Når cyberkriminelle kompromitterer computernetværk, tjenester eller enheder, begrænser de sig ikke til de kompromitterede aktiver.
De udnytter den indledende indtrængen til at infiltrere hele en organisations netværk, få adgang til følsomme informationsaktiver eller til at udføre ransomware-angreb.
For eksempel kan cyberkriminelle stjæle loginoplysningerne for HR-medarbejdere på et hospital efter et vellykket phishing-angreb og få adgang til menneskelige ressourcer.
De kan derefter bruge dette adgangspunkt til at bevæge sig sideværts på tværs af hele netværket og opdage netværk, der er vært for følsom patientinformation. Denne indtrængen kan resultere i kompromittering af informationsaktiver, udløse nedetid eller udsætte hospitalet for et ransomware-angreb.
Hvis hospitalet havde netværksadskillelsesteknikker såsom firewalls, virtuelle netværk eller serverisolering, ville det sandsynligvis forhindre ubudne gæster i at få adgang til følsomme informationsaktiver og minimere virkningen af bruddet.
Kontrol 8.22 omhandler, hvordan organisationer kan implementere og vedligeholde passende netværksadskillelsesteknikker for at eliminere risici for tilgængeligheden, integriteten og fortroligheden af informationsaktiver.
Kontrol 8.22 gør det muligt for organisationer at adskille deres computernetværk i undernetværk baseret på niveauet af følsomhed og kritikalitet og begrænse strømmen af trafik mellem disse forskellige undernetværk.
Dette hjælper organisationer med at forhindre spredning af malware eller vira fra kompromitterede netværk til andre netværk, der lagrer følsomme informationsaktiver.
Dette sikrer, at organisationer opretholder fortroligheden, integriteten og tilgængeligheden af informationsaktiver, der hostes på kritiske undernetværk.
Kontrol 8.22 er af forebyggende karakter, da det kræver, at organisationer tager en proaktiv tilgang og etablerer og implementerer regler, procedurer og passende teknikker til at adskille det større computernetværk i mindre netværksdomæner, så kompromittering af følsomme netværk kan forhindres.
| Kontrol type | Informationssikkerhedsegenskaber | Cybersikkerhedskoncepter | Operationelle evner | Sikkerhedsdomæner |
|---|---|---|---|---|
| #Forebyggende | #Fortrolighed #Integritet #Tilgængelighed | #Beskytte | #System- og netværkssikkerhed | #Beskyttelse |
I betragtning af at kontrol 8.22 indebærer segmentering af netværk, enheder og systemer baseret på niveauet af involverede risici og også implementeringen af netværksadskillelsesteknikker og -procedurer, bør en informationssikkerhedsofficer holdes ansvarlig for overholdelse.
Når de implementerer netværksadskillelsesforanstaltninger, bør organisationer forsøge at finde en balance mellem operationelle behov og sikkerhedshensyn.
Kontrol 8.22 lister tre anbefalinger, der bør tages i betragtning ved implementering af netværksadskillelse.
Når netværket adskilles i mindre netværksunderdomæner, bør organisationer overveje niveauet af følsomhed og kritik af hvert netværksdomæne. Afhængigt af denne analyse kan netværksunderdomæner tildeles til 'offentlige domæner', 'desktopdomæner', 'serverdomæner' eller 'højrisikosystemer'.
Ydermere kan organisationer også overveje forretningsafdelingerne såsom HR, marketing og økonomi, når de adskiller netværket.
Det bemærkes også, at organisationer kan kombinere disse to kriterier og tildele netværksunderdomæner i kategorier såsom 'serverdomæne, der forbinder til salgsafdeling'.
Organisationer bør definere perimeteren af hvert netværks underdomæne klart. Hvis der vil være adgang mellem to forskellige netværksdomæner, bør denne adgang begrænses på perimeterniveau via gatewayen såsom firewalls eller filtreringsroutere.
Organisationer bør vurdere sikkerhedskravene for hvert specifikt domæne, når de implementerer netværksadskillelse, og når de godkender adgang via gateways.
