ISO 27001:2022 Bilag A 8.9 – Konfigurationsstyring

• Se ISO 27002:2022 Kontrol 8.9 for mere information.

Formål med ISO 27001:2022 bilag A 8.9

Konfigurationer, enten som en individuel konfigurationsfil eller en samling af konfigurationer forbundet med hinanden, bestemmer, hvordan hardware, software og netværk administreres.

Som et eksempel vil en firewalls konfigurationsfil indeholde de basislinjeattributter, som enheden bruger til at styre den trafik, der kommer ind i og forlader en organisations netværk, såsom blokeringslister, portvideresendelse, virtuelle LAN'er og VPN-oplysninger.

Konfigurationsstyring udgør en væsentlig del af enhver organisations formueforvaltning strategi. Konfigurationer er afgørende for at sikre, at et netværk kører, som det skal, og for at beskytte enheder mod ikke-godkendte ændringer eller upassende ændringer fra vedligeholdelsespersonale og/eller leverandører.

Ejerskab af bilag A 8.9

Konfigurationsstyring er en administrativ opgave dedikeret til at vedligeholde og observere aktivrelaterede data og information, der findes på forskellige enheder og applikationer. Derfor bør ejerskabet være i hænderne på Leder af it eller tilsvarende.

Vejledning om ISO 27001:2022 Bilag A 8.9 Overholdelse

Organisationer skal udarbejde og implementere konfigurationsstyringspolitikker for både nye og eksisterende systemer og hardware. Intern kontrol bør omfatte nøgleelementer såsom sikkerhedskonfigurationer, hardware med konfigurationsfiler og enhver relevant software eller systemer.

ISO 27001: 2022 Bilag A 8.9 kræver, at organisationer overvejer alle relevante roller og pligter, når de etablerer en konfigurationspolitik, herunder tildeling af ejerskab af konfigurationer på en enhed-for-enhed eller applikation-for-applikation basis.

Vejledning om standardskabeloner

Organisationer bør stræbe efter at bruge standardiserede skabeloner til at sikre al hardware, software og systemer, når det er praktisk muligt. Disse skabeloner skal:

• Forsøg på at bruge frit tilgængelige leverandørspecifikke og open source-instruktioner til optimalt at konfigurere hardware- og softwareaktiver.
• Sørg for, at enheden, applikationen eller systemet overholder minimumssikkerhedskravene.
• Samarbejde med virksomhedens større informationssikkerhed aktiviteter, herunder alle gældende ISO-regler.
• Tag højde for organisationens særlige forretningsbehov – især med hensyn til sikkerhedsindstillinger – samt muligheden for at anvende eller administrere en skabelon til enhver tid.
• Gennemgå med jævne mellemrum system- og hardwareopdateringer og eventuelle aktuelle sikkerhedstrusler for at sikre optimal ydeevne.

Vejledning om sikkerhedskontrol

Sikkerhed er af største vigtighed, når du anvender konfigurationsskabeloner eller ændrer eksisterende i overensstemmelse med vejledningen nævnt ovenfor.

Når de overvejer skabeloner, der skal implementeres på tværs af virksomheden, bør organisationer stræbe efter at reducere potentielle informationssikkerhedsrisici ved at:

• Begræns mængden af ​​personale med administrativ myndighed til den mindst mulige mængde.
• Deaktiver eventuelle identiteter, der ikke bruges eller ikke er nødvendige.
• Spor adgang til vedligeholdelsesprogrammer, hjælpeprogrammer og interne indstillinger omhyggeligt.
• Sørg for, at ure er koordineret til at registrere konfiguration nøjagtigt og hjælpe eventuelle fremtidige sonder.
• Skift med det samme alle standardadgangskoder eller sikkerhedsindstillinger, der følger med enhver enhed, tjeneste eller program.
• Implementer en forudindstillet log-off-periode for alle enheder, systemer eller applikationer, der har været inaktive i en forudbestemt tidsramme.
• Sikre overholdelse af ISO 27001:2022 Annex A 5.32 for at garantere, at alle licenskrav er blevet opfyldt.

Vejledning om styring og overvågning af konfigurationer

Organisationen er forpligtet til at bevare og registrere konfigurationer sammen med en historik over eventuelle ændringer eller nye opsætninger i overensstemmelse med ISO 27001:2022 Annex A 8.32 Change Management-processen.

Logfiler skal indeholde oplysninger, der detaljer:

• Hvem har aktivet.
• Registrer tidspunktet for den seneste konfigurationsændring.
• Denne version af konfigurationsskabelonen, der er i kraft.
• Forklar alle data, der er relevante for aktivets tilknytning til konfigurationer på andre gadgets/systemer.

Organisationer bør anvende et bredt spektrum af metoder til at holde styr på, hvordan konfigurationsfiler fungerer på tværs af deres netværk, såsom:

• Automatisering.
• Specialiserede konfigurationsvedligeholdelsesprogrammer er tilgængelige til brug. Disse programmer muliggør effektiv og effektiv styring af indstillinger.
• Fjernsupportværktøjer, der automatisk udfylder konfigurationsdata for hver enhed.
• Enterprise enheds- og softwarestyringsværktøjer er skabt til at observere store mængder konfigurationsdata samtidigt.
• BUDR-softwaren leverer automatiske sikkerhedskopier af konfigurationer til et sikkert sted og kan eksternt eller på stedet gendanne skabeloner til enheder, der ikke fungerer korrekt eller kompromitteret.

Organisationer bør anvende specialiseret software til at overvåge eventuelle ændringer i en enheds konfiguration, og træffe hurtige handlinger for enten at godkende eller vende transformationen tilbage til dens oprindelige status.

Medfølgende bilag A kontrol

• ISO 27001:2022 Bilag A 5.32
• ISO 27001:2022 Bilag A 8.32

Ændringer og forskelle fra ISO 27001:2013

ISO 27001:2022 Bilag A 8.9 findes ikke i ISO 27001:2013, da det er en ny tilføjelse i 2022-revisionen.

Tabel over alle ISO 27001:2022 bilag A kontroller

I tabellen nedenfor finder du mere information om hver enkelt ISO 27001:2022 Bilag A Kontrollere.

Hvordan ISMS.online Hjælp

ISMS.Online giver en omfattende tilgang til ISO 27001 implementering. Det tilbyder en fuld-service pakke, der sikrer, at hele processen håndteres hurtigt og effektivt. Det giver alle de nødvendige værktøjer, ressourcer og vejledning for at gøre det muligt for organisationer at implementere standarden med tillid.

Dette webbaserede system giver dig mulighed for at demonstrere, at din Information Security Management System (ISMS) lever op til de accepterede standarder, med velovervejede processer, procedurer og tjeklister.

Kontakt os nu for at arrangere en demonstration.