ISO 27002 Control 8.27 -standardin käyttöönotto vahvemman turvallisuuden takaamiseksi
Nykyaikaisten tietojärjestelmien monimutkaiset koostumukset ja jatkuvasti muuttuva kyberturvallisuusuhka tekevät tietojärjestelmistä haavoittuvampia tunnetuille ja mahdollisille turvallisuusuhkille.
Control 8.27, käsittelee kuinka organisaatiot voivat poistaa tietojärjestelmien turvallisuusuhkiin luomalla turvallisia järjestelmäsuunnitteluperiaatteita joita sovelletaan tietojärjestelmän elinkaaren kaikkiin vaiheisiin.
Valvonnan tarkoitus 8.27
Ohjaus 8.27 antaa organisaatioille mahdollisuuden ylläpitää tietojärjestelmien turvallisuus suunnittelu-, käyttöönotto- ja käyttövaiheiden aikana luomalla ja toteuttamalla turvalliset järjestelmäsuunnitteluperiaatteet, joita järjestelmäinsinöörit noudattavat.
Attribuuttien ohjaustaulukko 8.27
Control 8.27 on ennaltaehkäisevä hallinta, joka vaatii organisaatioita poistamaan tunnetut ja mahdolliset uhat tietovarojen luottamuksellisuus, eheys ja saatavuus tallennetaan tai käsitellään tietojärjestelmissä, kuten tallennusvälineissä, tietokantoissa ja sovelluksissa, luomalla turvallisen järjestelmäsuunnittelun periaatteet.
| Ohjaus | Tietoturvaominaisuudet | Kyberturvallisuuden käsitteet | Toiminnalliset valmiudet | Turvallisuus Domains |
|---|---|---|---|---|
| #Ennaltaehkäisevä | #Luottamuksellisuus | #Suojella | #Sovellusturvallisuus | #Suojaus |
| #Integrity | #Järjestelmä- ja verkkoturvallisuus | |||
| #Saatavuus |
ISO 27001 helposti
81 %:n etumatka ensimmäisestä päivästä lähtien
Olemme tehneet kovan työn puolestasi ja antavat sinulle 81 % etumatkan kirjautuessasi sisään. Sinun tarvitsee vain täyttää tyhjät kohdat.
Määräysvallan omistus 8.27
Päällikkö Tietoturvavastaava tulee olla vastuussa tietojärjestelmien turvallista suunnittelua ohjaavien periaatteiden luomiseen, ylläpitoon ja toteuttamiseen.
Yleiset noudattamisohjeet
Control 8.27 korostaa sitä organisaatioiden tulisi upottaa turvallisuus tietojärjestelmien kaikkiin kerroksiin, mukaan lukien liiketoimintaprosessit, sovellukset ja tietoarkkitehtuuri.
Lisäksi, turvallisia suunnitteluperiaatteita tulisi soveltaa kaikkeen tietojärjestelmiin liittyvään toimintaan ja niitä tulee tarkistaa ja päivittää säännöllisesti uusien uhkien ja hyökkäysmallien perusteella.
Sisäisesti kehitettyjen ja käytettyjen tietojärjestelmien lisäksi Control 8.27 koskee myös ulkopuolisten palveluntarjoajien luomia tietojärjestelmiä.
Siksi organisaatioiden tulee varmistaa, että palveluntarjoajien käytännöt ja standardit noudattavat heidän omia suojattuja suunnitteluperiaatteitaan.
Ohjaus 8.27 edellyttää turvallisia järjestelmäsuunnitteluperiaatteita kattamaan seuraavat kahdeksan asiaa:
- Ohjeita käyttäjän todennusmenetelmiin.
- Ohjeet turvallinen istunnonhallinta.
- Ohjeita tietojen puhdistamiseen ja validointimenettelyihin.
- Kattava analyysi kaikista turvatoimista tarvitaan tietovarojen ja järjestelmien suojaamiseen tunnetuilta uhilta.
- Kattava analyysi turvatoimien kyvystä tunnistaa, eliminoida ja reagoida turvallisuusuhkiin.
- analysointi tiettyyn liiketoimintaan sovellettavia turvatoimenpiteitä kuten tiedon salaus.
- Miten turvatoimenpiteet toteutetaan ja missä. Tämä voi sisältää erityisen turvavalvonnan integroinnin tekniseen infrastruktuuriin.
- Kuinka erilaiset turvatoimenpiteet toimivat yhdessä ja toimivat yhdistettynä ohjausjärjestelmänä.
Ohjeita nollaluottamusperiaatteesta
Organisaatioiden tulee ottaa huomioon seuraavat nollaluottamusperiaatteet:
- Alkaen olettamuksesta, että organisaation järjestelmät ovat jo vaarantuneet ja määritelty verkkokehän suojaus ei ole enää tehokas.
