Kun verkkorikolliset vaarantavat tietoverkkoja, palveluita tai laitteita, he eivät rajoita itseään vaarantuneeseen omaisuuteen.
Ne hyödyntävät alkuperäistä tunkeutumista soluttautuakseen organisaation koko verkkoon, päästäkseen käsiksi arkaluontoisiin tietoihin tai suorittaakseen kiristysohjelmahyökkäyksiä.
Verkkorikolliset voivat esimerkiksi varastaa sairaalan henkilöstöhallinnon työntekijöiden kirjautumistiedot onnistuneen tietojenkalasteluhyökkäyksen jälkeen ja päästä käsiksi henkilöstöjärjestelmiin.
He voivat sitten käyttää tätä tukiasemaa liikkuakseen sivusuunnassa koko verkossa ja löytääkseen verkkoja, joissa on arkaluontoisia potilastietoja. Tämä tunkeutuminen voi johtaa tietoresurssien vaarantumiseen, laukaista seisokkeja tai altistaa sairaalan kiristysohjelmahyökkäykselle.
Jos sairaalassa olisi verkkojen erottelutekniikoita, kuten palomuurit, virtuaaliverkot tai palvelineristys, se todennäköisesti estäisi tunkeilijoita pääsemästä arkaluontoisiin tietoihin ja minimoisi tietomurron vaikutukset.
Ohjaus 8.22 käsittelee sitä, kuinka organisaatiot voivat ottaa käyttöön ja ylläpitää asianmukaisia verkon erottelutekniikoita tietovarojen saatavuuteen, eheyteen ja luottamuksellisuuteen kohdistuvien riskien poistamiseksi.
Ohjaus 8.22 antaa organisaatioille mahdollisuuden erotella tietoverkkonsa aliverkkoihin herkkyys- ja kriittisyyden tason perusteella ja rajoittaa liikennevirtaa näiden eri aliverkkojen välillä.
Tämä auttaa organisaatioita estämään haittaohjelmien tai virusten leviämisen vaarantuneista verkoista muihin verkkoihin, jotka säilyttävät arkaluontoisia tietoja.
Tämä varmistaa, että organisaatiot säilyttävät kriittisissä aliverkoissa isännöidyn tietoresurssin luottamuksellisuuden, eheyden ja saatavuuden.
Ohjaus 8.22 on luonteeltaan ennaltaehkäisevä, koska se edellyttää organisaatioilta ennakoivaa lähestymistapaa ja sääntöjen, menettelyjen ja asianmukaisten tekniikoiden luomista ja käyttöönottoa suuremman tietokoneverkon erottamiseksi pienemmiksi verkkoalueiksi, jotta arkaluonteisten verkkojen vaarantaminen voidaan estää.
| Ohjaus | Tietoturvaominaisuudet | Kyberturvallisuuden käsitteet | Toiminnalliset valmiudet | Turvallisuus Domains |
|---|---|---|---|---|
| #Ennaltaehkäisevä | #Luottamuksellisuus #Integrity #Saatavuus | #Suojella | #Järjestelmä- ja verkkoturvallisuus | #Suojaus |
Ottaen huomioon, että Control 8.22 sisältää verkkojen, laitteiden ja järjestelmien segmentoimisen asiaan liittyvien riskien tason perusteella ja myös verkkojen erottelutekniikoiden ja -menettelyjen toteuttamisen, tietoturvavastaava tulisi olla vastuussa vaatimustenmukaisuudesta.
Verkkojen erottelutoimenpiteitä toteutettaessa organisaatioiden tulee pyrkiä löytämään tasapaino toiminnallisten tarpeiden ja turvallisuusnäkökohtien välillä.
Ohjaus 8.22 luettelee kolme suositusta, jotka tulee ottaa huomioon verkon erottelua toteutettaessa.
Erotessaan verkkoa pienempiin verkon alialueisiin organisaatioiden tulee ottaa huomioon kunkin verkkoalueen herkkyys ja kriittisyys. Tästä analyysistä riippuen verkon aliverkkotunnuksia voidaan määrittää "julkisille verkkotunnuksille", "työpöydän toimialueille", "palvelinalueille" tai "suuren riskin järjestelmille".
Lisäksi organisaatiot voivat ottaa huomioon verkoston eriyttämisessä myös liiketoimintayksiköt, kuten HR-, markkinointi- ja talousosastot.
On myös huomattava, että organisaatiot voivat yhdistää nämä kaksi kriteeriä ja määrittää verkon aliverkkotunnukset luokkiin, kuten "myyntiosastoon yhdistävä palvelinverkkotunnus".
Organisaatioiden tulee määrittää kunkin verkon aliverkkotunnuksen ympärysmitta selkeästi. Jos kahden eri verkkoalueen välillä on pääsy, tämä pääsy tulee rajoittaa kehystasolla yhdyskäytävän, kuten palomuurien tai suodatusreitittimien, kautta.
