ISO 27001:2022 liite A 8.27 – Secure System Architecture and Engineering Principles

• nähdä ISO 27002:2022 Control 8.27 lisätietoja.
• nähdä ISO 27001:2013 Liite A 14.2.5 lisätietoja.

ISO 27001:2022 Ohjaus 8.27 – Järjestelmän turvallisuuden vahvistaminen alusta alkaen

ISO 27001: 2022 Liite A 8.27 määrittelee, että organisaatioiden tulee ottaa käyttöön turvallinen järjestelmäarkkitehtuuri ja suunnitteluperiaatteet varmistaakseen, että tietojärjestelmän suunnittelu, toteutus ja hallinta vastaavat organisaation turvallisuusvaatimuksia. Tämä sisältää turvallisten järjestelmäarkkitehtuurien, suunnitteluperiaatteiden ja turvallisten suunnittelukäytäntöjen luomisen.

Nykyaikaisten tietojärjestelmien monimutkaiset rakenteet yhdistettynä jatkuvasti muuttuvaan kyberturvallisuusriskiympäristöön tekevät tietojärjestelmistä alttiimpia olemassa oleville ja mahdollisille turvallisuusuhkille.

Liitteen A kohdassa 8.27 kuvataan miten organisaatiot voivat suojata tietojärjestelmänsä tietoturvauhkilta turvallisten järjestelmäsuunnitteluperiaatteiden toteuttamisen kautta tietojärjestelmän elinkaaren kaikissa vaiheissa.

ISO 27001:2022 liitteen A tarkoitus 8.27

Liite A 8.27 auttaa organisaatioita turvaamaan tietojärjestelmät suunnittelun, käyttöönoton ja käytön aikana luomalla ja toteuttamalla turvallisia järjestelmäsuunnittelun periaatteita, joita järjestelmäsuunnittelijoiden on noudatettava.

Liitteen A omistusoikeus 8.27

- Tietoturvajohtaja on vastuussa tietojärjestelmien turvallista suunnittelua koskevien sääntöjen rakentamisesta, ylläpitämisestä ja toteuttamisesta.

Yleiset ohjeet standardista ISO 27001:2022 Liite A 8.27 Vaatimustenmukaisuus

ISO 27001:2022 Liite A 8.27 korostaa, että organisaatioiden on integroitava turvallisuus tietojärjestelmiinsä, mukaan lukien liiketoimintaprosessit, sovellukset ja tietoarkkitehtuuri.

Turvalliset suunnittelukäytännöt tulisi ottaa käyttöön kaikissa tietojärjestelmiin liittyvissä tehtävissä, ja ne on tarkistettava ja päivitettävä säännöllisesti uusien uhkien ja hyökkäysmallien huomioon ottamiseksi.

Liite A 8.27 koskee myös ulkoisten palveluntarjoajien luomia järjestelmiä sisäisesti kehitettyjen ja ylläpidettävien järjestelmien lisäksi.

Organisaatioiden tulee taata, että palveluntarjoajien käytännöt ja standardit ovat sopusoinnussa suojattujen suunnitteluprotokollien kanssa.

ISO 27001:2022 Liite A 8.27 edellyttää turvallisia järjestelmäsuunnitteluperiaatteita seuraavien kahdeksan aiheen käsittelemiseksi:

1. Käyttäjien todennusmenetelmät.
2. Turvallinen istunnonhallintaopastus.
3. Tietojen desinfiointi- ja validointimenettelyt.
4. Tietovarallisuuden ja -järjestelmien suojaamiseksi tunnetuilta uhilta analysoidaan kattavasti turvatoimia.
5. Suojaustoimenpiteitä analysoitiin niiden kykyä tunnistaa, poistaa ja vastata turvallisuusuhkiin.
6. Analysoidaan tiettyihin liiketoimintatoimintoihin sovellettavia turvatoimia, kuten tietojen salausta.
7. Missä ja miten turvatoimet toteutetaan. Tekniseen infrastruktuuriin voidaan sisällyttää erityinen liitteen A turvavalvonta osana tätä prosessia.
8. Tapa, jolla erilaiset turvatoimenpiteet toimivat yhdessä ja toimivat yhdistettynä järjestelmänä.

Ohjeita nollaluottamusperiaatteesta

Organisaatioiden tulee pitää mielessä nämä nollaluottamuksen periaatteet:

• Perustuu olettamukseen, että organisaation järjestelmät ovat jo vaarantuneet ja että sen verkon määritelty reunaturvallisuus ei pysty tarjoamaan riittävää suojaa.
• Tietojärjestelmiin pääsyn myöntämisessä tulisi noudattaa "varmennus ennen luottamusta" -politiikkaa. Näin varmistetaan, että käyttöoikeus myönnetään vasta tarkastelun jälkeen, jolloin varmistetaan, että oikeat ihmiset saavat sen.
• Tietojärjestelmiin tehtyjen pyyntöjen turvaaminen päästä päähän -salauksella antaa varmuutta.
• Varmennusmekanismit toteutetaan olettaen pääsypyynnöt ulkoisista, avoimista verkoista tietojärjestelmiin.
• Ota käyttöön vähiten etuoikeus ja dynaaminen kulunvalvonta standardin ISO 27001:2022 liitteen A 5.15, 5.18 ja 8.2 mukaisesti. Tämän on katettava arkaluonteisten tietojen ja tietojärjestelmien todennus ja valtuutus ottaen huomioon kontekstuaaliset näkökohdat, kuten käyttäjätunnukset (ISO 27001:2022 liite A 5.16) ja tietojen luokittelu (ISO 27001:2022 liite A 5.12).
• Todentaa pyytäjän henkilöllisyys ja varmentaa tietojärjestelmiin pääsyä koskevat valtuutuspyynnöt ISO 27001:2022 liitteen A 5.17, 5.16 ja 8.5 todennustietojen mukaisesti.

