ISO 27002:2022 – Ohjaus 8.27 – Secure System Architecture and Engineering Principles

ISO 27002 Control 8.27 -standardin käyttöönotto vahvemman turvallisuuden takaamiseksi

Nykyaikaisten tietojärjestelmien monimutkaiset koostumukset ja jatkuvasti muuttuva kyberturvallisuusuhka tekevät tietojärjestelmistä haavoittuvampia tunnetuille ja mahdollisille turvallisuusuhkille.

Control 8.27, käsittelee kuinka organisaatiot voivat poistaa tietojärjestelmien turvallisuusuhkiin luomalla turvallisia järjestelmäsuunnitteluperiaatteita joita sovelletaan tietojärjestelmän elinkaaren kaikkiin vaiheisiin.

Valvonnan tarkoitus 8.27

Ohjaus 8.27 antaa organisaatioille mahdollisuuden ylläpitää tietojärjestelmien turvallisuus suunnittelu-, käyttöönotto- ja käyttövaiheiden aikana luomalla ja toteuttamalla turvalliset järjestelmäsuunnitteluperiaatteet, joita järjestelmäinsinöörit noudattavat.

Attribuuttien ohjaustaulukko 8.27

Control 8.27 on ennaltaehkäisevä hallinta, joka vaatii organisaatioita poistamaan tunnetut ja mahdolliset uhat tietovarojen luottamuksellisuus, eheys ja saatavuus tallennetaan tai käsitellään tietojärjestelmissä, kuten tallennusvälineissä, tietokantoissa ja sovelluksissa, luomalla turvallisen järjestelmäsuunnittelun periaatteet.

Määräysvallan omistus 8.27

Päällikkö Tietoturvavastaava tulee olla vastuussa tietojärjestelmien turvallista suunnittelua ohjaavien periaatteiden luomiseen, ylläpitoon ja toteuttamiseen.

Yleiset noudattamisohjeet

Control 8.27 korostaa sitä organisaatioiden tulisi upottaa turvallisuus tietojärjestelmien kaikkiin kerroksiin, mukaan lukien liiketoimintaprosessit, sovellukset ja tietoarkkitehtuuri.

Lisäksi, turvallisia suunnitteluperiaatteita tulisi soveltaa kaikkeen tietojärjestelmiin liittyvään toimintaan ja niitä tulee tarkistaa ja päivittää säännöllisesti uusien uhkien ja hyökkäysmallien perusteella.

Sisäisesti kehitettyjen ja käytettyjen tietojärjestelmien lisäksi Control 8.27 koskee myös ulkopuolisten palveluntarjoajien luomia tietojärjestelmiä.

Siksi organisaatioiden tulee varmistaa, että palveluntarjoajien käytännöt ja standardit noudattavat heidän omia suojattuja suunnitteluperiaatteitaan.

Ohjaus 8.27 edellyttää turvallisia järjestelmäsuunnitteluperiaatteita kattamaan seuraavat kahdeksan asiaa:

• Ohjeita käyttäjän todennusmenetelmiin.
• Ohjeet turvallinen istunnonhallinta.
• Ohjeita tietojen puhdistamiseen ja validointimenettelyihin.
• Kattava analyysi kaikista turvatoimista tarvitaan tietovarojen ja järjestelmien suojaamiseen tunnetuilta uhilta.
• Kattava analyysi turvatoimien kyvystä tunnistaa, eliminoida ja reagoida turvallisuusuhkiin.
• analysointi tiettyyn liiketoimintaan sovellettavia turvatoimenpiteitä kuten tiedon salaus.
• Miten turvatoimenpiteet toteutetaan ja missä. Tämä voi sisältää erityisen turvavalvonnan integroinnin tekniseen infrastruktuuriin.
• Kuinka erilaiset turvatoimenpiteet toimivat yhdessä ja toimivat yhdistettynä ohjausjärjestelmänä.

Ohjeita nollaluottamusperiaatteesta

Organisaatioiden tulee ottaa huomioon seuraavat nollaluottamusperiaatteet:

• Alkaen olettamuksesta, että organisaation järjestelmät ovat jo vaarantuneet ja määritelty verkkokehän suojaus ei ole enää tehokas.
• "Älä koskaan luota ja aina varmista" -lähestymistavan ottaminen käyttöön tietojärjestelmien käyttömahdollisuuksien tarjoamisessa.
• Varmistetaan, että tietojärjestelmiin tehdyt pyynnöt on suojattu päästä päähän -salauksella.
• Todennusmekanismin käyttöönotto, joka edellyttää tiedonsaantipyyntöjä järjestelmät tehdään ulkoisista, avoimista verkoista.
• "Pienimmän etuoikeuden" käyttöönotto ja dynaaminen kulunvalvontatekniikat valvonnan 5.15, 5,18 ja 8.2 mukaisesti. Tämä kattaa arkaluontoisten tietojen ja tietojärjestelmien käyttöoikeuspyyntöjen todentamisen ja valtuutuksen ottaen huomioon kontekstuaaliset tiedot, kuten käyttäjien tunnistetiedot, kuten Ohjauksessa 5.16 on määritelty, ja tietojen luokittelu Ohjaus 5.12:n mukaisesti.
• Aina pyytäjän henkilöllisyyden todentaminen ja tietojärjestelmien käyttöoikeuspyyntöjen tarkistaminen. Nämä todennus- ja varmennustoimenpiteet tulee suorittaa todennustietojen mukaisesti Control 5.17:ssä, User Identities in Control 5.16 ja Multi-Factor in Control 8.5.

