ISO 27001:2022 Bilag A Kontrol 8.8

Vejledning om identifikation af sårbarheder

Inden der udføres sårbarhedskontrol, er det vigtigt at anskaffe sig en omfattende og aktuel liste over fysiske og digitale aktiver (se bilag A 5.9 og 5.14), der ejes og drives af organisationen.

Softwareaktivdata bør omfatte:

• Versionsnumre i drift.
• Hvor softwaren er implementeret på tværs af godset.
• Leverandørnavn.
• Applikationsnavn.

Organisationer bør stræbe efter at identificere tekniske sårbarheder ved at:

• Det er vigtigt klart at definere, hvem i organisationen er ansvarlig for sårbarhedshåndtering fra en teknisk synspunkt, der opfylder sine forskellige funktioner, som omfatter (men er ikke begrænset til):
• Overvågning.
• Opdatering.
• Aktivforvaltning.
• Risikovurdering.
• I organisationen, hvem er ansvarlig for softwaren.
• Hold et register over applikationer og værktøjer til at identificere tekniske svagheder.
• Anmod leverandører og leverandører om at afsløre eventuelle modtageligheder med nye systemer og hardware, når de leverer dem (i henhold til bilag A 5.20 i ISO 27001:2022), og specificer det tydeligt i alle gældende kontrakter og serviceaftaler.
• Brug sårbarhedsscanningsværktøjer og patchingfaciliteter.
• Udfør periodiske, dokumenterede penetrationstest, enten af ​​internt personale eller af en godkendt tredjepart.
• Vær opmærksom på potentialet for underliggende programmatiske sårbarheder, når du bruger tredjeparts kodebiblioteker eller kildekode (se ISO 27001:2022 Annex A 8.28).

Vejledning om offentlige aktiviteter

Organisationer bør skabe politikker og procedurer, der opdager sårbarheder i alle deres produkter og tjenester og få vurderinger af disse sårbarheder relateret til deres forsyning.

ISO råder organisationer til at tage skridt til at identificere eventuelle sårbarheder og motivere tredjeparter til at deltage i sårbarhedshåndteringsaktiviteter ved at tilbyde dusørprogrammer (hvor potentielle udnyttelser søges og rapporteres til organisationen i bytte for en belønning).

Organisationer bør gøre sig tilgængelige for offentligheden gennem fora, offentlige e-mail-adresser og forskning, så de kan udnytte offentlighedens kollektive viden til at beskytte deres produkter og tjenester.

Organisationer bør gennemgå enhver afhjælpende handling, der er truffet, og overveje at frigive relevant information til berørte personer eller organisationer. Desuden bør de engagere sig med specialiserede sikkerhedsorganisationer for at sprede viden om sårbarheder og angrebsvektorer.

Organisationer bør overveje at levere et valgfrit automatisk opdateringssystem, som kunderne kan vælge at bruge eller ej i henhold til deres forretningskrav.

Vejledning om evaluering af sårbarheder

Nøjagtig rapportering er afgørende for at sikre hurtig og effektiv korrigerende handling, når sikkerhedsrisici opdages.

Organisationer bør vurdere sårbarheder ved at:

• Undersøg rapporterne grundigt og afgør, hvilken handling der er nødvendig, såsom ændring, opdatering eller eliminering af påvirkede systemer og/eller udstyr.
• Opnå en løsning, der tager hensyn til andre ISO-kontroller (især dem, der er relateret til ISO 27001:2022) og anerkender risikoniveauet.

Vejledning i modvirkning af softwaresårbarheder

Softwaresårbarheder kan effektivt tackles ved hjælp af en proaktiv tilgang til softwareopdateringer og patch-håndtering. At sikre regelmæssige opdateringer og patches kan hjælpe med at beskytte dit system mod potentielle trusler.

Organisationer bør sørge for at bibeholde eksisterende softwareversioner, før de foretager ændringer, udføre grundige test af alle ændringer og anvende disse på en udpeget kopi af softwaren.