Mitä suojattujen järjestelmäsuunnittelutekniikoiden tulisi kattaa?

Organisaation tulee pitää mielessä seuraavat asiat:

• Sisältää suojatun arkkitehtuurin periaatteet, kuten "suunniteltu turvallisuus", "syvä puolustus", "epäonnistuu turvallisesti", "ei luota ulkoisten sovellusten syötteeseen", "olettaa tietomurron", "vähiten etuoikeus", "käytettävyys ja hallittavuus" ja "vähiten toimivuus" ” on tärkeintä.
• Turvallisuuslähtöisen suunnittelun tarkastelun tekeminen tietoturvaongelmien havaitsemiseksi ja sen varmistaminen, että turvatoimenpiteet on otettu käyttöön ja vastaavat turvallisuustarpeita.
• On välttämätöntä dokumentoida ja tunnustaa turvatoimenpiteet, jotka eivät täytä vaatimuksia.
• Järjestelmän karkaisu on välttämätöntä minkä tahansa järjestelmän turvallisuuden kannalta.

Mitä kriteerejä tulee ottaa huomioon turvallisten suunnitteluperiaatteiden suunnittelussa?

Organisaatioiden tulee ottaa huomioon seuraavat seikat määrittäessään suojattuja järjestelmäsuunnittelun periaatteita:

• Vaatimus liitteen A valvontatoimien yhteensovittamisesta tietyn turvallisuusarkkitehtuurin kanssa on välttämätön.
• Organisaation olemassa oleva tekninen turvallisuusinfrastruktuuri, mukaan lukien julkisen avaimen infrastruktuuri, identiteetin hallinta ja tietovuotojen esto.
• Pystyykö organisaatio rakentamaan ja ylläpitämään valittua teknologiaa.
• Turvavaatimusten täyttämiseen tarvittavat kustannukset ja aika on otettava huomioon niiden monimutkaisuus huomioon ottaen.
• Nykyisten parhaiden käytäntöjen noudattaminen on välttämätöntä.

Secure System Engineering -periaatteiden soveltamisohjeet

ISO 27001:2022 liitteessä A 8.27 todetaan, että organisaatiot voivat käyttää turvallisia suunnitteluperiaatteita perustaessaan seuraavia:

• Vikasietokyky ja muut sietokykystrategiat ovat välttämättömiä. Ne auttavat varmistamaan, että järjestelmät pysyvät toiminnassa odottamattomista tapahtumista huolimatta.
• Virtualisoinnin kautta tapahtuva erottelu on yksi tekniikka, jota voidaan hyödyntää.
• Vuorottelusuojaus, varmista, että järjestelmät pysyvät turvallisina ja haitallisille häiriöille läpäisemättöminä.

Suojattu virtualisointitekniikka voi vähentää samalla laitteessa olevien sovellusten välisen sieppauksen riskiä.

Korostetaan, että peukaloinnin estojärjestelmät voivat havaita sekä loogisen että fyysisen tietojärjestelmien manipuloinnin, mikä estää luvattoman pääsyn tietoihin.

Muutokset ja erot ISO 27001:2013:sta

ISO 27001:2022 Liite A 8.27 korvaa ISO 27001:2013 liitteen A 14.2.5 tarkistetussa 2022 standardissa.

Vuoden 2022 versio sisältää laajempia vaatimuksia kuin vuoden 2013 versio, kuten:

• Vuoteen 2013 verrattuna vuoden 2022 versio antaa ohjeita siitä, mitä turvallisten suunnitteluperiaatteiden tulee sisältää.
• Vuoden 2013 iteraatiosta poiketen vuoden 2022 versio huomioi ne kriteerit, jotka organisaatioiden tulee ottaa huomioon turvallisia järjestelmäsuunnitteluperiaatteita rakentaessaan.
• Vuoden 2022 versio antaa ohjeita nollaluottamusperiaatteesta, jota ei sisällytetty vuoden 2013 versioon.
• Asiakirjan vuoden 2022 painos sisältää suosituksia turvallisista suunnittelutekniikoista, kuten "security by design", jota ei ollut vuoden 2013 versiossa.

Taulukko kaikista ISO 27001:2022 liitteen A ohjaimista

Alla olevasta taulukosta löydät lisätietoja jokaisesta henkilöstä ISO 27001:2022 liite A Ohjaus.

Miten ISMS.online Ohje

Vaiheittainen tarkistuslistamme tekee ISO 27001 -toteutuksesta helppoa. Meidän täydellinen vaatimustenmukaisuusratkaisu ISO/IEC 27001:2022 opastaa sinut prosessin läpi alusta loppuun.

Kun kirjaudut sisään, voit odottaa jopa 81 % edistystä.

Tämä ratkaisu on täysin kattava ja yksinkertainen.

Ota yhteyttä nyt varata esittely.