ISO 27001:2022 Bilag A 8.22 – Adskillelse af netværk

• Se ISO 27002:2022 Kontrol 8.22 for mere information.
• Se ISO 27001:2013 Bilag A 13.1.3 for mere information.

ISO 27001 Annex A 8.22: Styrkelse af sikkerhed gennem netværksadskillelse

Når cyberkriminelle infiltrerer computersystemer, tjenester eller enheder, begrænser de sig ikke til disse aktiver alene.

De gør brug af den første infiltration til at trænge ind i en virksomheds hele netværk, få adgang til følsomme data eller udføre ransomware-angreb.

Cyberskurke kunne stjæle loginoplysningerne for HR-medarbejdere på et hospital efter et vellykket phishing-angreb og give dem adgang til HR-systemer.

Ved at bruge deres adgangspunkt kan angriberne krydse netværket og afsløre netværk, der indeholder fortrolige patientdata. Denne indtrængen kan føre til tab af data, forårsage afbrydelse af driften eller endda åbne døren til et ransomware-angreb.

Hospitalet kunne forhindre uautoriseret adgang til fortrolige data og reducere konsekvenserne af et brud ved at bruge netværkssegmenteringsteknikker såsom firewalls, virtuelle netværk eller serverisolering.

ISO 27001:2022 Annex A 8.22 skitserer, hvordan virksomheder kan anvende og bevare passende netværksadskillelsesmetoder for at afværge risici for tilgængeligheden, integriteten og fortroligheden af ​​informationsaktiver.

Formål med ISO 27001:2022 bilag A 8.22

ISO 27001:2022 Annex A 8.22 giver organisationer mulighed for at opdele deres it-netværk i undernetværk afhængigt af graden af ​​følsomhed og vigtighed og begrænse transmissionen af ​​information mellem disse forskellige undernetværk.

Organisationer kan bruge dette til at forhindre malware og vira i at rejse fra inficerede netværk til dem, der indeholder følsomme data.

Dette garanterer det organisationer sikre fortroligheden, integriteten og tilgængeligheden af ​​dataaktiver, der er lagret på væsentlige undernetværk.

Ejerskab af bilag A 8.22

Informationssikkerhedsansvarlig skal holdes ansvarlig for at overholde ISO 27001:2022 bilag A 8.22, som kræver segmentering af netværk, enheder og systemer i henhold til risici og anvendelse af netværksadskillelsesteknikker og -procedurer.

Generel vejledning om ISO 27001:2022 Bilag A 8.22 Overholdelse

Organisationer bør stræbe efter at opnå ligevægt mellem operationelle behov og sikkerhedsproblemer, når de indfører regler for netværksadskillelse.

ISO 27001: 2022 Bilag A Kontrol 8.22 giver tre anbefalinger, der skal tages i betragtning ved opsætning af netværksadskillelse.

Sådan adskilles netværket i mindre undernetværk

Når netværket opdeles i mindre underdomæner, bør organisationer overveje følsomheden og vigtigheden af ​​hvert netværksdomæne. Afhængigt af denne vurdering kan netværksunderdomæner mærkes som 'offentlige domæner', 'desktopdomæner', 'serverdomæner' eller 'højrisikosystemer'.

Organisationer bør tage hensyn til forretningsafdelinger som HR, marketing og økonomi i processen med at segmentere deres netværk.

Organisationer kan også slå disse to kriterier sammen ved at tildele netværksunderdomæner i kategorier såsom "serverdomæne, der linker til salgsafdelingen".

Sikkerhedsperimetre og adgangskontrol

Organisationer skal afgrænse grænserne for hvert netværksunderdomæne eksplicit. Hvis der skal være adgang mellem to forskellige netværksdomæner, bør denne forbindelse begrænses på perimetrisk niveau gennem brug af gateways som firewalls eller filtrerende routere.

Organisationer bør evaluere sikkerhedsbehovene for hvert domæne, når de etablerer netværksadskillelse, og når de giver adgang gennem gateways.

Denne vurdering skal udføres i overensstemmelse med adgangskontrolpolitikken påbudt af ISO 27001:2022 Annex A 5.15, under hensyntagen til følgende:

• Klassificeringen tildelt infoaktiver er på hvilket niveau.
• Vigtigheden af ​​informationen er altafgørende.
• Omkostninger og funktionalitet er vigtige faktorer, når man beslutter, hvilken gateway-teknologi, der skal bruges.

Trådløse netværk

ISO 27001: 2022 Bilag A 8.22 anbefaler, at organisationer overholder følgende praksis, når de opretter netværkssikkerhedsparametre for trådløse netværk:

• Evaluer brugen af ​​metoder til justering af radiodækning til at opdele trådløse netværk.
• For sarte netværk kan organisationer tage alle forsøg på trådløs adgang som eksterne forbindelser og forbyde adgang til interne netværk, indtil gateway-kontrollen giver godkendelse.
• Personale bør kun bruge deres egne enheder i overensstemmelse med organisationens politik; netværksadgangen til personale og gæster skal holdes adskilt.
• Besøgende bør være underlagt de samme regler vedrørende Wi-Fi-brug som teammedlemmer.

Supplerende vejledning om ISO 27001:2022 Bilag A 8.22

Organisationer bør sikre, at alle forretningspartnerskaber er underlagt passende sikkerhedsforanstaltninger. Bilag A 8.22 råder organisationer til at implementere foranstaltninger til at beskytte deres netværk, it-enheder og andre informationsfaciliteter, når de samarbejder med forretningspartnere.

Netværk, der er følsomme, kan blive udsat for en øget risiko for uautoriseret adgang. For at beskytte mod dette bør organisationer tage passende skridt.

Ændringer og forskelle fra ISO 27001:2013

ISO 27001:2022 Bilag A 8.22 erstatter ISO 27001:2013 Bilag A 13.1.3 i den seneste ISO-revision.

I sammenligning med ISO 27001:2013 kræver ISO 27001:2022-revisionen følgende af trådløse netværk:

• Hvis personalet overholder organisationens politik og kun bruger deres egne enheder, skal den trådløse netværksadgang, der er tilvejebragt for personale og besøgende, holdes adskilt.
• Gæster bør være underlagt de samme restriktioner og kontroller vedrørende Wi-Fi som personale.

Tabel over alle ISO 27001:2022 bilag A kontroller

I tabellen nedenfor finder du mere information om hver enkelt ISO 27001:2022 Annex A-kontrol.

Hvordan ISMS.online Hjælp

ISMS.Online gør det lettere for dig at:

• Dokumentprocesser nemt med denne brugervenlige grænseflade. Der kræves ingen softwareinstallation på din computer eller netværk.
• Strømlin din risikoevalueringsprocedure ved at automatisere den.
• Opnå let overholdelse ved at bruge online rapporter og tjeklister.
• Oprethold en registrering af din progression, mens du arbejder hen imod certificering.

ISMS.online leverer et omfattende sæt funktionaliteter til at hjælpe organisationer og virksomheder med at møde industrien ISO 27002 og/eller ISO 27001:2022 ISMS-standard.

Kontakt os for at arrangere en demonstration.