Når sårbarheder er identificeret, bør organisationer tage skridt til at løse dem:

• Sigt efter hurtigt og effektivt at rette alle sikkerhedssvagheder.
• Hvor det er muligt, skal du overholde de organisatoriske protokoller om Change Management (se ISO 27001:2022 Annex A 8.32) og Incident Handling (se ISO 27001:2022 Annex A 5.26).
• Anvend kun patches og opdateringer fra pålidelige, certificerede kilder, især for tredjepartsleverandørs software og udstyr:
• Organisationer bør evaluere de foreliggende data for at beslutte, om det er vigtigt at anvende automatiske opdateringer (eller komponenter af dem) til købt software og hardware.
• Før du installerer, skal du teste eventuelle opdateringer for at forhindre uventede problemer i et live-miljø.
• Giv topprioritet til at tackle højrisiko og vitale forretningssystemer.
• Sørg for, at afhjælpende handlinger er vellykkede og ægte.

I tilfælde af, at der ikke er nogen opdatering tilgængelig, eller der er hindringer for at installere en (f.eks. omkostningsrelateret), bør organisationer overveje andre metoder, såsom:

• Anmoder om vejledning fra leverandøren om en midlertidig løsning, mens afhjælpningsindsatsen intensiveres.
• Sluk alle netværkstjenester, der er påvirket af sårbarheden.
• Implementering af sikkerhedskontrol ved vigtige gateways, såsom trafikregler og filtre, for at beskytte netværket.
• Øg overvågningen i forhold til den tilknyttede risiko.
• Sørg for, at alle berørte parter er opmærksomme på fejlen, herunder leverandører og købere.
• Udskyd opdateringen og evaluer risiciene, og notér især eventuelle potentielle driftsomkostninger.

Medfølgende bilag A kontrol

• ISO 27001:2022 Bilag A 5.14
• ISO 27001:2022 Bilag A 5.20
• ISO 27001:2022 Bilag A 5.9
• ISO 27001:2022 Bilag A 8.20
• ISO 27001:2022 Bilag A 8.22
• ISO 27001:2022 Bilag A 8.28

Supplerende vejledning om bilag A 8.8

Organisationer bør opretholde en revisionsspor af alle relevante sårbarhedshåndteringsaktiviteter for at hjælpe med korrigerende handlinger og fremme protokoller i tilfælde af et sikkerhedsbrud.

Periodisk vurdering og gennemgang af hele sårbarhedshåndteringsprocessen er en fantastisk måde at forbedre ydeevnen og proaktivt identificere eventuelle sårbarheder.

Hvis organisationen ansætter en cloud-tjenesteudbyder, bør de sikre, at udbyderens tilgang til sårbarhedshåndtering er kompatibel med deres egen og bør inkluderes i den bindende serviceaftale mellem begge parter, herunder eventuelle rapporteringsprocedurer (se ISO 27001:2022 bilag A 5.32) .

Ændringer og forskelle fra ISO 27001:2013

ISO 27001:2022 Bilag A 8.8 erstatter to Annex A-kontroller fra ISO 27001:2013, disse er:

• 12.6.1 – Håndtering af tekniske sårbarheder
• 18.2.3 – Teknisk overensstemmelsesgennemgang

ISO 27001:2022 Bilag A 8.8 introducerer en ny, særskilt tilgang til sårbarhedshåndtering end den, der findes i ISO 27001:2013. Det er en bemærkelsesværdig afvigelse fra den tidligere standard.

ISO 27001:2013 Annex A 12.6.1 fokuserede hovedsageligt på at indføre korrigerende foranstaltninger, når en sårbarhed er opdaget, hvorimod Annex A 18.2.3 kun gælder for tekniske midler (hovedsagelig penetrationstest).

ISO 27001:2022 Annex A 8.8 introducerer nye afsnit, der omhandler en organisations offentlige ansvar, metoder til genkendelse af sårbarheder og den rolle, cloud-udbydere spiller for at holde sårbarheder på et minimum.

ISO 27001:2022 lægger stor vægt på sårbarhedshåndteringens rolle på andre områder (såsom forandringsledelse) og opfordrer til at tage en holistisk tilgang, der inkorporerer flere andre kontroller og informationssikkerhedsprocesser.

Tabel over alle ISO 27001:2022 bilag A kontroller

I tabellen nedenfor finder du mere information om hver enkelt person ISO 27001:2022 Bilag A Kontrollere.

Hvordan ISMS.online Hjælp

Vores platformen er brugervenlig og ligetil. Det er beregnet til alle i organisationen, ikke kun teknologikyndige mennesker. Vi anbefaler at inddrage personale fra alle niveauer af virksomheden i opbygning af dit ISMS da dette hjælper med at skabe et system, der holder.

Tag kontakt nu for at arrangere en demonstration.