ISO 27001:2022 Bilag A 8.27 – Sikker systemarkitektur og ingeniørprincipper

• Se ISO 27002:2022 Kontrol 8.27 for mere information.
• Se ISO 27001:2013 Bilag A 14.2.5 for mere information.

ISO 27001:2022 Kontrol 8.27 – Styrkelse af systemsikkerhed fra bunden

ISO 27001: 2022 Bilag A 8.27 specificerer, at organisationer skal implementere sikker systemarkitektur og tekniske principper for at sikre, at design, implementering og styring af informationssystemet er passende i forhold til organisationens sikkerhedskrav. Dette omfatter etablering af sikre systemarkitekturer, tekniske principper og sikker designpraksis.

De indviklede strukturer af moderne informationssystemer, kombineret med det uophørligt skiftende cybersikkerhedsrisikomiljø, gør informationssystemer mere tilbøjelige til eksisterende og potentielle sikkerhedstrusler.

Bilag A 8.27 beskriver hvordan organisationer kan beskytte deres informationssystemer fra sikkerhedstrusler gennem implementering af sikre systemkonstruktionsprincipper i alle faser af informationssystemets livscyklus.

Formål med ISO 27001:2022 bilag A 8.27

Bilag A 8.27 letter organisationer med at sikre informationssystemer i faserne af design, implementering og drift via etablering og implementering af sikre systemingeniørprincipper, som systemingeniører skal overholde.

Ejerskab af bilag A 8.27

Chief Information Security Officer skal holdes ansvarlig for opførelse, opretholdelse og gennemførelse af reglerne, der styrer sikker konstruktion af informationssystemer.

Generel vejledning om ISO 27001:2022 Bilag A 8.27 Overholdelse

ISO 27001:2022 Annex A 8.27 understreger nødvendigheden af, at organisationer indlejrer sikkerhed i hele deres informationssystemer, herunder forretningsprocesser, applikationer og dataarkitektur.

Sikker ingeniørpraksis bør implementeres for alle opgaver forbundet med informationssystemer, regelmæssigt revideret og opdateret for at tage højde for nye trusler og angrebsmønstre.

Bilag A 8.27 gælder også for systemer, der er oprettet af eksterne udbydere, ud over dem, der er udviklet og kørt internt.

Organisationer bør garantere, at tjenesteudbydernes praksis og standarder er i overensstemmelse med deres sikre tekniske protokoller.

ISO 27001:2022 Bilag A 8.27 nødvendiggør sikre systemkonstruktionsprincipper for at behandle følgende otte emner:

1. Metoder til brugergodkendelse.
2. Sikker sessionskontrolvejledning.
3. Procedurer for desinficering og validering af data.
4. Sikkerhedsforanstaltninger til beskyttelse af informationsaktiver og -systemer mod kendte trusler analyseres omfattende.
5. Sikkerhedsforanstaltninger analyseret for deres evne til at identificere, eliminere og reagere på sikkerhedstrusler.
6. Analyse af de sikkerhedsforanstaltninger, der anvendes på specifikke forretningsaktiviteter, såsom informationskryptering.
7. Hvor og hvordan sikkerhedsforanstaltninger vil blive implementeret. En specifik sikkerhedskontrol i bilag A kan integreres i den tekniske infrastruktur som en del af denne proces.
8. Den måde, hvorpå forskellige sikkerhedsforanstaltninger arbejder sammen og fungerer som et kombineret system.

Vejledning om Zero Trust-princippet

Organisationer bør huske disse nul-tillid principper:

• Baseret på antagelsen om, at organisationens systemer allerede er kompromitteret, og at den definerede perimetersikkerhed af dens netværk ikke kan give tilstrækkelig beskyttelse.
• En politik med "verifikation før tillid" bør vedtages, når det kommer til at give adgang til informationssystemer. Dette sikrer, at der kun gives adgang efter undersøgelse, og det sikres, at de rigtige personer har den.
• At sikre, at anmodninger til informationssystemer er sikret med end-to-end-kryptering, giver sikkerhed.
• Verifikationsmekanismer implementeres under forudsætning af adgangsanmodninger fra eksterne, åbne netværk til informationssystemer.
• Implementer mindste privilegier og dynamisk adgangskontrol i overensstemmelse med ISO 27001:2022 Annex A 5.15, 5.18 og 8.2. Dette skal omfatte autentificering og godkendelse af følsomme informations- og infosystemer under hensyntagen til kontekstuelle aspekter såsom brugeridentiteter (ISO 27001:2022 Bilag A 5.16) og informationsklassificering (ISO 27001:2022 Bilag A 5.12).
• Autentificer anmoderens identitet og verificer autorisationsanmodninger til at få adgang til informationssystemer i henhold til godkendelsesoplysningerne i ISO 27001:2022 Annex A 5.17, 5.16 og 8.5.

