ISO 27002:2022, Kontroll 8.9 – Konfigurasjonsadministrasjon

Generell veiledning om samsvar

I det hele tatt, organisasjonens behov for å utarbeide og implementere retningslinjer for konfigurasjonsadministrasjon for både nye systemer og maskinvare, og alle som allerede er i bruk. Internkontroll bør inkludere forretningskritiske elementer som sikkerhetskonfigurasjoner, all maskinvare som inneholder en konfigurasjonsfil og eventuelle relevante programvareapplikasjoner eller systemer.

Kontroll 8.9 ber organisasjoner om å vurdere alle relevante roller og ansvar når de implementerer en konfigurasjonspolicy, inkludert delegert eierskap til konfigurasjoner på enhet-for-enhet, eller applikasjon-for-applikasjon basis.

Veiledning – Standardmaler

Der det er mulig, bør organisasjoner bruke standardiserte maler for å sikre all maskinvare, programvare og systemer. Maler bør:

1. Forsøk å bruke offentlig tilgjengelige, leverandørspesifikke og/eller åpen kildekodeveiledning om hvordan man best kan konfigurere maskinvare- og programvareressurser.
2. Oppfyll minimumssikkerhetskravene for enheten, applikasjonen eller systemet de gjelder for.
3. Arbeid i harmoni med organisasjonens bredere informasjonssikkerhetsinnsats, inkludert alle relevante ISO-kontroller.
4. Husk organisasjonens unike forretningskrav – spesielt når det gjelder sikkerhetskonfigurasjoner – inkludert hvor mulig det er å bruke eller administrere en mal til enhver tid.
5. Bli gjennomgått med passende intervaller for å imøtekomme system- og/eller maskinvareoppdateringer, eller rådende sikkerhetstrusler.

Veiledning – Sikkerhetskontroller

Sikkerhet er avgjørende når du bruker konfigurasjonsmaler, eller endrer eksisterende maler i tråd med veiledningen ovenfor.

Når de vurderer standardmaler for bruk på tvers av organisasjonen, bør organisasjoner for å minimere informasjonssikkerhetsrisikoer:

1. Hold antallet brukere med administratorrettigheter på et minimum.
2. Deaktiver eventuelle ubrukte eller unødvendige identiteter.
3. Overvåk tilgangen til vedlikeholdsprogrammer, hjelpeapplikasjoner og interne innstillinger nøye.
4. Sørg for at klokkene er synkronisert for å logge konfigurasjonen riktig, og bistå i eventuelle fremtidige undersøkelser.
5. Endre umiddelbart eventuelle standardpassord eller standard sikkerhetsinnstillinger som følger med enhver enhet, tjeneste eller applikasjon.
6. Implementer en standard avloggingsperiode for alle enheter, systemer eller applikasjoner som har vært i dvale i en spesifisert tidsperiode.
7. Sørg for at alle lisenskrav er oppfylt (se kontroll 5.32).

Veiledning – Administrere og overvåke konfigurasjoner

En organisasjon har et ansvar for å vedlikeholde og lagre konfigurasjoner, inkludert å holde et revisjonsspor for eventuelle endringer eller nye installasjoner, i tråd med en publisert endringsbehandlingsprosess (se kontroll 8.32).

Logger bør inneholde informasjon som skisserer:

1. Hvem eier eiendelen.
2. Et tidsstempel for den siste konfigurasjonsendringen.
3. Den gjeldende versjonen av konfigurasjonsmalen.
4. All relevant informasjon som forklarer aktivaforholdet med konfigurasjoner som holdes på andre enheter eller systemer.

Organisasjoner bør implementere et bredt spekter av teknikker for å overvåke driften av konfigurasjonsfiler på tvers av nettverket, inkludert:

1. Automasjon.
2. Spesialiserte konfigurasjonsvedlikeholdsprogrammer.
3. Fjernstøtteverktøy som automatisk fyller ut konfigurasjonsinformasjon på enhet-for-enhet-basis.
4. Bedriftsenhets- og programvareadministrasjonsverktøy som er utviklet for å overvåke store mengder konfigurasjonsdata på en gang.
5. BUDR-programvare som automatisk sikkerhetskopierer konfigurasjoner til et sikkert sted, og gjenoppretter maler enten eksternt eller på stedet til kompromitterte og/eller feilfungerende enheter.

Organisasjoner bør konfigurere spesialisert programvare for å spore eventuelle endringer i en enhets konfigurasjon, og iverksette passende tiltak for å rette opp endringen så snart som mulig, enten ved å validere endringen eller tilbakestille konfigurasjonen til dens opprinnelige tilstand.

Støttende retningslinjer

• 5.32
• 8.32

Endringer og forskjeller fra ISO 27002:2013

Ingen. Kontroll 8.9 har ingen presedens i ISO 27002:2013 da den er ny.

Hvordan ISMS.online hjelper

ISMS.Online er en komplett løsning for implementering av ISO 27002.

Det er et nettbasert system som lar deg vise at ditt styringssystem for informasjonssikkerhet (ISMS) er i samsvar med de godkjente standardene ved hjelp av gjennomtenkte prosesser og prosedyrer og sjekklister.

Ta kontakt i dag for å bestill en demo.