, og gir deg én enkelt plattform for alle dine samsvarsbehov.
Endringer og forskjeller fra ISO 27002:2013
Ingen. Kontroll 8.9 har ingen presedens i ISO 27002:2013 da den er ny.
Nye ISO 27002 kontroller
| ISO/IEC 27002:2022 kontrollidentifikator | ISO/IEC 27002:2013 kontrollidentifikator | Kontrollnavn |
|---|---|---|
| 5.7 | NEW | Trusselintelligens |
| 5.23 | NEW | Informasjonssikkerhet for bruk av skytjenester |
| 5.30 | NEW | IKT-beredskap for forretningskontinuitet |
| 7.4 | NEW | Fysisk sikkerhetsovervåking |
| 8.9 | NEW | Konfigurasjonsstyring |
| 8.10 | NEW | Sletting av informasjon |
| 8.11 | NEW | Datamaskering |
| 8.12 | NEW | Forebygging av datalekkasje |
| 8.16 | NEW | Overvåking av aktiviteter |
| 8.23 | NEW | Web-filtrering |
| 8.28 | NEW | Sikker koding |
| ISO/IEC 27002:2022 kontrollidentifikator | ISO/IEC 27002:2013 kontrollidentifikator | Kontrollnavn |
|---|---|---|
| 6.1 | 07.1.1 | Screening |
| 6.2 | 07.1.2 | Vilkår og betingelser for ansettelsen |
| 6.3 | 07.2.2 | Informasjonssikkerhetsbevissthet, utdanning og opplæring |
| 6.4 | 07.2.3 | Disiplinær prosess |
| 6.5 | 07.3.1 | Ansvar etter oppsigelse eller endring av arbeidsforhold |
| 6.6 | 13.2.4 | Avtaler om konfidensialitet eller taushetsplikt |
| 6.7 | 06.2.2 | Fjernarbeid |
| 6.8 | 16.1.2, 16.1.3 | Informasjonssikkerhet hendelsesrapportering |
| ISO/IEC 27002:2022 kontrollidentifikator | ISO/IEC 27002:2013 kontrollidentifikator | Kontrollnavn |
|---|---|---|
| 7.1 | 11.1.1 | Fysiske sikkerhetsomkretser |
| 7.2 | 11.1.2, 11.1.6 | Fysisk inngang |
| 7.3 | 11.1.3 | Sikring av kontorer, rom og fasiliteter |
| 7.4 | NEW | Fysisk sikkerhetsovervåking |
| 7.5 | 11.1.4 | Beskyttelse mot fysiske og miljømessige trusler |
| 7.6 | 11.1.5 | Arbeid i sikre områder |
| 7.7 | 11.2.9 | Oversiktlig skrivebord og oversiktlig skjerm |
| 7.8 | 11.2.1 | Utstyrsplassering og beskyttelse |
| 7.9 | 11.2.6 | Sikkerhet av eiendeler utenfor lokaler |
| 7.10 | 08.3.1, 08.3.2, 08.3.3, 11.2.5 | Lagringsmedier |
| 7.11 | 11.2.2 | Støtteverktøy |
| 7.12 | 11.2.3 | Kablingssikkerhet |
| 7.13 | 11.2.4 | Vedlikehold av utstyr |
| 7.14 | 11.2.7 | Sikker avhending eller gjenbruk av utstyr |
Hvordan ISMS.online hjelper
ISMS.Online er en komplett løsning for implementering av ISO 27002.
Det er et nettbasert system som lar deg vise at ditt styringssystem for informasjonssikkerhet (ISMS) er i samsvar med de godkjente standardene ved hjelp av gjennomtenkte prosesser og prosedyrer og sjekklister.
Ta kontakt i dag for å bestill en demo.