Hvad skal sikre systemtekniske teknikker dække?

Din organisation skal huske følgende:

• Inkorporerer sikre arkitekturprincipper såsom "sikkerhed ved design", "forsvar i dybden", "sikkert fejl", "mistro input fra eksterne applikationer", "antage brud", "mindste privilegium", "brugervenlighed og håndterbarhed" og "mindst funktionalitet". ” er altafgørende.
• Udførelse af en sikkerhedsorienteret designgennemgang for at opdage eventuelle informationssikkerhedsproblemer og sikre, at sikkerhedsforanstaltninger er etableret og opfylder sikkerhedsbehovene.
• Det er vigtigt at dokumentere og anerkende sikkerhedsforanstaltninger, der ikke opfylder kravene.
• Systemhærdning er afgørende for sikkerheden i ethvert system.

Hvilke kriterier skal man overveje, når man designer sikre tekniske principper?

Organisationer bør tage følgende punkter i betragtning, når de opsætter principper for sikker systemudvikling:

• Kravet om at koordinere bilag A-kontroller med særlig sikkerhedsarkitektur er uundværligt.
• En organisations eksisterende tekniske sikkerhedsinfrastruktur, herunder offentlige nøgleinfrastruktur, identitetsstyring og forebyggelse af datalækage.
• Kan organisationen konstruere og opretholde den valgte teknologi.
• Omkostningerne og den tid, der er nødvendig for at opfylde sikkerhedskravene, skal tages i betragtning under hensyntagen til deres kompleksitet.
• Det er vigtigt at overholde nuværende bedste praksis.

Vejledning om anvendelse af sikre systemkonstruktionsprincipper

ISO 27001:2022 Annex A 8.27 angiver, at organisationer kan anvende sikre tekniske principper, når de opsætter følgende:

• Fejltolerance og andre modstandsdygtighedsstrategier er afgørende. De hjælper med at sikre, at systemerne forbliver operationelle på trods af, at der opstår uventede hændelser.
• Segregation gennem virtualisering er en teknik, der kan bruges.
• Indgrebssikker, sørg for, at systemerne forbliver sikre og uigennemtrængelige for ondsindet interferens.

Sikker virtualiseringsteknologi kan reducere risikoen for aflytning mellem applikationer, der kører på den samme enhed.

Det understreges, at manipulationsmodstandssystemer kan detektere både logisk og fysisk manipulation af informationssystemer, hvilket forhindrer uautoriseret adgang til data.

Ændringer og forskelle fra ISO 27001:2013

ISO 27001:2022 Bilag A 8.27 erstatter ISO 27001:2013 Annex A 14.2.5 i den reviderede 2022-standard.

2022-versionen indeholder mere omfattende krav end 2013-versionen, såsom:

• I forhold til 2013 giver 2022-versionen vejledning om, hvad sikre ingeniørprincipper bør omfatte.
• I modsætning til 2013-iterationen tager 2022-versionen hensyn til de kriterier, som organisationer bør tage i betragtning, når de konstruerer sikre systemtekniske principper.
• 2022-versionen giver vejledning om nul-tillidsprincippet, som ikke var inkluderet i 2013-versionen.
• 2022-udgaven af ​​dokumentet indeholder anbefalinger til sikre ingeniørteknikker, såsom "security by design", som ikke var til stede i 2013-versionen.

Tabel over alle ISO 27001:2022 bilag A kontroller

I tabellen nedenfor finder du mere information om hver enkelt person ISO 27001:2022 Bilag A Kontrollere.

Hvordan ISMS.online Hjælp

Vores trinvise tjekliste gør implementeringen af ​​ISO 27001 til en leg. Vores komplet compliance-løsning for ISO/IEC 27001:2022 vil guide dig gennem processen fra start til slut.

Når du logger ind, kan du forvente op til 81 % fremgang.

Denne løsning er fuldstændig omfattende og ligetil.

Tag fat nu til book en demonstration.