- "Älä koskaan luota ja aina varmista" -lähestymistavan ottaminen käyttöön tietojärjestelmien käyttömahdollisuuksien tarjoamisessa.
- Varmistetaan, että tietojärjestelmiin tehdyt pyynnöt on suojattu päästä päähän -salauksella.
- Todennusmekanismin käyttöönotto, joka edellyttää tiedonsaantipyyntöjä järjestelmät tehdään ulkoisista, avoimista verkoista.
- "Pienimmän etuoikeuden" käyttöönotto ja dynaaminen kulunvalvontatekniikat valvonnan 5.15, 5,18 ja 8.2 mukaisesti. Tämä kattaa arkaluontoisten tietojen ja tietojärjestelmien käyttöoikeuspyyntöjen todentamisen ja valtuutuksen ottaen huomioon kontekstuaaliset tiedot, kuten käyttäjien tunnistetiedot, kuten Ohjauksessa 5.16 on määritelty, ja tietojen luokittelu Ohjaus 5.12:n mukaisesti.
- Aina pyytäjän henkilöllisyyden todentaminen ja tietojärjestelmien käyttöoikeuspyyntöjen tarkistaminen. Nämä todennus- ja varmennustoimenpiteet tulee suorittaa todennustietojen mukaisesti Control 5.17:ssä, User Identities in Control 5.16 ja Multi-Factor in Control 8.5.
Vapauta itsesi laskentataulukoiden vuorten vallasta
Ota käyttöön, laajenna ja skaalaa vaatimustenmukaisuus ilman sotkua. Io antaa sinulle joustavuutta ja luottamusta kasvaa turvallisesti.
Mitä suojattujen järjestelmäsuunnittelutekniikoiden tulisi kattaa?
- Turvallisen arkkitehtuurin periaatteiden hyväksyminen ja käyttöönotto, mukaan lukien "suunniteltu turvallisuus", "syvällinen puolustus", "epäonnistuu turvallisesti", "ei luota ulkoisten sovellusten syötteeseen", "olettaa tietomurron", "vähiten etuoikeus", "käytettävyys ja hallittavuus" ja " vähiten toimintoja”.
- Turvallisuuspainotteisen suunnittelun tarkistusprosessin hyväksyminen ja soveltaminen tunnistaa tietoturva haavoittuvuudet ja sen takaaminen, että turvatoimenpiteet tunnistetaan ja että ne täyttävät turvallisuusvaatimukset.
- Turvatoimenpiteiden, jotka eivät täytä vaatimuksia, dokumentointi ja kuittaus.
- Järjestelmän kovettuminen.
Mitä kriteerejä tulee ottaa huomioon turvallisten suunnitteluperiaatteiden suunnittelussa?
Organisaatioiden tulee ottaa huomioon seuraavat seikat luodessaan turvallisia järjestelmäsuunnittelun periaatteita:
- Tarve integroida säätimet tiettyyn suojausarkkitehtuuriin.
- Olemassa oleva tekninen turvallisuusinfrastruktuuri, mukaan lukien julkisen avaimen infrastruktuuri, identiteetin hallinta ja tietovuotojen esto.
- Pystyykö organisaatio rakentamaan ja ylläpitämään valittua teknologiaa.
- Turvallisuusvaatimusten täyttämiseen tarvittavat kustannukset ja aika sekä tällaisten vaatimusten monimutkaisuus.
- Nykyiset parhaat käytännöt.
Käytännön opas turvallisen järjestelmäsuunnittelun periaatteiden soveltamiseen
Ohjaus 8.27 huomauttaa, että organisaatiot voivat soveltaa suojattuja suunnitteluperiaatteita käytäntöön määrittäessään seuraavia:
- Vikasietoisuus ja vastaavat joustavuusmenetelmät.
- Erottelutekniikat, kuten virtualisointi.
- Peukaloinnin vastustuskyky.
Lisäksi turvallinen virtualisointitekniikka voi auttaa poistamaan riskin siepauksesta kahden samassa laitteessa toimivan sovelluksen välillä.
Lopuksi huomautetaan, että peukaloinnin estojärjestelmien käyttö voi auttaa tunnistamaan sekä loogisen että fyysisen tietojärjestelmien peukaloinnin ja estämään luvattoman tiedon poiminnan.
Hallitse kaikkea vaatimustenmukaisuuttasi yhdessä paikassa
ISMS.online tukee yli 100 standardia ja sääntöä, mikä tarjoaa sinulle yhden alustan kaikkiin vaatimustenmukaisuustarpeisiisi.
