ISO 27002:2022 – Ohjaus 8.15 – Kirjaaminen

Valvonnan tarkoitus 8.15

Lokit – joko sovelluslokien, tapahtumalokien tai yleisten järjestelmätietojen muodossa – ovat keskeinen osa ICT-tapahtumien ja työntekijöiden toimien ylhäältä alas -näkymän saamista. Lokien avulla organisaatiot voivat luoda tapahtumien aikajanan ja tarkastella sekä loogisia että fyysisiä malleja koko verkossaan.

Selkeiden ja helposti saatavien lokitietojen tuottaminen on tärkeä osa organisaation yleistä ICT-strategiaa, ja se liittyy lukuisiin ISO 27002:2002 -standardiin sisältyviin tietoturvatoimiin.

Lokien pitäisi:

• Tallenna tapahtumia.
• Kerää todisteita.
• Suojaa omaa koskemattomuuttaan.
• Suojaa lokitiedot luvattomalta käytöltä.
• Tunnista toimet ja tapahtumat, jotka voivat johtaa tieto-/turvaloukkaukseen.
• Toimia välineenä sisäisten ja ulkoisten tutkimusten tukena.

Attribuuttien ohjaustaulukko 8.15

Ohjaus 8.15 on a etsivä hallitse sitä muuttaa riskiä ottamalla käyttöön menetelmän, joka täyttää edellä mainitut tavoitteet.

Määräysvallan omistus 8.15

Ohjaus 8.15 käsittelee ICT-toimintoja, jotka suoritetaan järjestelmänvalvojan käyttöoikeuksilla ja kuuluvat verkonhallinnan ja ylläpidon sateenvarjon alle. Sellaisenaan Control 8.15:n omistusoikeus kuuluu IT-päällikölle tai vastaavalle organisaatiolle.

Ohjeet – Tapahtumalokin tiedot

"Tapahtuma" tarkoittaa mitä tahansa loogisen tai fyysisen läsnäolon suorittamaa toimintaa tietokonejärjestelmässä – esimerkiksi tietopyyntö, etäkirjautuminen, automaattinen järjestelmän sammutus, tiedostojen poistaminen.

Ohjaus 8.15:n mukaan jokaisen yksittäisen tapahtumalokin tulee sisältää 5 pääkomponenttia, jotta se voisi täyttää toiminnallisen tarkoituksensa:

• Käyttäjätunnus – Kuka tai mikä tili suoritti toiminnot.
• Järjestelmän toiminta – mitä tapahtui
• Aikaleimat – mainitun tapahtuman päivämäärä ja aika
• Laite- ja järjestelmätunnisteet ja sijainti – Millä omaisuudella tapahtuma tapahtui
• Verkkoosoitteet ja protokollat ​​– IP-tiedot

Ohjaus – Tapahtumatyypit

Käytännön syistä ei ehkä ole mahdollista kirjata jokaista yksittäistä tapahtumaa, joka tapahtuu tietyssä verkossa.

Tätä silmällä pitäen Control 8.15 tunnistaa alla olevat 10 tapahtumaa erityisen tärkeiksi kirjaamistarkoituksiin, kun otetaan huomioon niiden kyky muuttaa riskejä ja niiden rooli riittävän tietoturvatason ylläpitämisessä:

1. Järjestelmän käyttöyritykset.
2. Tietojen ja/tai resurssien käyttöyritykset.
3. Järjestelmän/käyttöjärjestelmän kokoonpanon muutokset.
4. Korkeiden oikeuksien käyttö.
5. Apuohjelmien tai huoltopalvelujen käyttö (katso Ohjaus 8.18).
6. Tiedostojen käyttöpyynnöt ja mitä tapahtui (poisto, siirto jne.).
7. Kulunvalvontahälytykset ja kriittiset keskeytykset.
8. Käyttöliittymän ja takapään turvajärjestelmien, kuten asiakaspuolen virustorjuntaohjelmistojen tai palomuurisuojausjärjestelmien, aktivointi ja/tai deaktivointi.
9. Identiteettihallinnon työ (sekä fyysinen että looginen).
10. Tietyt toiminnot tai järjestelmän/tietojen muutokset, jotka suoritetaan osana sovelluksen istuntoa.

Kuten Ohjaus 8.17:ssä selitettiin, on erittäin tärkeää, että kaikki lokit on linkitetty samaan synkronoituun aikalähteeseen (tai kurssisarjaan), ja kolmannen osapuolen sovelluslokien tapauksessa kaikki aikaerot huomioidaan ja kirjataan.

Ohjeet – Tukkisuojaus

Lokit ovat pienin yhteinen nimittäjä käyttäjien, järjestelmän ja sovellusten käyttäytymisen määrittämiseksi tietyssä verkossa, varsinkin kun niitä tutkitaan.

Siksi on erittäin tärkeää, että organisaatiot varmistavat, etteivät käyttäjät – käyttöoikeustasoistaan ​​riippumatta – säilytä mahdollisuutta poistaa tai muuttaa omia tapahtumalokejaan.

Yksittäisten lokien tulee olla täydellisiä, tarkkoja ja suojattuja luvattomilta muutoksilta tai toimintahäiriöiltä, ​​mukaan lukien:

• Viestityypin muutokset.
• Poistetut tai muokatut lokitiedostot.
• Epäonnistuminen lokitiedoston luomisessa tai tarpeeton lokitiedostojen päällekirjoitus, joka johtuu vallitsevista tallennusvälineissä tai verkon suorituskyvyssä olevista ongelmista.

