ISO 27002:2022, valvonta 8.8 – teknisten haavoittuvuuksien hallinta

Määräysvallan omistus 8.8

Ohjaus 8.8 käsittelee ohjelmistojen, järjestelmien ja ICT-omaisuuden teknistä ja hallinnollista hallintaa. Jotkin suuntaviivat sisältävät erittäin yksityiskohtaisen lähestymistavan ohjelmistojen hallintaan, omaisuudenhallintaan ja verkon tietoturvatarkastukseen.

Sellaisenaan Control 8.8:n omistuksen tulisi kuulua henkilölle, jolla on yleinen vastuu organisaation ICT-infrastruktuurin ylläpidosta, kuten IT-päälliköllä tai vastaavalla organisaatiolla.

Ohjeita – haavoittuvuuksien tunnistaminen

Ennen käyttöönottoa ja haavoittuvuuksien valvontaa on välttämätöntä hankkia täydellinen ja ajan tasalla oleva luettelo organisaation omistamista ja ylläpitämistä fyysisistä ja digitaalisista resursseista (katso kohdat 5.9 ja 5.14).

Ohjelmistoresurssitietojen tulee sisältää:

• Toimittajan nimi
• Sovelluksen nimi
• Versionumerot tällä hetkellä käytössä
• Missä ohjelmisto on käytössä koko kiinteistön alueella

Yrittäessään paikantaa teknisiä haavoittuvuuksia organisaatioiden tulee:

1. Selvitä selkeästi, kuka (organisaation sisällä) on vastuussa haavoittuvuuksien hallinnasta teknisestä näkökulmasta sen eri toimintojen mukaisesti, mukaan lukien (mutta ei rajoittuen):
• Vahvuuksien hallinta
• Riskien arviointi
• Seuranta
• Päivittäminen
2. Kuka on vastuussa ohjelmistosta organisaatiossa
3. Pidä luetteloa sovelluksista ja resursseista, joita käytetään teknisten haavoittuvuuksien tunnistamiseen.
   

4. Pyydä toimittajia ja myyjiä paljastamaan haavoittuvuudet uusien järjestelmien ja laitteistojen toimittamisen yhteydessä (katso Ohjaus 5.20) ja määritä ne kaikissa asiaankuuluvissa sopimuksissa ja palvelusopimuksissa.
5. Hyödynnä haavoittuvuuksien tarkistustyökaluja, mukaan lukien korjauspalvelut.
6. Suorita säännöllisiä, dokumentoituja läpäisytestejä – joko sisäisesti tai sertifioidun kolmannen osapuolen kautta.
7. Muista käyttää kolmannen osapuolen koodikirjastoja ja/tai lähdekoodia taustalla oleviin ohjelmallisiin haavoittuvuuksiin (katso Ohjaus 8.28).

Ohjaus – Julkinen toiminta

Sisäisten järjestelmien lisäksi organisaatioiden tulee kehittää käytäntöjä ja menettelytapoja, jotka havaitsevat haavoittuvuudet kaikissa sen tuotteissa ja palveluissa, ja vastaanottaa haavoittuvuusarvioita, jotka liittyvät mainittujen tuotteiden ja palvelujen tarjontaan.

ISO neuvoo organisaatioita ryhtymään julkisiin ponnisteluihin mahdollisten haavoittuvuuksien jäljittämiseksi ja rohkaisemaan kolmansia osapuolia osallistumaan haavoittuvuuksien hallintaan palkkio-ohjelmien avulla (joissa hyväksikäyttöjä etsitään ja niistä ilmoitetaan organisaatiolle palkkiota vastaan).

Organisaatioiden olisi asetettava itsensä suuren yleisön saataville foorumien, julkisten sähköpostiosoitteiden ja tutkimustoiminnan kautta, jotta suuren yleisön kollektiivista tietämystä voidaan käyttää tuotteiden ja palvelujen turvaamiseen niiden lähteellä.

Jos käyttäjiin tai asiakkaisiin vaikuttavia korjaavia toimenpiteitä on toteutettu, organisaatioiden tulisi harkita asiaankuuluvien tietojen luovuttamista asianomaisille henkilöille tai organisaatioille ja ottaa yhteyttä tietoturvaorganisaatioihin ja levittää tietoa haavoittuvuuksista ja hyökkäysvektoreista.

Lisäksi organisaatioiden tulisi harkita automaattisen päivitysmenettelyn tarjoamista, jonka asiakkaat voivat valita käyttöön tai pois käytöstä liiketoimintatarpeidensa perusteella.

Ohjeita – haavoittuvuuksien arviointi

Riittävä raportointi on avainasemassa, jotta voidaan varmistaa nopeat ja tehokkaat korjaavat toimet, kun haavoittuvuuksia havaitaan.

Haavoittuvuuksia arvioidessaan organisaatioiden tulee:

1. Analysoi huolellisesti kaikki raportit ja päätä, mihin toimiin on ryhdyttävä, mukaan lukien (mutta ei rajoittuen) asiaan liittyvien järjestelmien ja/tai laitteistojen muuttaminen, päivittäminen tai poistaminen.
2. Sovi ratkaisusta, joka ottaa huomioon muut ISO-säädöt (erityisesti ISO 27002:2022:een liittyvät) ja tunnustaa asiaan liittyvien riskien tason.

Ohjeet – Ohjelmiston haavoittuvuuksien torjunta

Ohjelmiston haavoittuvuuksia torjutaan parhaiten ennakoivalla lähestymistavalla ohjelmistopäivityksiin ja korjaustiedostojen hallintaan.

