ISO 27002:2022 – Ohjaus 8.9 – Konfiguroinnin hallinta

Valvonnan tarkoitus 8.9

Konfiguraatiot – toimivatko ne yhtenä konfigurointitiedostona tai yhteen linkitetyn kokoonpanon ryhmänä – ovat taustalla olevia parametreja, jotka ohjaavat laitteiston, ohjelmiston ja jopa kokonaisten verkkojen hallintaa.

Esimerkiksi palomuurin määritystiedosto sisältää perusmääritteet, joita laite käyttää organisaation verkkoon tulevan ja sieltä lähtevän liikenteen hallintaan, mukaan lukien estoluettelot, porttien uudelleenohjaukset, virtuaaliset lähiverkot ja VPN-tiedot.

Kokoonpanon hallinta on olennainen osa organisaation laajempaa omaisuudenhallintatoimintaa. Konfiguroinnit ovat avainasemassa sen varmistamiseksi, että verkko ei toimi vain niin kuin sen pitäisi olla, vaan myös laitteiden suojaamisessa huoltohenkilöstön ja/tai myyjien luvattomilta muutoksilta tai virheellisiltä muutoksilta.

Attribuuttien ohjaustaulukko 8.9

Ohjaus 8.9 on a ehkäisevä hallitse sitä ylläpitää riskiä luomalla sarjan käytäntöjä, jotka ohjaavat sitä, miten organisaatio dokumentoi, toteuttaa, valvoo ja tarkistaa kokoonpanojen käyttöä koko verkossaan.

Määräysvallan omistus 8.9

Kokoonpanon hallinta on yksinomaan hallinnollinen tehtävä, joka käsittelee omaisuuspuolen tietojen ja datan ylläpitoa ja valvontaa, jotka sijaitsevat useissa laitteissa ja sovelluksissa. Sellaisenaan omistuksen tulisi olla IT-päälliköllä tai vastaavalla organisaatiolla.

Yleiset noudattamisohjeet

Kaiken kaikkiaan organisaation tarve laatia ja ottaa käyttöön konfiguraatioiden hallintakäytännöt sekä uusille järjestelmille ja laitteille, että kaikille jo käytössä oleville. Sisäisen valvonnan tulisi sisältää liiketoiminnan kannalta kriittisiä elementtejä, kuten suojauskokoonpanot, kaikki laitteistot, jotka sisältävät määritystiedoston, ja kaikki asiaankuuluvat ohjelmistosovellukset tai -järjestelmät.

Ohjaus 8.9 pyytää organisaatioita ottamaan huomioon kaikki asiaankuuluvat roolit ja vastuut konfigurointikäytäntöä toteutettaessa, mukaan lukien laitekohtaisesti tai sovelluskohtaisesti kokoonpanojen delegoitu omistusoikeus.

Ohjeet – vakiomallit

Mikäli mahdollista, organisaatioiden tulee käyttää standardoituja malleja kaikkien laitteistojen, ohjelmistojen ja järjestelmien suojaamiseen. Mallien tulee:

1. Yritä käyttää julkisesti saatavilla olevia, toimittajakohtaisia ​​ja/tai avoimen lähdekoodin ohjeita laitteisto- ja ohjelmistoomaisuuden määrittämiseen parhaiten.
2. Täytä vähimmäisturvavaatimukset laitteelle, sovellukselle tai järjestelmälle, johon niitä sovelletaan.
3. Työskentele sopusoinnussa organisaation laajempien tietoturvatoimien kanssa, mukaan lukien kaikki asiaankuuluvat ISO-kontrollit.
4. Muista organisaation ainutlaatuiset liiketoimintavaatimukset – varsinkin kun on kyse suojauskokoonpanoista – mukaan lukien se, kuinka mahdollista on käyttää tai hallita mallia milloin tahansa.
5. Tarkastettava asianmukaisin väliajoin järjestelmä- ja/tai laitteistopäivitysten tai vallitsevien tietoturvauhkien huomioimiseksi.

