ISO 27001:2022 Bilag A 8.15 – Logning

• Se ISO 27002:2022 Kontrol 8.15 for mere information.
• Se ISO 27001:2013 Bilag A 12.4.1 for mere information.
• Se ISO 27001:2013 Bilag A 12.4.2 for mere information.
• Se ISO 27001:2013 Bilag A 12.4.3 for mere information.

Formål med ISO 27001:2022 bilag A 8.15

Logs er en afgørende komponent for at opnå et samlet overblik over IKT-aktiviteter og personalehandlinger. De gør det muligt for organisationer at konstruere en tidslinje af lejligheder og undersøge både logiske og fysiske tendenser på tværs af hele deres netværk.

At producere tilgængelige, ligetil logdata er et kritisk aspekt af en organisations generelle IKT-plan sammen med talrige vigtige informationssikkerhedskontroller i ISO 27001: 2022.

Logs bør kontrolleres regelmæssigt:

• Registrer hændelser.
• Indsamle data og få beviser.
• Bevar deres integritet.
• Sørg for sikkerheden af ​​logdata mod uautoriseret adgang.
• Identificer aktiviteter og hændelser, der kan forårsage brud på information/sikkerhed.
• Dette fungerer som en hjælp til både interne og eksterne henvendelser.

Ejerskab af bilag A 8.15

ISO 27001:2022 Bilag A 8.15 dækker IT-drift, der kræver systemadministratoradgang. Det omfatter netværksstyring og vedligeholdelse. Derfor er Leder af it, eller tilsvarende, er ansvarlig for denne kontrol.

Vejledning om hændelseslogoplysninger

En hændelse er enhver aktivitet udført af en fysisk eller logisk enhed på et computersystem, såsom en anmodning om data, fjernlogin, automatisk nedlukning af systemet eller sletning af en fil.

ISO 27001:2022 Annex A 8.15 angiver, at for at hver hændelseslog skal opfylde sit formål, skal den indeholde fem hovedkomponenter:

• Det bruger-id, der er knyttet til personen.
• Systemaktivitet kan overvåges for at identificere, hvad der fandt sted.
• På en bestemt dato og et bestemt klokkeslæt indtraf en begivenhed.
• Hændelsen fandt sted på enheden/systemet, og dens placering blev identificeret.
• Netværksadresser og protokoller – IP-oplysninger.

Vejledning om begivenhedstyper

Det er muligvis ikke muligt at logge alle hændelser på et netværk af praktiske årsager. Det er muligvis ikke muligt at logge hver hændelse.

ISO 27001:2022 Annex A 8.15 specificerer ti hændelser, der skal logges, da de kan påvirke risikoen og opretholde et passende niveau af informationssikkerhed:

1. Forsøg på systemadgang vil blive sporet og overvåget.
2. Forsøg på at få adgang til data og/eller ressourcer vil blive overvåget. Enhver sådan aktivitet, der betragtes som mistænkelig, vil blive rapporteret.
3. Ændringer af system/OS-konfiguration.
4. Brugen af ​​privilegier på højt niveau.
5. Brug hjælpeprogrammer eller vedligeholdelsesfaciliteter (i henhold til ISO 27001:2022 Annex A 8.18).
6. Filadgangsanmodninger med sletninger, migreringer osv.
7. Adgangskontrol alarmer og vigtige afbrydelser.
8. Aktivering og/eller deaktivering af front- og backend-sikkerhedssystemer, f.eks. klientside antivirussoftware og firewallbeskyttelsessystemer.
9. Identitetsadministration.
10. Visse handlinger eller ændringer af systemet/data udført under en session i en applikation.

Som ISO 27001:2022 Annex A 8.17 skitserer, er det vigtigt at sikre, at alle logfiler synkroniseres til den samme tidskilde (eller kilder), og i tilfælde af tredjeparts applikationslogfiler skal eventuelle tidsuoverensstemmelser adresseres og dokumenteres.

Vejledning om logbeskyttelse

Logfiler er den mest grundlæggende måde at bestemme bruger-, system- og applikationsaktivitet på et netværk, især når undersøgelser finder sted.

Det er vigtigt for organisationer at garantere, at brugere, uanset deres tilladelsesniveauer, ikke kan slette eller ændre deres egne hændelseslogfiler.

Logfiler skal være fuldstændige, nøjagtige og beskyttet mod uautoriserede ændringer eller forstyrrelser, herunder:

• Slettede eller redigerede logfiler.
• Ændringer af meddelelsestype.
• Manglende oprettelse af en log eller overskrivning af logs på grund af lagrings- eller netværksproblemer bør undgås.

