ISO 27002:2022 – Kontrol 8.21 – Sikkerhed for netværkstjenester

Formål med kontrol 8.21

Inden for databehandling kan en 'netværkstjeneste' i store træk beskrives som et system, der kører på 'netværksapplikationslaget', som f.eks. e-mail, trykning, Eller en filserver. Netværkstjenester omfatter også administrerede applikationer og sikkerhedsløsninger som f.eks firewalls eller gateway antivirus platforme, systemer til registrering af indtrængen og forbindelsestjenester.

Netværkstjenester repræsenterer ofte de vigtigste funktionelle dele af et netværk og er afgørende for den daglige drift af et moderne kommercielt IKT-netværk. Sikkerhed er derfor altafgørende, og brugen af ​​netværkstjenester skal overvåges nøje og styres direkte for at minimere den tilknyttede risiko for fejl, indbrud og forretningsforstyrrelser.

Attributter Kontroltabel 8.21

Kontrol 8.21 er en forebyggende kontrol at fastholder risiko ved at etablere et sæt regler, der regulerer brugen af ​​både netværkstjenester og, ved tilknytning, selve værtsnetværket.

Ejerskab af kontrol 8.21

Kontrol 8.21 omhandler tekniske begreber vedrørende vedligeholdelse og styring af flere nøglekomponenter i en organisations IKT-netværk. Som sådan bør ejerskabet ligge hos IT-chefen eller tilsvarende organisatorisk.

Generel vejledning om overholdelse

Kontrol 8.21 identificerer tre hovedsikkerhedstyper, når de adresserer det bredere koncept for netværkstjenestesikkerhed:

1. Sikkerhedsfunktioner
2. Serviceniveauer
3. Servicekrav

Disse tre foranstaltninger bør tages i betragtning af alle interne og eksterne netværkstjenesteudbydere, og organisationen bør tage skridt til at sikre, at udbyderne til enhver tid opfylder deres forpligtelser.

Organisationer bør bedømme en netværkstjenesteudbyder på deres evne til at administrere tjenester som dikteret af et utvetydigt sæt SLA'er og overvåge overholdelse efter bedste evne.

En del af denne operationelle vurdering bør omfatte referencer opnået fra pålidelige kilder, der attesterer en netværkstjenesteudbyders evne til at administrere tjenester på en sikker og effektiv måde.

Netværkssikkerhedsregler bør omfatte:

1. Alle netværkstjenester og tilknyttede netværk, der er tilladt at få adgang til.
2. Godkendelseskravene for at få adgang til nævnte netværkstjenester, herunder hvem der har tilladelse til at få adgang til dem, hvorfra og hvornår de er i stand til at gøre det.
3. Hvordan personale opnår forudgående tilladelse til at få adgang til netværkstjenester, herunder endelig sign-off og business case-analyse.
4. Et robust sæt netværksstyringskontroller, der sikrer netværkstjenester mod misbrug og uautoriseret adgang.
5. Hvordan personale får adgang til netværkstjenester (dvs. eksternt eller udelukkende på stedet).
6. Logningsprocedurer, der detaljerer nøgleoplysninger om adgang til netværkstjenester og det personale, der bruger dem – f.eks. tid, sted og enhedsdata.
7. Overvågning af brugen af ​​netværkstjenester.

Vejledning – Netværkstjenestesikkerhed

Control 8.21 indeholder også vejledningsnoter om, hvordan man øger sikkerheden på tværs af alle netværkstjenester, inklusive back-end-funktionalitet og brugerbetjening.

• Organisationer bør overveje sikkerhedsfunktioner som f.eks autentificering, kryptering og forbindelseskontrol.
• Der bør etableres stive parametre, der dikterer forbindelsen til netværkstjenester.
• Brugere bør være i stand til at vælge mængden af ​​data, der cachelagres (midlertidigt lagret) af en netværkstjeneste for både at øge den samlede ydeevne og sikre, at data ikke lagres for meget, så det udgør en håndgribelig sikkerhedsrisiko.
• Begrænsning af adgang til netværkstjenester.

Ændringer og forskelle fra ISO 27002:2013

ISO 27002:2022-8.21 erstatter ISO 27002:2003-13.1.2 (Netværkstjenesternes sikkerhed).

27002:2022-8.21 indeholder flere vigtige tilføjelser til sin modstykke fra 2013, hvor sidstnævnte udelukkende fokuserer på netværkstjenestesikkerhed (som indeholder det samme sæt vejledningsnoter) og udelader enhver generel vejledning om netværksregler (se punkt 1-7 ovenfor under "Generel vejledning").

Nye ISO 27002 kontroller

Hvordan ISMS.online hjælper

ISO 27002-standarden er et sæt retningslinjer, der hjælper organisationer med at beskytte deres informationsaktiver. Det gælder for alle typer organisationer, uanset deres størrelse, struktur eller branche.

ISMS.online er en cloud-baseret platform, der tilbyder assistance til at implementere ISO 27002-standarden effektivt og omkostningseffektivt.

Det giver organisationer let adgang til ajourførte oplysninger om deres overholdelsesstatus til enhver tid gennem dens brugervenlige dashboard-grænseflade, som giver ledere mulighed for at overvåge deres fremskridt i retning af at opnå overholdelse hurtigt og nemt.

Kontakt os i dag for planlæg en demo.