ISO IEC TR 27008

Mitä ovat tietoturvavalvonta?

Tietoturvaohjaukset ovat toimenpiteitä, joilla vähennetään tietoturva-aukkoja, kuten laitevikoja, tietovarkauksia, järjestelmärikkoja ja digitaalisen tiedon tai prosessien tahattomia muutoksia.

Nämä turvatarkastuksia käytetään yleensä tietoturvariskin vuoksi arvioinnin, jotta voidaan paremmin turvata tietojen ja verkkojen saatavuus, luottamuksellisuus ja yksityisyys.

Nämä kontrollit turvaavat tietoturva-alan tietojen luottamuksellisuuden, eheyden ja saatavuuden.

Tietoturvaohjauksen tyypit

Suojausprotokollat, -menettelyt, aikataulut, laitteet ja sovellukset kuuluvat kaikki tietoturvan hallintaan.

1. Ennaltaehkäisevät turvatarkastukset, tietoturvaprotokollat, jotka on tarkoitettu estämään kyberturvallisuusonnettomuudet
2. Etsivä turvatarkastukset Tarkoituksena on tunnistaa ja varoittaa kyberturvallisuushenkilöstö kyberturvallisuuden tunkeutumisyrityksestä tai mahdollisesta tietoturvaloukkauksesta.
3. Korjaavia suojaustoimenpiteitä käytetään kyberturvallisuustapahtuman jälkeen auttaa vähentämään tietojen menetystä ja laitteen tai verkon häiriöitä ja helposti palauttaa herkät liiketoimintajärjestelmät ja -toiminnot.

Lisäksi turvatoimenpiteet voidaan luokitella niiden tarkoituksen mukaan seuraavasti:

Pääsyn hallinta:

Näitä ovat fyysiset sisäänpääsymonitorit, kuten aseistetut vartijat rakennusten uloskäynneissä, lukot ja aidat.

Menettelylliset tarkastukset:

Uhkatietoisuus ohjeet, turvallisuuskehyksen täytäntöönpanokoulutus sekä häiriötilanteiden reagointiprosessit ja -menettelyt.

Tekniset hallintalaitteet:

Näitä ovat monitekijäinen tilin todennus sisääntulopisteessä (kirjautuminen) ja looginen pääsynhallinta, virustorjuntasovellukset ja palomuurit.

Vaatimustenmukaisuuden valvonta:

Näitä ovat tietosuojasäännöt, -kehykset ja -vaatimukset sekä kyberturvallisuuslähestymistavat ja -standardit.

Mikä on ISO 27008:n tarkoitus?

ISO 27008 luotiin seuraaville tarkoituksiin:

• Auttaa ISMS-auditointien ja tietoriskien hallinnan menetelmän valmistelussa ja toteutuksessa;
• Tarjoa ohjeita tietoturvaohjaimien auditoimiseksi ISO/IEC 27002:n ohjausohjeiden mukaisesti;
• Parantaa ISMS-tarkastuksia optimoimalla ISMS-prosessien ja tarvittavien ohjausten välisiä suhteita;
• Varmistaa, että tarkastusresursseja käytetään tehokkaasti ja tehokkaasti.
• Lisää lisäarvoa ja parantaa ISO 27k -spesifikaatioiden johdonmukaisuutta ja hyötyjä yhdistämällä ero ISMS:n periaatteellisen päivityksen ja tarvittaessa sovellettujen ISMS-ohjausten todisteiden tarkistamisen välillä (esim. liiketoiminnan, IT-rakenteiden ja IT-toiminnan turvallisuuselementtien arviointi ympäristöt ISO27k-käyttäjäorganisaatioissa);

Mikä on ISO 27008:n soveltamisala?

ISO 27008 antaa opastusta kaikille tarkastajille tietoturvan hallintajärjestelmien ohjauksessa. Se ohjaa tietoriskien hallintaprosessi sekä sisäiset, ulkoiset ja kolmannen osapuolen arvioinnit ISMS:stä osoittamalla ISMS:n ja siihen liittyvien hallintalaitteiden välisen yhteyden.

Se sisältää ohjeet siitä, kuinka testataan, missä määrin tarvittavia "tietoturvallisuuden hallintajärjestelmän ohjausjärjestelmiä" sovelletaan. Lisäksi se auttaa ISO/IEC 27001- tai ISO/IEC 27002 -standardeja soveltavia organisaatioita täyttämään vaatimustenmukaisuuskriteerit ja toimimaan teknisenä alustana tietotekniikan hallinnassa.

Miten ISO 27008 toimii?

ISO 27008 määrittelee yleiset menettelyt, ei tekniikat millekään tietylle ohjaukselle tai valvontamuodolle.

Siinä määritellään systemaattiset tarkastukset ja hahmotellaan sitten erilaisia ​​lähestymistapoja ja tarkastelumuotoja, joita voidaan soveltaa tietoturvan valvontaan. Lopuksi se käsittelee onnistuneen arviointiprosessin edellyttämiä käytäntöjä.

Suhde standardeihin ISO 27001 ja ISO 27002

ISO 27008 on hyvin samanlainen kuin ISO 27007 tietoturvan hallintajärjestelmien auditointispesifikaatio.

Toisin kuin ISO 27007, joka keskittyy ISO 27001:ssä määritellyn ISMS:n hallintajärjestelmän osien tarkistamiseen, ISO 27008 keskittyy tiettyjen tietoturvakontrollien tarkastamiseen, kuten ISO 27002:ssa lueteltuihin ja yksityiskohtaisiin ISO 27001:n liite A.

ISO 27008 "keskittyi tietoturvan valvonnan arvioimiseen, mukaan lukien säädöstenmukaisuus, verrattuna organisaation vahvistamaan tietoturvan toteutusstandardiin.

Sen ei kuitenkaan ole tarkoitus antaa yksityiskohtaisia ​​ohjeita vaatimustenmukaisuuden testaamisesta ISMS:n laskennassa, riskinarvioinnissa tai auditoinnissa, kuten kohdassa on määritelty. ISO 27004, ISO 27005tai 27007.

Kenen tulisi ottaa käyttöön ISO 27008?

ISO 27008 on tarkoitettu sisäisille ja ulkoisille tarkastajille, joiden tehtävänä on tarkistaa ISMS-järjestelmään kuuluvat tiedonhallinnan kontrollit. Siitä olisi kuitenkin hyötyä kaikille, jotka analysoivat tai arvioivat ISMS:n kontrolleja, joko osana strukturoitua tarkastusmenettelyä tai muuten. Dokumentti on tarkoitettu ensisijaisesti tietoturva-auditoijille, jotka ovat vastuussa siitä, että organisaation tietoturvakontrollit ovat teknisesti ISO/IEC 27002 -standardin ja kaikkien muiden organisaation käyttämien valvontavaatimusten mukaisia.

ISO 27008 auttaa heitä seuraavilla tavoilla:

• Tunnista ja ymmärrä tietoturvaohjauksen mahdollisten ongelmien ja heikkouksien laajuus.
• Tunnista ja ymmärrä riittämättömästi lievennettävien tietoteknisten riskien ja heikkouksien mahdolliset seuraukset yritykselle.
• Priorisoi tiedonhallintaan liittyvät riskienhallintakäytännöt.
• Varmista, että aiemmin löydetyt tai äskettäin löydetyt haavoittuvuudet tai viat on korjattu riittävästi.

ISO 27008 soveltuu monenlaisiin organisaatioihin, mukaan lukien julkiset ja yksityiset yritykset, valtion virastot ja voittoa tavoittelemattomat organisaatiot.