Valvonnan tarkoitus 8.9
Konfiguraatiot – toimivatko ne yhtenä konfigurointitiedostona tai yhteen linkitetyn kokoonpanon ryhmänä – ovat taustalla olevia parametreja, jotka ohjaavat laitteiston, ohjelmiston ja jopa kokonaisten verkkojen hallintaa.
Esimerkiksi palomuurin määritystiedosto sisältää perusmääritteet, joita laite käyttää organisaation verkkoon tulevan ja sieltä lähtevän liikenteen hallintaan, mukaan lukien estoluettelot, porttien uudelleenohjaukset, virtuaaliset lähiverkot ja VPN-tiedot.
Kokoonpanon hallinta on olennainen osa organisaation laajempaa omaisuudenhallintatoimintaa. Konfiguroinnit ovat avainasemassa sen varmistamiseksi, että verkko ei toimi vain niin kuin sen pitäisi olla, vaan myös laitteiden suojaamisessa huoltohenkilöstön ja/tai myyjien luvattomilta muutoksilta tai virheellisiltä muutoksilta.
Attribuuttien ohjaustaulukko 8.9
Ohjaus 8.9 on a ehkäisevä hallitse sitä ylläpitää riskiä luomalla sarjan käytäntöjä, jotka ohjaavat sitä, miten organisaatio dokumentoi, toteuttaa, valvoo ja tarkistaa kokoonpanojen käyttöä koko verkossaan.
| Ohjaus | Tietoturvaominaisuudet | Kyberturvallisuuden käsitteet | Toiminnalliset valmiudet | Turvallisuus Domains |
|---|---|---|---|---|
| #Ennaltaehkäisevä | #Luottamuksellisuus | #Suojella | #Suojattu määritys | #Suojaus |
| #Integrity | ||||
| #Saatavuus |
Määräysvallan omistus 8.9
Kokoonpanon hallinta on yksinomaan hallinnollinen tehtävä, joka käsittelee omaisuuspuolen tietojen ja datan ylläpitoa ja valvontaa, jotka sijaitsevat useissa laitteissa ja sovelluksissa. Sellaisenaan omistuksen tulisi olla IT-päälliköllä tai vastaavalla organisaatiolla.
Vapauta itsesi laskentataulukoiden vuorten vallasta
Ota käyttöön, laajenna ja skaalaa vaatimustenmukaisuus ilman sotkua. Io antaa sinulle joustavuutta ja luottamusta kasvaa turvallisesti.
Yleiset noudattamisohjeet
Kaiken kaikkiaan organisaation tarve laatia ja ottaa käyttöön konfiguraatioiden hallintakäytännöt sekä uusille järjestelmille ja laitteille, että kaikille jo käytössä oleville. Sisäisen valvonnan tulisi sisältää liiketoiminnan kannalta kriittisiä elementtejä, kuten suojauskokoonpanot, kaikki laitteistot, jotka sisältävät määritystiedoston, ja kaikki asiaankuuluvat ohjelmistosovellukset tai -järjestelmät.
Ohjaus 8.9 pyytää organisaatioita ottamaan huomioon kaikki asiaankuuluvat roolit ja vastuut konfigurointikäytäntöä toteutettaessa, mukaan lukien laitekohtaisesti tai sovelluskohtaisesti kokoonpanojen delegoitu omistusoikeus.
Ohjeet – vakiomallit
Mikäli mahdollista, organisaatioiden tulee käyttää standardoituja malleja kaikkien laitteistojen, ohjelmistojen ja järjestelmien suojaamiseen. Mallien tulee:
- Yritä käyttää julkisesti saatavilla olevia, toimittajakohtaisia ja/tai avoimen lähdekoodin ohjeita laitteisto- ja ohjelmistoomaisuuden määrittämiseen parhaiten.
- Täytä vähimmäisturvavaatimukset laitteelle, sovellukselle tai järjestelmälle, johon niitä sovelletaan.
- Työskentele sopusoinnussa organisaation laajempien tietoturvatoimien kanssa, mukaan lukien kaikki asiaankuuluvat ISO-kontrollit.