Ennen muutosten käyttöönottoa organisaatioiden tulee varmistaa, että vakiintuneet ohjelmistoversiot säilytetään, kaikki muutokset testataan täysin ja niitä sovelletaan ohjelmiston määrättyyn kopioon.

Kun haavoittuvuuksia käsitellään suoraan niiden tunnistamisen jälkeen, organisaatioiden tulee:

1. Pyri ratkaisemaan kaikki haavoittuvuudet oikea-aikaisesti ja tehokkaasti.
2. Noudata mahdollisuuksien mukaan muutostenhallinnan (katso Ohjaus 8.32) ja tapahtumien reagoinnin (katso Ohjaus 5.26) organisatorisia menettelytapoja.
3. Käytä vain päivityksiä ja korjaustiedostoja, jotka ovat peräisin luotettavista ja/tai sertifioiduista lähteistä, erityisesti kolmannen osapuolen ohjelmistojen ja laitteiden maljakoissa.
• Toimittajan ohjelmistojen osalta organisaatioiden tulee arvioida saatavilla olevien tietojen perusteella, onko hankittuihin ohjelmistoihin ja laitteistoihin tarpeen päivittää automaattisia päivityksiä (tai niiden osia).
4. Testaa kaikki tarvittavat päivitykset ennen asennusta välttääksesi odottamattomat tapahtumat käyttöympäristössä.
5. Pyri käsittelemään korkeariskiset ja liiketoimintakriittiset järjestelmät ensisijaisesti.
6. Varmista, että kaikki korjaavat toimet ovat tehokkaita ja aitoja.

Jos päivitystä ei ole saatavilla tai jos jokin ongelma estää päivityksen asentamisen (kuten kustannusongelmat), organisaatioiden tulee harkita muita toimenpiteitä, kuten:

1. Pyydä myyjältä neuvoja kiertotapa- tai "kipsi"-ratkaisusta, kun korjaavia toimia tehostetaan.
2. Verkkopalveluiden poistaminen käytöstä tai pysäyttäminen, joihin haavoittuvuus vaikuttaa.
3. Verkon suojauksen toteuttaminen kriittisissä yhdyskäytäväpisteissä, mukaan lukien liikennesäännöt ja suodattimet.
4. Seurannan yleisen tason nostaminen siihen liittyvän riskin mukaisesti.
5. Varmista, että kaikki osapuolet, joita asia koskee, ovat tietoisia haavoittuvuudesta, mukaan lukien toimittajat ja asiakkaat.
6. Päivityksen viivästäminen, jotta siihen liittyvät riskit voidaan arvioida paremmin, etenkin jos toimintakustannukset voivat olla ongelmallisia.

Ohjaimet tukevat

• 5.14
• 5.20
• 5.9
• 8.20
• 8.22
• 8.28

Valvontaa koskevat lisäohjeet 8.8

• Organisaatioiden tulee pitää tarkastuslokia kaikista asiaankuuluvista haavoittuvuuksien hallintatoimista auttaakseen korjaavia toimia ja parantaakseen menettelyjä turvavälikohtauksen sattuessa.
• Koko haavoittuvuuden hallintaprosessi tulee tarkistaa ja arvioida määräajoin, jotta voidaan parantaa suorituskykyä ja tunnistaa lisää haavoittuvuuksia niiden lähteellä.
• Jos organisaatio käytti pilvipalveluntarjoajan isännöimää ohjelmistoa, organisaation tulee varmistaa, että palveluntarjoajan kanta haavoittuvuuksien hallintaan on linjassa sen oman kantansa kanssa, ja sen tulisi olla keskeinen osa kaikkia osapuolten välisiä sitovia palvelusopimuksia, mukaan lukien raportointimenettelyt. (katso kontrolli 5.32).

Muutokset ja erot standardista ISO 27002:2013

ISO 27002:2022-8.8 korvaa kaksi säädintä standardista ISO 27002:2013:

• 12.6.1 – Teknisten haavoittuvuuksien hallinta
• 18.2.3 – Teknisen vaatimustenmukaisuuden tarkistus

27002:2022-8.8 edustaa olennaisesti erilaista lähestymistapaa haavoittuvuuksien hallintaan kuin 27002:2013.

27002:2013-12.6.1 koskee suurelta osin korjaavien toimenpiteiden toteuttamista sen jälkeen, kun haavoittuvuus on tunnistettu, kun taas 18.2.3 rajoittuu teknisiin työkaluihin (useimmiten läpäisytestaukseen).

27002:2022-8.8 sisältää täysin uusia osioita esimerkiksi organisaation julkisesta toiminnasta, haavoittuvuuksien tunnistamisesta ja pilvipalveluntarjoajien roolista sen varmistamisessa, että haavoittuvuudet pidetään mahdollisimman pieninä.

Kaiken kaikkiaan ISO korostaa enemmän haavoittuvuuksien hallinnan roolia muilla standardin 27002:2022 alueilla (erityisesti muutosten hallinnassa) ja kannattaa kokonaisvaltaista lähestymistapaa, joka hyödyntää lukuisia muita valvonta- ja tietoturvamenettelyjä.

Miten ISMS.online auttaa

Alustamme on intuitiivinen ja helppokäyttöinen. Se ei ole vain erittäin teknisille ihmisille; se on kaikille organisaatiossasi. Suosittelemme ottamaan henkilöstöä yrityksesi kaikilla tasoilla mukaan ISMS:n rakentamiseen, koska se auttaa sinua rakentamaan todella kestävän järjestelmän.

Ota yhteyttä jo tänään varaa esittely.