Organisaatioiden tulee arvioida kunkin tietyn toimialueen turvallisuusvaatimukset toteuttaessaan verkon erottelua ja valtuuttaessaan pääsyä yhdyskäytävien kautta.
Tämä arviointi on suoritettava kohdassa Ohjaus 5.15 vaaditun kulunvalvontapolitiikan mukaisesti, ja siinä tulee ottaa huomioon myös seuraavat seikat:
Ottaen huomioon, että verkon suojausparametrien määrittäminen langattomille verkoille on haastavaa, Control 8.22 suosittelee organisaatioita noudattamaan seuraavia käytäntöjä:
Control 8.22 huomauttaa, että organisaatiot solmivat usein erilaisia liikekumppanuuksia muiden yritysten kanssa ja jakavat verkkonsa, IT-laitteet ja muut tietopalvelut.
Siksi herkät verkot voivat altistua kohonneelle riskille muiden käyttäjien luvattomasta pääsystä, ja organisaatioiden tulee ryhtyä asianmukaisiin toimenpiteisiin tämän riskin estämiseksi.
27002:2022/8.22 replaces 27002:2013/(13.1.3)
Vaikka vuoden 2022 ja 2013 versiot ovat suurelta osin samankaltaisia, niissä on yksi keskeinen ero.
Toisin kuin vuoden 2013 versio, vuoden 2022 versio sisältää seuraavat vaatimukset langattomille verkoille:
ISMS.Onlinen avulla voit:
ISMS.Online tarjoaa täyden valikoiman ominaisuuksia, jotka auttavat organisaatioita ja yrityksiä saavuttamaan alan standardien ISO 27001 ja/tai ISO 27002 ISMS noudattamisen.
Ota meihin yhteyttä jo tänään aikataulun esittely.
Annamme sinulle 81 % etumatkan
siitä hetkestä, kun kirjaudut sisään
Varaa esittelysi
| ISO/IEC 27002:2022 Control Identifier | ISO/IEC 27002:2013 Control Identifier | Ohjausnimi |
|---|---|---|
| 5.7 | Uusi | Uhan älykkyys |
| 5.23 | Uusi | Tietoturva pilvipalvelujen käyttöön |
| 5.30 | Uusi | ICT-valmius liiketoiminnan jatkuvuuteen |
| 7.4 | Uusi | Fyysisen turvallisuuden valvonta |
| 8.9 | Uusi | Kokoonpanonhallinta |
| 8.10 | Uusi | Tietojen poistaminen |
| 8.11 | Uusi | Tietojen peittäminen |
| 8.12 | Uusi | Tietovuotojen esto |
| 8.16 | Uusi | Toimien seuranta |
| 8.23 | Uusi | Web-suodatus |
| 8.28 | Uusi | Turvallinen koodaus |
| ISO/IEC 27002:2022 Control Identifier | ISO/IEC 27002:2013 Control Identifier | Ohjausnimi |
|---|---|---|
| 6.1 | 07.1.1 | Seulonta |
| 6.2 | 07.1.2 | Työsuhteen ehdot |
| 6.3 | 07.2.2 | Tietoturvatietoisuus, koulutus ja koulutus |
| 6.4 | 07.2.3 | Kurinpitoprosessi |
| 6.5 | 07.3.1 | Vastuut työsuhteen päättymisen tai muutoksen jälkeen |
| 6.6 | 13.2.4 | Luottamuksellisuus- tai salassapitosopimukset |
| 6.7 | 06.2.2 | Etätyö |
| 6.8 | 16.1.2, 16.1.3 | Tietoturvatapahtumaraportointi |
| ISO/IEC 27002:2022 Control Identifier | ISO/IEC 27002:2013 Control Identifier | Ohjausnimi |
|---|---|---|
| 7.1 | 11.1.1 | Fyysisen turvallisuuden rajat |
| 7.2 | 11.1.2, 11.1.6 | Fyysinen sisääntulo |
| 7.3 | 11.1.3 | Toimistojen, huoneiden ja tilojen turvaaminen |
| 7.4 | Uusi | Fyysisen turvallisuuden valvonta |
| 7.5 | 11.1.4 | Suojautuminen fyysisiltä ja ympäristöuhkilta |
| 7.6 | 11.1.5 | Työskentely turvallisilla alueilla |
| 7.7 | 11.2.9 | Selkeä pöytä ja selkeä näyttö |
| 7.8 | 11.2.1 | Laitteiden sijoitus ja suojaus |
| 7.9 | 11.2.6 | Omaisuuden turvallisuus muualla kuin toimitiloissa |
| 7.10 | 08.3.1, 08.3.2, 08.3.3, 11.2.5 | Tallennusvälineet |
| 7.11 | 11.2.2 | Apuohjelmia tukevat |
| 7.12 | 11.2.3 | Kaapeloinnin turvallisuus |
| 7.13 | 11.2.4 | Laitehuolto |
| 7.14 | 11.2.7 | Laitteiden turvallinen hävittäminen tai uudelleenkäyttö |
