Operationel software kan i store træk beskrives som ethvert stykke software, som virksomheden aktivt bruger til at udføre sin drift, til forskel fra testsoftware eller udviklingsprojekter.
Det er meget vigtigt at sikre, at software installeres og administreres på et givent netværk i overensstemmelse med et strengt sæt regler og krav, der minimerer risikoen, forbedrer effektiviteten og opretholder sikkerheden inden for interne og eksterne netværk og tjenester.
Kontrol 8.19 er en forebyggende kontrol at fastholder risiko ved at etablere et sæt regler, der regulerer installation af software på driftssystemer.
| Kontrol type | Informationssikkerhedsegenskaber | Cybersikkerhedskoncepter | Operationelle evner | Sikkerhedsdomæner |
|---|---|---|---|---|
| #Forebyggende | #Fortrolighed #Integritet #Tilgængelighed | #Beskytte | #Sikker konfiguration #Applikationssikkerhed | #Beskyttelse |
Kontrol 8.19 omhandler tekniske begreber vedrørende vedligeholdelse og styring af operationelle computersystemer. Som sådan bør ejerskabet ligge hos IT-chefen eller tilsvarende organisatorisk.
For at kunne administrere ændringer og installationer på deres netværk sikkert bør organisationer:
Når det drejer sig om leverandørleveret software (f.eks. enhver software, der bruges til drift af maskiner eller til en skræddersyet forretningsfunktion), bør sådan software altid holdes i god stand ved at henvise til leverandørens retningslinjer for sikker og sikker drift.
Det er vigtigt at bemærke, at selv hvor software eller softwaremoduler er eksternt leveret og administreret (dvs. organisationen er ikke ansvarlig for nogen opdateringer), bør der tages skridt til at sikre, at tredjepartsopdateringer ikke går på kompromis med integriteten af organisationens netværk.
Organisationer bør undgå at bruge ikke-understøttet leverandørsoftware, medmindre det er absolut nødvendigt, og overveje de tilhørende sikkerhedsrisici ved at bruge overflødige applikationer i modsætning til en opgradering til nyere og mere sikre systemer.
Hvis en leverandør kræver adgang til en organisations netværk for at udføre en installation eller opdatering, bør aktiviteten overvåges og valideres i overensstemmelse med alle relevante autorisationsprocedurer (se kontrol 5.22).
Software bør opgraderes, installeres og/eller patches i overensstemmelse med organisationens offentliggjorte ændringsstyringsprocedurer for at sikre ensartethed med andre områder af virksomheden.
Når der identificeres en patch, der enten fuldstændig eliminerer en sårbarhed (eller en række sårbarheder) eller på nogen måde hjælper med at forbedre organisationens informationssikkerhedsdrift, bør sådanne ændringer næsten altid anvendes (selvom der stadig er behov for at vurdere sådanne ændringer på fra sag til sag).
Hvor der opstår behov for at bruge open source-software, bør denne altid være af den seneste offentligt tilgængelige version, der vedligeholdes aktivt. Derfor bør organisationer overveje de iboende risici ved at bruge ikke-vedligeholdt software inden for alle forretningsfunktioner.
ISO 27002:2022-8.19 erstatter ISO 27002:2003-12.5.1 (Installation af software på driftssystemer) og 12.6.2 (Restrictions on software installation).
27002:2022-8.19 er en sammenlægning af de fleste af de råd, der er indeholdt i 27002:2003-12.5.1 og 12.6.2, med flere nøglebegreber kort udvidet og med tilføjelse af nogle nye styrende principper:
ISMS.Online er en komplet løsning til ISO 27002 implementering. Det er et webbaseret system, der giver dig mulighed for at vise, at dit informationssikkerhedsstyringssystem (ISMS) er i overensstemmelse med de godkendte standarder ved hjælp af gennemtænkte processer, procedurer og tjeklister.
Det er ikke kun en brugervenlig platform til at administrere din ISO 27002-implementering, men også et fremragende værktøj til at træne dit personale i bedste praksis og processer for informationssikkerhed samt dokumentere alle dine anstrengelser.
Fordelene ved at bruge ISMS.Online:
Kontakt i dag for book en demo.
Vi giver dig et forspring på 81 %
fra det øjeblik du logger ind
Book din demo
| ISO/IEC 27002:2022 kontrolidentifikator | ISO/IEC 27002:2013 Kontrolidentifikator | Kontrolnavn |
|---|---|---|
| 5.7 | Ny | Trusselsintelligens |
| 5.23 | Ny | Informationssikkerhed til brug af cloud-tjenester |
| 5.30 | Ny | IKT-parathed til forretningskontinuitet |
| 7.4 | Ny | Fysisk sikkerhedsovervågning |
| 8.9 | Ny | Konfigurationsstyring |
| 8.10 | Ny | Sletning af oplysninger |
| 8.11 | Ny | Datamaskering |
| 8.12 | Ny | Forebyggelse af datalækage |
| 8.16 | Ny | Overvågning af aktiviteter |
| 8.23 | Ny | Webfiltrering |
| 8.28 | Ny | Sikker kodning |
| ISO/IEC 27002:2022 kontrolidentifikator | ISO/IEC 27002:2013 Kontrolidentifikator | Kontrolnavn |
|---|---|---|
| 6.1 | 07.1.1 | Screening |
| 6.2 | 07.1.2 | Vilkår og betingelser for ansættelse |
| 6.3 | 07.2.2 | Informationssikkerhedsbevidsthed, uddannelse og træning |
| 6.4 | 07.2.3 | Disciplinær proces |
| 6.5 | 07.3.1 | Ansvar efter opsigelse eller ændring af ansættelsesforhold |
| 6.6 | 13.2.4 | Aftaler om fortrolighed eller tavshedspligt |
| 6.7 | 06.2.2 | Fjernbetjening |
| 6.8 | 16.1.2, 16.1.3 | Informationssikkerhedshændelsesrapportering |
| ISO/IEC 27002:2022 kontrolidentifikator | ISO/IEC 27002:2013 Kontrolidentifikator | Kontrolnavn |
|---|---|---|
| 7.1 | 11.1.1 | Fysiske sikkerhedsomkredse |
| 7.2 | 11.1.2, 11.1.6 | Fysisk adgang |
| 7.3 | 11.1.3 | Sikring af kontorer, lokaler og faciliteter |
| 7.4 | Ny | Fysisk sikkerhedsovervågning |
| 7.5 | 11.1.4 | Beskyttelse mod fysiske og miljømæssige trusler |
| 7.6 | 11.1.5 | Arbejde i sikre områder |
| 7.7 | 11.2.9 | Overskueligt skrivebord og klar skærm |
| 7.8 | 11.2.1 | Udstyrsplacering og beskyttelse |
| 7.9 | 11.2.6 | Sikkerhed af aktiver uden for lokalerne |
| 7.10 | 08.3.1, 08.3.2, 08.3.3, 11.2.5 | Lagermedier |
| 7.11 | 11.2.2 | Understøttende hjælpeprogrammer |
| 7.12 | 11.2.3 | Kabler sikkerhed |
| 7.13 | 11.2.4 | Vedligeholdelse af udstyr |
| 7.14 | 11.2.7 | Sikker bortskaffelse eller genbrug af udstyr |
