ISO 27001:2022 Liite A Valvonta 8.8

Ohjeita haavoittuvuuksien tunnistamiseen

Ennen haavoittuvuuden valvontaa on välttämätöntä hankkia kattava ja ajantasainen luettelo organisaation omistamista ja käyttämistä fyysisistä ja digitaalisista varoista (katso liite A 5.9 ja 5.14).

Ohjelmistoresurssitietojen tulee sisältää:

• Versionumerot tällä hetkellä käytössä.
• Missä ohjelmisto on käytössä koko kiinteistön alueella.
• Toimittajan nimi.
• Sovelluksen nimi.

Organisaatioiden tulee pyrkiä tunnistamaan tekniset haavoittuvuudet:

• On tärkeää määritellä selkeästi, kuka organisaatiossa on vastuussa haavoittuvuuden hallinta tekniseltä näkökulmasta, joka täyttää sen eri tehtävät, joihin kuuluvat (mutta eivät rajoitu):
• Seuranta.
• Päivitetään.
• Vahvuuksien hallinta.
• Riskien arviointi.
• Organisaation sisällä kuka on vastuussa ohjelmistosta.
• Pidä kirjaa sovelluksista ja työkaluista teknisten heikkouksien tunnistamiseksi.
• Pyydä toimittajia ja myyjiä paljastamaan mahdolliset uusien järjestelmien ja laitteistojen herkkyydet niitä toimittaessaan (ISO 5.20:27001:n liitteen A 2022 mukaisesti) ja määritä se selkeästi kaikissa sovellettavissa sopimuksissa ja palvelusopimuksissa.
• Käytä haavoittuvuuksien tarkistustyökaluja ja korjauspalveluita.
• Suorita määräajoin dokumentoituja läpäisytestejä joko sisäisen henkilöstön tai valtuutetun kolmannen osapuolen toimesta.
• Ole tietoinen taustalla olevien ohjelmallisten haavoittuvuuksien mahdollisuudesta, kun käytät kolmannen osapuolen koodikirjastoja tai lähdekoodia (katso ISO 27001:2022 liite A 8.28).

Ohjeita julkiseen toimintaan

Organisaatioiden tulee luoda käytäntöjä ja menettelytapoja, jotka havaitsevat haavoittuvuudet kaikissa niiden tuotteissa ja palveluissa ja saavat arvioita haavoittuvuuksista, jotka liittyvät niiden tarjontaan.

ISO neuvoo organisaatioita ryhtymään toimiin haavoittuvuuksien tunnistamiseksi ja motivoimaan kolmansia osapuolia osallistumaan haavoittuvuuksien hallintaan tarjoamalla palkkio-ohjelmia (joissa mahdollisia hyväksikäyttöjä etsitään ja niistä ilmoitetaan organisaatiolle vastineeksi palkkiosta).

Organisaatioiden tulisi asettua yleisön saataville foorumien, julkisten sähköpostiosoitteiden ja tutkimuksen kautta, jotta ne voivat hyödyntää yleisön kollektiivista tietämystä tuotteidensa ja palveluidensa suojaamiseksi.

Organisaatioiden tulee tarkistaa toteutetut korjaavat toimet ja harkita asiaankuuluvien tietojen luovuttamista asianomaisille henkilöille tai organisaatioille. Lisäksi heidän tulisi olla tekemisissä erityisten turvallisuusorganisaatioiden kanssa levittääkseen tietoa haavoittuvuuksista ja hyökkäysvektoreista.

Organisaatioiden tulisi harkita valinnaisen automaattisen päivitysjärjestelmän tarjoamista, jota asiakkaat voivat valita, käyttävätkö ne liiketoimintatarpeidensa mukaan.

Ohjeita haavoittuvuuksien arviointiin

Tarkka raportointi on välttämätöntä, jotta voidaan varmistaa nopeat ja tehokkaat korjaavat toimet, kun tietoturvariskit havaitaan.

Organisaatioiden tulee arvioida haavoittuvuudet seuraavasti:

• Tutki raportit perusteellisesti ja määritä, mitä toimia tarvitaan, kuten järjestelmien ja/tai laitteiden muuttaminen, päivittäminen tai poistaminen.
• Saavuta ratkaisu, joka ottaa huomioon muut ISO-säädöt (erityisesti ISO 27001:2022:een liittyvät) ja ottaa huomioon riskien tason.

Ohjelmiston haavoittuvuuksien torjunta

Ohjelmiston haavoittuvuuksia voidaan torjua tehokkaasti käyttämällä ennakoivaa lähestymistapaa ohjelmistopäivityksiin ja korjaustiedostojen hallintaan. Säännöllisten päivitysten ja korjaustiedostojen varmistaminen voi auttaa suojaamaan järjestelmääsi mahdollisilta uhilta.

Organisaatioiden tulee säilyttää olemassa olevat ohjelmistoversiot ennen muutosten tekemistä, suorittaa perusteelliset testit kaikille muokkauksille ja soveltaa niitä ohjelmiston määrättyyn kopioon.