- Muista organisaation ainutlaatuiset liiketoimintavaatimukset – varsinkin kun on kyse suojauskokoonpanoista – mukaan lukien se, kuinka mahdollista on käyttää tai hallita mallia milloin tahansa.
- Tarkastettava asianmukaisin väliajoin järjestelmä- ja/tai laitteistopäivitysten tai vallitsevien tietoturvauhkien huomioimiseksi.
Ohjeet – Turvatarkastukset
Turvallisuus on ensiarvoisen tärkeää, kun konfigurointimalleja käytetään tai olemassa olevia malleja muutetaan yllä olevien ohjeiden mukaisesti.
Harkittaessa standardimalleja koko organisaatiossa käytettäväksi tietoturvariskien minimoimiseksi organisaatioiden tulee:
- Pidä järjestelmänvalvojan oikeudet omaavien käyttäjien määrä mahdollisimman pienenä.
- Poista käytöstä kaikki käyttämättömät tai tarpeettomat identiteetit.
- Valvo tarkasti pääsyä ylläpitoohjelmiin, apuohjelmiin ja sisäisiin asetuksiin.
- Varmista, että kellot on synkronoitu, jotta konfiguraatiot kirjataan oikein, ja auta tulevissa tutkimuksissa.
- Vaihda välittömästi minkä tahansa laitteen, palvelun tai sovelluksen mukana toimitetut oletussalasanat tai oletussuojausasetukset.
- Ota oletusarvoinen uloskirjautumisaika käyttöön laitteille, järjestelmille tai sovelluksille, jotka ovat olleet lepotilassa tietyn ajan.
- Varmista, että kaikki lisenssivaatimukset on täytetty (katso Ohjaus 5.32).
ISO 27001 helposti
81 %:n etumatka ensimmäisestä päivästä lähtien
Olemme tehneet kovan työn puolestasi ja antavat sinulle 81 % etumatkan kirjautuessasi sisään. Sinun tarvitsee vain täyttää tyhjät kohdat.
Ohjeet – Konfiguraatioiden hallinta ja valvonta
Organisaatiolla on vastuu konfiguraatioiden ylläpidosta ja tallentamisesta, mukaan lukien kaikkien muutosten tai uusien asennuksien kirjausketjun pitäminen julkaistun muutoksenhallintaprosessin mukaisesti (katso Valvonta 8.32).
Lokien tulee sisältää tietoja, jotka hahmottelevat:
- Kuka omistaa omaisuuden.
- Aikaleima viimeisimmälle kokoonpanomuutokselle.
- Määritysmallin nykyinen versio.
- Kaikki asiaankuuluvat tiedot, jotka selittävät resurssien suhteen muissa laitteissa tai järjestelmissä oleviin kokoonpanoihin.
Organisaatioiden tulee ottaa käyttöön laaja valikoima tekniikoita valvoakseen määritystiedostojen toimintaa verkossaan, mukaan lukien:
- Automaatio.
- Erikoistuneet konfiguraatiohuolto-ohjelmat.
- Etätukityökalut, jotka täyttävät määritystiedot automaattisesti laitekohtaisesti.
- Yrityksen laite- ja ohjelmistohallintatyökalut, jotka on suunniteltu valvomaan suuria määriä määritystietoja kerralla.
- BUDR-ohjelmisto, joka varmuuskopioi kokoonpanot automaattisesti turvalliseen paikkaan ja palauttaa mallit joko etänä tai paikan päällä vaarantuneisiin ja/tai viallisiin laitteisiin.
Organisaatioiden tulee määrittää erikoisohjelmistot seuraamaan laitteen kokoonpanossa tapahtuvia muutoksia ja ryhtymään tarvittaviin toimiin muutosten korjaamiseksi mahdollisimman pian joko vahvistamalla muutos tai palauttamalla kokoonpano takaisin alkuperäiseen tilaan.