Mitä suojattujen järjestelmäsuunnittelutekniikoiden tulisi kattaa?

• Turvallisen arkkitehtuurin periaatteiden hyväksyminen ja käyttöönotto, mukaan lukien "suunniteltu turvallisuus", "syvällinen puolustus", "epäonnistuu turvallisesti", "ei luota ulkoisten sovellusten syötteeseen", "olettaa tietomurron", "vähiten etuoikeus", "käytettävyys ja hallittavuus" ja " vähiten toimintoja”.
• Turvallisuuspainotteisen suunnittelun tarkistusprosessin hyväksyminen ja soveltaminen tunnistaa tietoturva haavoittuvuudet ja sen takaaminen, että turvatoimenpiteet tunnistetaan ja että ne täyttävät turvallisuusvaatimukset.
• Turvatoimenpiteiden, jotka eivät täytä vaatimuksia, dokumentointi ja kuittaus.
• Järjestelmän kovettuminen.

Mitä kriteerejä tulee ottaa huomioon turvallisten suunnitteluperiaatteiden suunnittelussa?

Organisaatioiden tulee ottaa huomioon seuraavat seikat luodessaan turvallisia järjestelmäsuunnittelun periaatteita:

• Tarve integroida säätimet tiettyyn suojausarkkitehtuuriin.
• Olemassa oleva tekninen turvallisuusinfrastruktuuri, mukaan lukien julkisen avaimen infrastruktuuri, identiteetin hallinta ja tietovuotojen esto.
• Pystyykö organisaatio rakentamaan ja ylläpitämään valittua teknologiaa.
• Turvallisuusvaatimusten täyttämiseen tarvittavat kustannukset ja aika sekä tällaisten vaatimusten monimutkaisuus.
• Nykyiset parhaat käytännöt.

Käytännön opas turvallisen järjestelmäsuunnittelun periaatteiden soveltamiseen

Ohjaus 8.27 huomauttaa, että organisaatiot voivat soveltaa suojattuja suunnitteluperiaatteita käytäntöön määrittäessään seuraavia:

• Vikasietoisuus ja vastaavat joustavuusmenetelmät.
• Erottelutekniikat, kuten virtualisointi.
• Peukaloinnin vastustuskyky.

Lisäksi turvallinen virtualisointitekniikka voi auttaa poistamaan riskin siepauksesta kahden samassa laitteessa toimivan sovelluksen välillä.

Lopuksi huomautetaan, että peukaloinnin estojärjestelmien käyttö voi auttaa tunnistamaan sekä loogisen että fyysisen tietojärjestelmien peukaloinnin ja estämään luvattoman tiedon poiminnan.

Muutokset ja erot ISO 27002:2013:sta

27002:2022/8.27 replaces 27002:2013/(14.2.5)

2022-versio sisältää kattavammat vaatimukset verrattuna vuoden 2013 versioon:

1. Toisin kuin vuoden 2013 versio, vuoden 2022 versio antaa ohjeita siitä, mitä suojattujen suunnitteluperiaatteiden tulisi kattaa.
2. Toisin kuin 2013-versio, 2022-versio käsittelee sitä, mitä kriteereitä organisaatioiden tulee ottaa huomioon suunnitellessaan turvallisia järjestelmäsuunnittelun periaatteita.
3. Vuoden 2022 versio sisältää ohjeet nollaluottamusperiaatteesta. Vuoden 2013 versio ei toisaalta kattanut tätä.
4. Vuoden 2022 versio sisältää suosituksia mitä turvallisia suunnittelutekniikoita tulisi soveltaa, kuten "suunniteltu turvallisuus". Toisin kuin vuoden 2022 versio, vuoden 2013 versio ei viitannut tällaisiin tekniikoihin.

Uudet ISO 27002 -säätimet

Miten ISMS.online auttaa

ISO 27002:n käyttöönotto on yksinkertaisempaa vaiheittaisen tarkistusluettelomme avulla, joka opastaa sinut koko prosessin läpi. Täydellinen vaatimustenmukaisuusratkaisusi ISO / IEC 27002: 2022.

• Jopa 81 % edistystä sisäänkirjautumisen jälkeen.
• Yksinkertainen ja täydellinen vaatimustenmukaisuusratkaisu.

Ota yhteyttä jo tänään varaa esittely.