Muutokset ja erot ISO 27002:2013:sta
27002:2022/8.27 replaces 27002:2013/(14.2.5)
2022-versio sisältää kattavammat vaatimukset verrattuna vuoden 2013 versioon:
- Toisin kuin vuoden 2013 versio, vuoden 2022 versio antaa ohjeita siitä, mitä suojattujen suunnitteluperiaatteiden tulisi kattaa.
- Toisin kuin 2013-versio, 2022-versio käsittelee sitä, mitä kriteereitä organisaatioiden tulee ottaa huomioon suunnitellessaan turvallisia järjestelmäsuunnittelun periaatteita.
- Vuoden 2022 versio sisältää ohjeet nollaluottamusperiaatteesta. Vuoden 2013 versio ei toisaalta kattanut tätä.
- Vuoden 2022 versio sisältää suosituksia mitä turvallisia suunnittelutekniikoita tulisi soveltaa, kuten "suunniteltu turvallisuus". Toisin kuin vuoden 2022 versio, vuoden 2013 versio ei viitannut tällaisiin tekniikoihin.
Uudet ISO 27002 -säätimet
| ISO/IEC 27002:2022 Control Identifier | ISO/IEC 27002:2013 Control Identifier | Ohjausnimi |
|---|---|---|
| 5.7 | UUSI | Uhan älykkyys |
| 5.23 | UUSI | Tietoturva pilvipalvelujen käyttöön |
| 5.30 | UUSI | ICT-valmius liiketoiminnan jatkuvuuteen |
| 7.4 | UUSI | Fyysisen turvallisuuden valvonta |
| 8.9 | UUSI | Kokoonpanonhallinta |
| 8.10 | UUSI | Tietojen poistaminen |
| 8.11 | UUSI | Tietojen peittäminen |
| 8.12 | UUSI | Tietovuotojen esto |
| 8.16 | UUSI | Toimien seuranta |
| 8.23 | UUSI | Web-suodatus |
| 8.28 | UUSI | Turvallinen koodaus |
| ISO/IEC 27002:2022 Control Identifier | ISO/IEC 27002:2013 Control Identifier | Ohjausnimi |
|---|---|---|
| 6.1 | 07.1.1 | Seulonta |
| 6.2 | 07.1.2 | Työsuhteen ehdot |
| 6.3 | 07.2.2 | Tietoturvatietoisuus, koulutus ja koulutus |
| 6.4 | 07.2.3 | Kurinpitoprosessi |
| 6.5 | 07.3.1 | Vastuut työsuhteen päättymisen tai muutoksen jälkeen |
| 6.6 | 13.2.4 | Luottamuksellisuus- tai salassapitosopimukset |
| 6.7 | 06.2.2 | Etätyö |
| 6.8 | 16.1.2, 16.1.3 | Tietoturvatapahtumaraportointi |
| ISO/IEC 27002:2022 Control Identifier | ISO/IEC 27002:2013 Control Identifier | Ohjausnimi |
|---|---|---|
| 7.1 | 11.1.1 | Fyysisen turvallisuuden rajat |
| 7.2 | 11.1.2, 11.1.6 | Fyysinen sisääntulo |
| 7.3 | 11.1.3 | Toimistojen, huoneiden ja tilojen turvaaminen |
| 7.4 | UUSI | Fyysisen turvallisuuden valvonta |
| 7.5 | 11.1.4 | Suojautuminen fyysisiltä ja ympäristöuhkilta |
| 7.6 | 11.1.5 | Työskentely turvallisilla alueilla |
| 7.7 | 11.2.9 | Selkeä pöytä ja selkeä näyttö |
| 7.8 | 11.2.1 | Laitteiden sijoitus ja suojaus |
| 7.9 | 11.2.6 | Omaisuuden turvallisuus muualla kuin toimitiloissa |
| 7.10 | 08.3.1, 08.3.2, 08.3.3, 11.2.5 | Tallennusvälineet |
| 7.11 | 11.2.2 | Apuohjelmia tukevat |
| 7.12 | 11.2.3 | Kaapeloinnin turvallisuus |
| 7.13 | 11.2.4 | Laitehuolto |
| 7.14 | 11.2.7 | Laitteiden turvallinen hävittäminen tai uudelleenkäyttö |
Miten ISMS.online auttaa
ISO 27002:n käyttöönotto on yksinkertaisempaa vaiheittaisen tarkistusluettelomme avulla, joka opastaa sinut koko prosessin läpi. Täydellinen vaatimustenmukaisuusratkaisusi ISO / IEC 27002: 2022.
- Jopa 81 % edistystä sisäänkirjautumisen jälkeen.
- Yksinkertainen ja täydellinen vaatimustenmukaisuusratkaisu.
Ota yhteyttä jo tänään varaa esittely.