Denne vurdering bør udføres i overensstemmelse med adgangskontrolpolitikken som krævet under kontrol 5.15 og bør også overveje følgende:
I betragtning af, at det er en udfordring at definere netværkssikkerhedsparametre for trådløse netværk, anbefaler Control 8.22, at organisationer overholder følgende praksis:
Kontrol 8.22 bemærker, at organisationer ofte indgår forskellige forretningspartnerskaber med andre virksomheder og deler deres netværk, it-enheder og andre informationsfaciliteter.
Derfor kan følsomme netværk blive udsat for en øget risiko for uautoriseret adgang fra andre brugere, og organisationer bør træffe passende foranstaltninger for at forhindre denne risiko.
27002:2022/8.22 replaces 27002:2013/(13.1.3)
Mens 2022- og 2013-versionerne i høj grad ligner hinanden, er der en vigtig forskel.
I modsætning til 2013-versionen indeholder 2022-versionen følgende krav til trådløse netværk:
ISMS.Online giver dig mulighed for at:
ISMS.Online tilbyder et komplet udvalg af funktioner til at hjælpe organisationer og virksomheder med at opnå overholdelse af industristandarderne ISO 27001 og/eller ISO 27002 ISMS.
Kontakt os venligst i dag for at planlæg en demo.
Vi giver dig et forspring på 81 %
fra det øjeblik du logger ind
Book din demo
| ISO/IEC 27002:2022 kontrolidentifikator | ISO/IEC 27002:2013 Kontrolidentifikator | Kontrolnavn |
|---|---|---|
| 5.7 | Ny | Trusselsintelligens |
| 5.23 | Ny | Informationssikkerhed til brug af cloud-tjenester |
| 5.30 | Ny | IKT-parathed til forretningskontinuitet |
| 7.4 | Ny | Fysisk sikkerhedsovervågning |
| 8.9 | Ny | Konfigurationsstyring |
| 8.10 | Ny | Sletning af oplysninger |
| 8.11 | Ny | Datamaskering |
| 8.12 | Ny | Forebyggelse af datalækage |
| 8.16 | Ny | Overvågning af aktiviteter |
| 8.23 | Ny | Webfiltrering |
| 8.28 | Ny | Sikker kodning |
| ISO/IEC 27002:2022 kontrolidentifikator | ISO/IEC 27002:2013 Kontrolidentifikator | Kontrolnavn |
|---|---|---|
| 6.1 | 07.1.1 | Screening |
| 6.2 | 07.1.2 | Vilkår og betingelser for ansættelse |
| 6.3 | 07.2.2 | Informationssikkerhedsbevidsthed, uddannelse og træning |
| 6.4 | 07.2.3 | Disciplinær proces |
| 6.5 | 07.3.1 | Ansvar efter opsigelse eller ændring af ansættelsesforhold |
| 6.6 | 13.2.4 | Aftaler om fortrolighed eller tavshedspligt |
| 6.7 | 06.2.2 | Fjernbetjening |
| 6.8 | 16.1.2, 16.1.3 | Informationssikkerhedshændelsesrapportering |
| ISO/IEC 27002:2022 kontrolidentifikator | ISO/IEC 27002:2013 Kontrolidentifikator | Kontrolnavn |
|---|---|---|
| 7.1 | 11.1.1 | Fysiske sikkerhedsomkredse |
| 7.2 | 11.1.2, 11.1.6 | Fysisk adgang |
| 7.3 | 11.1.3 | Sikring af kontorer, lokaler og faciliteter |
| 7.4 | Ny | Fysisk sikkerhedsovervågning |
| 7.5 | 11.1.4 | Beskyttelse mod fysiske og miljømæssige trusler |
| 7.6 | 11.1.5 | Arbejde i sikre områder |
| 7.7 | 11.2.9 | Overskueligt skrivebord og klar skærm |
| 7.8 | 11.2.1 | Udstyrsplacering og beskyttelse |
| 7.9 | 11.2.6 | Sikkerhed af aktiver uden for lokalerne |
| 7.10 | 08.3.1, 08.3.2, 08.3.3, 11.2.5 | Lagermedier |
| 7.11 | 11.2.2 | Understøttende hjælpeprogrammer |
| 7.12 | 11.2.3 | Kabler sikkerhed |
| 7.13 | 11.2.4 | Vedligeholdelse af udstyr |
| 7.14 | 11.2.7 | Sikker bortskaffelse eller genbrug af udstyr |