Tukiohjeet
- 5.32
- 8.32
Hallitse kaikkea vaatimustenmukaisuuttasi yhdessä paikassa
ISMS.online tukee yli 100 standardia ja sääntöä, mikä tarjoaa sinulle yhden alustan kaikkiin vaatimustenmukaisuustarpeisiisi.
Muutokset ja erot standardista ISO 27002:2013
Ei mitään. Control 8.9:llä ei ole ennakkotapausta ISO 27002:2013:ssa, koska se on uusi.
Uudet ISO 27002 -säätimet
| ISO/IEC 27002:2022 Control Identifier | ISO/IEC 27002:2013 Control Identifier | Ohjausnimi |
|---|---|---|
| 5.7 | UUSI | Uhan älykkyys |
| 5.23 | UUSI | Tietoturva pilvipalvelujen käyttöön |
| 5.30 | UUSI | ICT-valmius liiketoiminnan jatkuvuuteen |
| 7.4 | UUSI | Fyysisen turvallisuuden valvonta |
| 8.9 | UUSI | Kokoonpanonhallinta |
| 8.10 | UUSI | Tietojen poistaminen |
| 8.11 | UUSI | Tietojen peittäminen |
| 8.12 | UUSI | Tietovuotojen esto |
| 8.16 | UUSI | Toimien seuranta |
| 8.23 | UUSI | Web-suodatus |
| 8.28 | UUSI | Turvallinen koodaus |
| ISO/IEC 27002:2022 Control Identifier | ISO/IEC 27002:2013 Control Identifier | Ohjausnimi |
|---|---|---|
| 6.1 | 07.1.1 | Seulonta |
| 6.2 | 07.1.2 | Työsuhteen ehdot |
| 6.3 | 07.2.2 | Tietoturvatietoisuus, koulutus ja koulutus |
| 6.4 | 07.2.3 | Kurinpitoprosessi |
| 6.5 | 07.3.1 | Vastuut työsuhteen päättymisen tai muutoksen jälkeen |
| 6.6 | 13.2.4 | Luottamuksellisuus- tai salassapitosopimukset |
| 6.7 | 06.2.2 | Etätyö |
| 6.8 | 16.1.2, 16.1.3 | Tietoturvatapahtumaraportointi |
| ISO/IEC 27002:2022 Control Identifier | ISO/IEC 27002:2013 Control Identifier | Ohjausnimi |
|---|---|---|
| 7.1 | 11.1.1 | Fyysisen turvallisuuden rajat |
| 7.2 | 11.1.2, 11.1.6 | Fyysinen sisääntulo |
| 7.3 | 11.1.3 | Toimistojen, huoneiden ja tilojen turvaaminen |
| 7.4 | UUSI | Fyysisen turvallisuuden valvonta |
| 7.5 | 11.1.4 | Suojautuminen fyysisiltä ja ympäristöuhkilta |
| 7.6 | 11.1.5 | Työskentely turvallisilla alueilla |
| 7.7 | 11.2.9 | Selkeä pöytä ja selkeä näyttö |
| 7.8 | 11.2.1 | Laitteiden sijoitus ja suojaus |
| 7.9 | 11.2.6 | Omaisuuden turvallisuus muualla kuin toimitiloissa |
| 7.10 | 08.3.1, 08.3.2, 08.3.3, 11.2.5 | Tallennusvälineet |
| 7.11 | 11.2.2 | Apuohjelmia tukevat |
| 7.12 | 11.2.3 | Kaapeloinnin turvallisuus |
| 7.13 | 11.2.4 | Laitehuolto |
| 7.14 | 11.2.7 | Laitteiden turvallinen hävittäminen tai uudelleenkäyttö |
Miten ISMS.online auttaa
ISMS.Online on täydellinen ratkaisu ISO 27002 -toteutukseen.
Se on verkkopohjainen järjestelmä, jonka avulla voit hyvin harkittujen prosessien ja menettelyjen sekä tarkistuslistojen avulla osoittaa, että tietoturvan hallintajärjestelmäsi (ISMS) on hyväksyttyjen standardien mukainen.
Ota yhteyttä jo tänään varaa esittely.