ISO suosittelee, että tietoturvan parantamiseksi lokit suojataan seuraavilla tavoilla:

• Kryptografinen hajautus.
• Liitä vain tallenne.
• Vain luku -tallennus.
• Julkisten läpinäkyvyystiedostojen käyttö.

Organisaatiot saattavat joutua lähettämään lokeja toimittajille tapausten ja vikojen ratkaisemiseksi. Jos tämä tarve ilmenee, lokien tunnistaminen tulee poistaa (katso Ohjaus 8.11) ja seuraavat tiedot tulee peittää:

• käyttäjätunnukset
• IP-osoitteita
• Isäntänimet

Tämän lisäksi tulee ryhtyä toimenpiteisiin henkilökohtaisten tunnistetietojen (PII) turvaamiseksi organisaation omien tietosuojakäytäntöjen ja voimassa olevan lainsäädännön mukaisesti (ks. Valvonta 5.34).

Ohjeet – lokianalyysi

Analysoitaessa lokeja tietoturvatapahtumien tunnistamista, ratkaisemista ja analysointia varten – lopullisena tavoitteena tulevien tapahtumien estäminen – on otettava huomioon seuraavat tekijät:

• Analyysin tekevän henkilöstön asiantuntemus.
• Kuinka lokit analysoidaan yrityksen menettelytavan mukaisesti.
• Jokaisen analysointia vaativan tapahtuman tyyppi, luokka ja attribuutit.
• Kaikki poikkeukset, joita sovelletaan tietoturvaohjelmistolaitteistoista ja -alustoista peräisin olevien verkkosääntöjen kautta.
• Verkkoliikenteen oletusvirta verrattuna selittämättömiin kaavoihin.
• Trendit, jotka tunnistetaan erikoistuneen data-analyysin tuloksena.
• Uhkatietoisuus.

Ohjeet – lokin seuranta

Lokianalyysiä ei pidä tehdä eristyksissä, vaan se tulee tehdä yhdessä tiukkojen seurantatoimien kanssa, jotka osoittavat keskeiset kuviot ja poikkeavaa käyttäytymistä.

Kaksitahoisen lähestymistavan saavuttamiseksi organisaatioiden tulee:

1. Tarkista kaikki yritykset käyttää suojattuja ja/tai liiketoiminnan kannalta kriittisiä resursseja, mukaan lukien verkkotunnuksen palvelimia, verkkoportaaleja ja tiedostojen jakoalustoja.
2. Tarkkaile DNS-lokeja löytääksesi haitallisiin lähteisiin ja haitallisiin palvelintoimintoihin liittyvän lähtevän liikenteen.
3. Kerää palveluntarjoajien tai sisäisten alustojen tiedonkäyttöraportteja haitallisen toiminnan tunnistamiseksi.
4. Kerää lokit fyysisistä tukiasemista, kuten avainkortti-/puhaltimen lokit ja huoneen pääsytiedot.

Lisätiedot

Organisaatioiden tulisi harkita erikoistuneiden apuohjelmien, kuten SIEM-työkalun, käyttöä, jotka auttavat niitä etsimään järjestelmälokien tuottamaa valtavaa määrää tietoa, jotta he säästävät aikaa ja resursseja tutkiessaan tietoturvahäiriöitä.

Jos organisaatio käyttää pilvipohjaista alustaa jonkin osan toiminnastaan ​​suorittamiseen, lokinhallintaa tulee pitää palveluntarjoajan ja organisaation jaettuna vastuuna.

Ohjaimet tukevat

• 5.34
• 8.11
• 8.17
• 8.18

Muutokset ja erot standardista ISO 27002:2013

ISO 27002:2002-8.15 korvaa kolme ISO 27002:2003 -säädintä, jotka käsittelevät lokitiedostojen tallennusta, hallintaa ja analysointia:

• 12.4.1 – Tapahtumaloki
• 12.4.2 – Lokitietojen suojaus
• 12.4.3 – Järjestelmänvalvojan ja operaattorin lokit

27002:2002-8.15 vahvistaa suurelta osin kaikki edellä olevien kolmen ohjaimen ohjekohdat yhdeksi selkeäksi kirjaamista käsitteleväksi protokollaksi muutamilla merkittävillä laajennuksilla, mukaan lukien (mutta ei rajoittuen):

• Laajennettu ohjesarja, joka käsittelee lokitietojen suojaa.
• Lisäohjeita eri tapahtumatyypeistä, joita tulisi harkita tarkasteltavina.
• Ohjeita siitä, kuinka lokeja tulisi sekä seurata että analysoida yhteisesti tietoturvan parantamiseksi.
• Neuvoja pilvipohjaisten alustojen tuottamien lokien hallintaan.

Uudet ISO 27002 -säätimet

Miten ISMS.online auttaa

ISMS.Online-alusta auttaa kaikissa ISO 27002:n käyttöönoton asioissa riskinarviointitoimintojen hallinnasta standardin vaatimusten noudattamista koskevien käytäntöjen, menettelyjen ja ohjeiden kehittämiseen.

Automaattisen työkalusarjansa ansiosta ISMS.Online helpottaa ISO 27002 -standardin noudattamisen osoittamista organisaatioille.

Ota yhteyttä jo tänään aikataulun esittely.