ISO anbefaler, at for at øge informationssikkerheden bør logfiler beskyttes med følgende teknikker:

• Skrivebeskyttet optagelse.
• Brug af offentlige transparensfiler.
• Kryptografisk hashing.
• Optagelse, der kun kan tilføjes.

Organisationer kan kræve at sende logfiler til leverandører for at løse hændelser og fejl. Når dette er nødvendigt, skal logs være "afidentificeret" (i henhold til ISO 27001:2022 Annex A 8.11) med følgende information maskeret:

• IP-adresser.
• Værtsnavne.
• Brugernavne.

For at sikre PII er beskyttet, bør der tages skridt i overensstemmelse med organisationens databeskyttelsesforskrifter og eksisterende love (se ISO 27001:2022 Annex A 5.34).

Vejledning om loganalyse

Når du vurderer logs for at lokalisere, tackle og forklare cybersikkerhedshændelser – med det formål at forhindre gentagelser – skal du overveje følgende:

• Det personale, der udfører analysen, besidder en høj ekspertise.
• Logs analyseres i overensstemmelse med virksomhedens protokol.
• De hændelser, der skal analyseres, skal kategoriseres og identificeres efter type og attribut.
• Undtagelser som følge af netværksregler genereret af sikkerhedssoftware, hardware og platforme skal anvendes.
• Den typiske progression af netværkstrafik i modsætning til uforudsigelige mønstre.
• Specialiseret dataanalyse afslører tendenser, der er bemærkelsesværdige.
• Trusselsintelligens.

Vejledning om logovervågning

Loganalyse bør udføres i fællesskab med en grundig overvågningsaktiviteter der opdager væsentlige mønstre og ualmindelig adfærd.

Organisationer bør tage en tostrenget tilgang for at nå deres mål:

• Gennemgå alle forsøg på at få adgang til sikre og forretningskritiske ressourcer, såsom domæneservere, webportaler og fildelingsplatforme.
• Undersøg DNS-poster for at identificere eventuel udgående trafik forbundet med ondsindede kilder og skadelige serverprocedurer.
• Indsaml databrugsregistreringer fra serviceleverandører eller interne systemer for at genkende enhver ondsindet adfærd.
• Saml registreringer fra fysiske indgangspunkter, såsom nøglekort/fob-logfiler og rumadgangsdata.

Yderligere information

Organisationer bør overveje at bruge specialiserede hjælpeprogrammer til at gennemsøge den enorme mængde information, der produceres af systemlogfiler, og dermed spare tid og ressourcer, når de undersøger sikkerhedshændelser, f.eks. et SIEM-værktøj.

Hvis en organisation anvender en cloud-baseret platform til nogen del af deres drift, bør logstyring være et delt ansvar mellem tjenesteudbyderen og organisationen.

Medfølgende bilag A kontrol

• ISO 27001:2022 Bilag A 5.34
• ISO 27001:2022 Bilag A 8.11
• ISO 27001:2022 Bilag A 8.17
• ISO 27001:2022 Bilag A 8.18

Ændringer og forskelle fra ISO 27001:2013

ISO 27001:2022 Bilag A 8.15 erstatter tre kontroller fra ISO 27001:2013 som dækker lagring, styring og analyse af logfiler:

• 12.4.1 – Hændelseslogning
• 12.4.2 – Beskyttelse af logoplysninger
• 12.4.3 – Administrator- og operatørlogfiler

ISO 27001:2022 Annex A 8.15 tilpasser i vid udstrækning vejledningen fra de tre tidligere diskuterede kontroller og danner en klar protokol, der dækker logning sammen med nogle bemærkelsesværdige tilføjelser såsom:

• Retningslinjer, der omhandler beskyttelse af logoplysninger på en udvidet måde.
• Rådgivning om de forskellige slags hændelser, der bør undersøges nøje.
• Vejledning om overvågning og analyse af logfiler for at forbedre informationssikkerheden.
• Sådan administreres logfiler genereret af cloud-baserede platforme.

Tabel over alle ISO 27001:2022 bilag A kontroller

I tabellen nedenfor finder du mere information om hver enkelt person ISO 27001:2022 Bilag A Kontrollere.

Hvordan ISMS.online Hjælp

ISMS.online platformen letter hele ISO 27001 implementering, begyndende med risikovurderingsaktiviteter og afsluttende med etablering af politikker, procedurer og retningslinjer for at opfylde standardens kriterier.

ISMS.online giver organisationer en ligetil vej til ISO 27001-overholdelse via dets automatiserede værktøjssæt. Dens brugervenlige funktioner gør det nemt at demonstrere overholdelse af standarden.

Kontakt os nu for at arrangere en demonstration.