ISO 27002:2022 – Kontrol 8.19 – Installation af software på operationelle systemer

Formål med kontrol 8.19

Operationel software kan i store træk beskrives som ethvert stykke software, som virksomheden aktivt bruger til at udføre sin drift, til forskel fra testsoftware eller udviklingsprojekter.

Det er meget vigtigt at sikre, at software installeres og administreres på et givent netværk i overensstemmelse med et strengt sæt regler og krav, der minimerer risikoen, forbedrer effektiviteten og opretholder sikkerheden inden for interne og eksterne netværk og tjenester.

Attributter Kontroltabel 8.19

Kontrol 8.19 er en forebyggende kontrol at fastholder risiko ved at etablere et sæt regler, der regulerer installation af software på driftssystemer.

Ejerskab af kontrol 8.19

Kontrol 8.19 omhandler tekniske begreber vedrørende vedligeholdelse og styring af operationelle computersystemer. Som sådan bør ejerskabet ligge hos IT-chefen eller tilsvarende organisatorisk.

Generel vejledning om overholdelse

For at kunne administrere ændringer og installationer på deres netværk sikkert bør organisationer:

1. Sørg for, at softwareopdateringer kun udføres af uddannet og kompetent personale (se Kontrol 8.5).
2. Installer kun robust eksekverbar kode, der er fri for fejl og sikkert har forladt udviklingsstadiet.
3. Installer og/eller opdater først software, efter at opdateringen eller patchen er blevet testet med succes, og organisationen er overbevist om, at der ikke vil opstå konflikter eller fejl.
4. Vedligeholde et opdateret bibliotekssystem.
5. Brug et 'konfigurationskontrolsystem', der styrer alle forekomster af operationel software, inklusive programdokumentation.
6. Aftal en 'tilbageføringsstrategi' forud for eventuelle opdateringer eller installationer for at sikre forretningskontinuitet i tilfælde af en uforudset fejl eller konflikt.
7. Før en log over eventuelle opdateringer udført til operationel software, herunder en oversigt over opdateringen, det involverede personale og et tidsstempel.
8. Sørg for, at ubrugt software – inklusive al dokumentation, konfigurationsfiler, systemlogfiler, understøttende procedurer – opbevares sikkert til videre brug, hvis behovet skulle opstå.
9. Håndhæve et strengt sæt regler for typen af ​​softwarepakker, som brugerne kan installere, baseret på principperne om 'mindst privilegeret' og i overensstemmelse med relevante roller og ansvar.

Vejledning – Leverandørsoftware

Når det drejer sig om leverandørleveret software (f.eks. enhver software, der bruges til drift af maskiner eller til en skræddersyet forretningsfunktion), bør sådan software altid holdes i god stand ved at henvise til leverandørens retningslinjer for sikker og sikker drift.

Det er vigtigt at bemærke, at selv hvor software eller softwaremoduler er eksternt leveret og administreret (dvs. organisationen er ikke ansvarlig for nogen opdateringer), bør der tages skridt til at sikre, at tredjepartsopdateringer ikke går på kompromis med integriteten af ​​organisationens netværk.

Organisationer bør undgå at bruge ikke-understøttet leverandørsoftware, medmindre det er absolut nødvendigt, og overveje de tilhørende sikkerhedsrisici ved at bruge overflødige applikationer i modsætning til en opgradering til nyere og mere sikre systemer.

Hvis en leverandør kræver adgang til en organisations netværk for at udføre en installation eller opdatering, bør aktiviteten overvåges og valideres i overensstemmelse med alle relevante autorisationsprocedurer (se kontrol 5.22).

Supplerende vejledning om kontrol 8.19

Software bør opgraderes, installeres og/eller patches i overensstemmelse med organisationens offentliggjorte ændringsstyringsprocedurer for at sikre ensartethed med andre områder af virksomheden.

Når der identificeres en patch, der enten fuldstændig eliminerer en sårbarhed (eller en række sårbarheder) eller på nogen måde hjælper med at forbedre organisationens informationssikkerhedsdrift, bør sådanne ændringer næsten altid anvendes (selvom der stadig er behov for at vurdere sådanne ændringer på fra sag til sag).

Hvor der opstår behov for at bruge open source-software, bør denne altid være af den seneste offentligt tilgængelige version, der vedligeholdes aktivt. Derfor bør organisationer overveje de iboende risici ved at bruge ikke-vedligeholdt software inden for alle forretningsfunktioner.

Understøttende kontroller

• 5.22
• 8.5

Ændringer og forskelle fra ISO 27002:2013

ISO 27002:2022-8.19 erstatter ISO 27002:2003-12.5.1 (Installation af software på driftssystemer) og 12.6.2 (Restrictions on software installation).

27002:2022-8.19 er en sammenlægning af de fleste af de råd, der er indeholdt i 27002:2003-12.5.1 og 12.6.2, med flere nøglebegreber kort udvidet og med tilføjelse af nogle nye styrende principper:

• Vedligeholdelse af et bibliotekssystem.
• Regler for brug af open source-software.
• Tættere logiske kontroller på installation og vedligeholdelse af leverandørsoftware.

Nye ISO 27002 kontroller

Hvordan ISMS.online hjælper

ISMS.Online er en komplet løsning til ISO 27002 implementering. Det er et webbaseret system, der giver dig mulighed for at vise, at dit informationssikkerhedsstyringssystem (ISMS) er i overensstemmelse med de godkendte standarder ved hjælp af gennemtænkte processer, procedurer og tjeklister.

Det er ikke kun en brugervenlig platform til at administrere din ISO 27002-implementering, men også et fremragende værktøj til at træne dit personale i bedste praksis og processer for informationssikkerhed samt dokumentere alle dine anstrengelser.

Fordelene ved at bruge ISMS.Online:

• Nem at bruge online platform, der kan tilgås fra enhver enhed.
• Det kan tilpasses fuldstændigt til dine behov.
• Tilpasselige arbejdsgange og processer, der passer til din virksomheds behov.
• Træningsværktøjer til at hjælpe nyansatte med at komme hurtigere op i fart.
• Et bibliotek med skabeloner til dokumenter såsom politikker, procedurer, planer og tjeklister.

Kontakt i dag for book en demo.