Ohjeet – Turvatarkastukset

Turvallisuus on ensiarvoisen tärkeää, kun konfigurointimalleja käytetään tai olemassa olevia malleja muutetaan yllä olevien ohjeiden mukaisesti.

Harkittaessa standardimalleja koko organisaatiossa käytettäväksi tietoturvariskien minimoimiseksi organisaatioiden tulee:

1. Pidä järjestelmänvalvojan oikeudet omaavien käyttäjien määrä mahdollisimman pienenä.
2. Poista käytöstä kaikki käyttämättömät tai tarpeettomat identiteetit.
3. Valvo tarkasti pääsyä ylläpitoohjelmiin, apuohjelmiin ja sisäisiin asetuksiin.
4. Varmista, että kellot on synkronoitu, jotta konfiguraatiot kirjataan oikein, ja auta tulevissa tutkimuksissa.
5. Vaihda välittömästi minkä tahansa laitteen, palvelun tai sovelluksen mukana toimitetut oletussalasanat tai oletussuojausasetukset.
6. Ota oletusarvoinen uloskirjautumisaika käyttöön laitteille, järjestelmille tai sovelluksille, jotka ovat olleet lepotilassa tietyn ajan.
7. Varmista, että kaikki lisenssivaatimukset on täytetty (katso Ohjaus 5.32).

Ohjeet – Konfiguraatioiden hallinta ja valvonta

Organisaatiolla on vastuu konfiguraatioiden ylläpidosta ja tallentamisesta, mukaan lukien kaikkien muutosten tai uusien asennuksien kirjausketjun pitäminen julkaistun muutoksenhallintaprosessin mukaisesti (katso Valvonta 8.32).

Lokien tulee sisältää tietoja, jotka hahmottelevat:

1. Kuka omistaa omaisuuden.
2. Aikaleima viimeisimmälle kokoonpanomuutokselle.
3. Määritysmallin nykyinen versio.
4. Kaikki asiaankuuluvat tiedot, jotka selittävät resurssien suhteen muissa laitteissa tai järjestelmissä oleviin kokoonpanoihin.

Organisaatioiden tulee ottaa käyttöön laaja valikoima tekniikoita valvoakseen määritystiedostojen toimintaa verkossaan, mukaan lukien:

1. Automaatio.
2. Erikoistuneet konfiguraatiohuolto-ohjelmat.
3. Etätukityökalut, jotka täyttävät määritystiedot automaattisesti laitekohtaisesti.
4. Yrityksen laite- ja ohjelmistohallintatyökalut, jotka on suunniteltu valvomaan suuria määriä määritystietoja kerralla.
5. BUDR-ohjelmisto, joka varmuuskopioi kokoonpanot automaattisesti turvalliseen paikkaan ja palauttaa mallit joko etänä tai paikan päällä vaarantuneisiin ja/tai viallisiin laitteisiin.

Organisaatioiden tulee määrittää erikoisohjelmistot seuraamaan laitteen kokoonpanossa tapahtuvia muutoksia ja ryhtymään tarvittaviin toimiin muutosten korjaamiseksi mahdollisimman pian joko vahvistamalla muutos tai palauttamalla kokoonpano takaisin alkuperäiseen tilaan.

Tukiohjeet

• 5.32
• 8.32

Muutokset ja erot standardista ISO 27002:2013

Ei mitään. Control 8.9:llä ei ole ennakkotapausta ISO 27002:2013:ssa, koska se on uusi.

Uudet ISO 27002 -säätimet

Miten ISMS.online auttaa

ISMS.Online on täydellinen ratkaisu ISO 27002 -toteutukseen.

Se on verkkopohjainen järjestelmä, jonka avulla voit hyvin harkittujen prosessien ja menettelyjen sekä tarkistuslistojen avulla osoittaa, että tietoturvan hallintajärjestelmäsi (ISMS) on hyväksyttyjen standardien mukainen.

Ota yhteyttä jo tänään varaa esittely.