Kun haavoittuvuudet on tunnistettu, organisaatioiden tulee ryhtyä toimiin niiden korjaamiseksi:

• Pyri korjaamaan kaikki tietoturvapuutteet nopeasti ja tehokkaasti.
• Noudata mahdollisuuksien mukaan muutostenhallinnan (ks. ISO 27001:2022 liite A 8.32) ja tapausten käsittelyn (ks. ISO 27001:2022 liite A 5.26) organisaatioprotokollia.
• Käytä vain luotettavista, sertifioiduista lähteistä peräisin olevia korjaustiedostoja ja päivityksiä, erityisesti kolmannen osapuolen ohjelmistojen ja laitteiden osalta:
• Organisaatioiden tulee arvioida käsillä olevat tiedot päättääkseen, onko olennaista päivittää automaattisia päivityksiä (tai niiden osia) ostettuihin ohjelmistoihin ja laitteistoihin.
• Ennen kuin asennat, testaa päivitykset estääksesi odottamattomat ongelmat live-ympäristössä.
• Aseta etusijalle riskialttiiden ja elintärkeiden liiketoimintajärjestelmien käsittely.
• Varmista, että korjaavat toimet ovat onnistuneita ja aitoja.

Jos päivitystä ei ole saatavilla tai jos sen asentamisessa on esteitä (esim. kustannuksiin liittyviä), organisaatioiden tulee harkita muita menetelmiä, kuten:

• Pyydetään opastusta toimittajalta tilapäiseen korjaukseen samalla kun korjaavia toimia tehostetaan.
• Sammuta kaikki verkkopalvelut, joihin haavoittuvuus vaikuttaa.
• Suojaustoimenpiteiden, kuten liikennesääntöjen ja suodattimien, käyttöönotto keskeisissä yhdyskäytävissä verkon suojaamiseksi.
• Tehosta valvontaa suhteessa siihen liittyvään riskiin.
• Varmista, että kaikki osapuolet, mukaan lukien myyjät ja ostajat, ovat tietoisia virheestä.
• Viivytä päivitystä ja arvioi riskit huomioimalla erityisesti mahdolliset käyttökustannukset.

Mukana olevat liitteen A valvontalaitteet

• ISO 27001:2022 Liite A 5.14
• ISO 27001:2022 Liite A 5.20
• ISO 27001:2022 Liite A 5.9
• ISO 27001:2022 Liite A 8.20
• ISO 27001:2022 Liite A 8.22
• ISO 27001:2022 Liite A 8.28

Liitettä A koskevat lisäohjeet 8.8

Organisaatioiden tulee ylläpitää Kirjausketju kaikista asiaan liittyvistä haavoittuvuuksien hallintatoimista, jotka auttavat korjaavissa toimissa ja protokollien kehittämisessä tietoturvaloukkauksen sattuessa.

Koko haavoittuvuuksien hallintaprosessin säännöllinen arvioiminen ja tarkistaminen on loistava tapa parantaa suorituskykyä ja tunnistaa ennakoivasti mahdolliset haavoittuvuudet.

Jos organisaatiossa on pilvipalveluntarjoaja, sen tulee varmistaa, että palveluntarjoajan lähestymistapa haavoittuvuuksien hallintaan on yhteensopiva heidän omansa kanssa, ja se tulee sisällyttää molempien osapuolten väliseen sitovaan palvelusopimukseen, mukaan lukien mahdolliset raportointimenettelyt (katso ISO 27001:2022 liite A 5.32). .

Muutokset ja erot standardista ISO 27001:2013

ISO 27001:2022 Liite A 8.8 korvaa kaksi ISO 27001:2013 -standardin liitteen A kontrollia, nämä ovat:

• 12.6.1 – Teknisten haavoittuvuuksien hallinta
• 18.2.3 – Teknisen vaatimustenmukaisuuden tarkastus

ISO 27001:2022 Liite A 8.8 esittelee uuden, erillisen lähestymistavan haavoittuvuuksien hallintaan kuin standardissa ISO 27001:2013. Se on huomattava poikkeama aikaisemmasta standardista.

ISO 27001:2013 Liite A 12.6.1 keskittyi pääasiassa korjaavien toimenpiteiden toteuttamiseen haavoittuvuuden havaitsemisen jälkeen, kun taas liite A 18.2.3 koskee vain teknisiä keinoja (lähinnä tunkeutumistestausta).

ISO 27001:2022 Liite A 8.8 esittelee uusia osioita, jotka käsittelevät organisaation julkisia vastuita, haavoittuvuuksien tunnistamismenetelmiä ja pilvipalveluntarjoajien roolia haavoittuvuuksien pitämisessä minimissä.

ISO 27001:2022 korostaa vahvasti haavoittuvuuksien hallinnan roolia muilla alueilla (kuten muutosten hallinnassa) ja rohkaisee omaksumaan kokonaisvaltaisen lähestymistavan, joka sisältää useita muita valvonta- ja tietoturvaprosesseja.

Taulukko kaikista ISO 27001:2022 liitteen A ohjaimista

Alla olevasta taulukosta löydät lisätietoja jokaisesta henkilöstä ISO 27001:2022 liite A Ohjaus.

Miten ISMS.online Ohje

Meidän alusta on käyttäjäystävällinen ja suoraviivaista. Se on tarkoitettu kaikille organisaation jäsenille, ei vain tekniikkaa tunteville. Suosittelemme ottamaan mukaan henkilöstöä kaikilta liiketoiminnan tasoilta ISMS:n rakentaminen koska tämä auttaa luomaan kestävän järjestelmän.

Ota nyt yhteyttä osoitteeseen järjestää mielenosoitus.