ISO 27002:2022 – Kontrol 8.16 – Overvågning af aktiviteter

Formål med kontrol 8.16

Netværksovervågning er hjørnestenen i enhver succesfuld it-support og informationssikkerhedsdrift.

Det er meget vigtigt for organisationer at fremme en proaktiv tilgang til overvågning, der søger at forhindre hændelser, før de sker, og arbejder sammen med reaktive bestræbelser på at danne en end-to-end informationssikkerheds- og hændelsesløsningsstrategi, der sætter kryds ved hver sidste boks.

Attributter Kontroltabel 8.16

Kontrol 8.16 er et dobbelt formål detektiv og korrigerende kontrollere det ændrer risikoen ved at optimere overvågningsaktiviteter for at identificere unormal adfærd og hjælper med hurtig analyse af informationssikkerhedshændelser og hændelser.

Ejerskab af kontrol 8.16

Kontrol 8.16 omhandler IKT-operationer, der udføres ved hjælp af systemadministratoradgang og falder ind under paraplyen netværksstyring og vedligeholdelse.

Som sådan bør ejerskabet af Kontrol 8.16 ligge hos IT-chefen eller tilsvarende organisatorisk.

Generel vejledning om overholdelse

Overvågning bør først og fremmest udføres i overensstemmelse med eventuelle lovgivningsmæssige krav eller gældende lovgivning, og alle optegnelser opbevares i overensstemmelse med virksomhedens opbevaringspolitik.

Mistænkte hændelser bør rapporteres til alt relevant personale for at opretholde netværkets integritet og forbedre forretningskontinuiteten sammen med følgende processer (se kontrol 5.25):

• Revision
• Sikkerhed og risikovurdering
• Sårbarhedsscanning
• Overvågning

Organisationer bør inkludere følgende i deres overvågningsoperationer:

1. Både indgående og udgående netværkstrafik, herunder data til og fra applikationer
2. Adgang til forretningskritiske platforme, herunder (men ikke begrænset til):
• Systemer
• Servere
• Netværkshardware
• Selve overvågningssystemet
3. Konfigurationsfiler
4. Hændelseslogfiler fra sikkerhedsudstyr og softwareplatforme
5. Kodetjek der sikrer, at alle eksekverbare programmer er både autoriserede og tempererede
6. Beregning, lagring og netværk ressource brug

Vejledning – Adfærdsanalyse

Organisationer bør opnå en solid forståelse af normal brugeraktivitet og netværksadfærd, og brug dette som en baseline at identificere unormal adfærd på tværs af netværket, herunder:

1. Pludselig lukning eller afslutning af processer og ansøgninger
2. Netværkstrafik, der genkendes som værende til og/eller fra problematiske IP-adresser og/eller eksterne domæner
3. Velkendte indtrængningsmetoder (f.eks. DDoS)
4. Ondsindet systemadfærd (f.eks. nøglelogning)
5. Netværksflaskehalse og høje ping- og/eller latenstider
6. Uautoriseret eller uforklarlig adgang til og/eller scanning af data, domæner eller applikationer
7. Ethvert forsøg på at få adgang til forretningskritiske IKT-ressourcer (f.eks. domænecontrollere, DNS-servere, filservere og webportaler)

For at etablere en vellykket baseline bør organisationer overvåge netværksudnyttelse og adgangstider på normale arbejdsniveauer.

Vejledning – Overvågningsværktøjer

Organisationerne bør optimere sin overvågningsindsats ved hjælp af specialiserede overvågningsværktøjer, der er egnede til den type netværk og trafik, som de håndterer på daglig basis.

Overvågningsværktøjer skal kunne:

1. Håndtere store mængder overvågningsdata
2. Reager på mistænkte data, trafik- og brugeradfærdsmønstre og enkeltstående aktiviteter
3. Ændre eventuelle overvågningsaktiviteter for at reagere på forskellige risikoniveauer
4. Underret organisationer om uregelmæssig aktivitet i realtid gennem en række proaktive advarsler, der indeholder en minimal mængde falske positiver (se kontrol 5.26)
5. Stol på et passende niveau af applikationsredundans for at opretholde en kontinuerlig overvågningsdrift

Vejledning – Sikkerhedsovervågning

Sikkerhedsovervågning bør optimeres gennem:

1. Dedikerede trusselsefterretningssystemer (se kontrol 5.7) og platforme til beskyttelse mod indtrængen
2. Maskinlæringsplatforme
3. Hvidlister, sortlister, blokeringslister og tilladelseslister på IP-administrationsplatforme og e-mailsikkerhedssoftware
4. Kombinere logning og overvågningsaktiviteter i én ende-til-ende tilgang
5. En dedikeret tilgang til velkendte indtrængningsmetoder og ondsindet aktivitet, såsom brug af botnets eller lammelsesangreb

Understøttende kontroller

• 5.25
• 5.26
• 5.7

Ændringer og forskelle fra ISO 27002:2013

ISO 27002:2022-8.16 er en ny kontrol, der ikke er med i ISO 27002:2003.

Nye ISO 27002 kontroller

Hvordan ISMS.online hjælper

ISMS.online gør implementeringen af ​​ISO 27002 nemmere ved at levere et sæt værktøjer til at hjælpe dig med at administrere informationssikkerheden i din organisation. Det vil hjælpe dig med at identificere risici og udvikle kontroller for at mindske disse risici og derefter vise dig, hvordan du implementerer dem i organisationen.

Kontakt os i dag for book en demo.