Hvis medarbejdere besøger websteder med ondsindet indhold, kan dette udsætte virksomhedens netværk og informationssystemer for sikkerhedsrisici såsom malware-angreb.
For eksempel kan cyberangribere sende en phishing-e-mail til en medarbejders arbejds-e-mail, overtale ham til at klikke på et link og besøge et websted. Når medarbejderen besøger denne hjemmeside, uploader de muligvis automatisk malware på medarbejderens enhed og infiltrerer derefter virksomhedens netværk. Denne type angreb kaldes drive-by download og det downloader automatisk malware, når en medarbejder besøger et websted.
Derfor bør organisationer indføre passende webfiltreringskontroller for at begrænse og kontrollere adgangen til eksterne websteder og forhindre sikkerhedstrusler.
Kontrol 8.23 gør det muligt for organisationer at eliminere sikkerhedsrisici såsom malwareinfektion, der kan opstå som følge af adgang til eksterne websteder med skadeligt indhold.
Kontrol 8.23 er en forebyggende form for kontrol, der kræver, at organisationer indfører passende adgangskontroller og foranstaltninger til at forhindre adgang til ondsindet indhold på eksterne websteder.
| Kontrol type | Informationssikkerhedsegenskaber | Cybersikkerhedskoncepter | Operationelle evner | Sikkerhedsdomæner |
|---|---|---|---|---|
| #Forebyggende | #Fortrolighed #Integritet #Tilgængelighed | #Beskytte | #System- og netværkssikkerhed | #Beskyttelse |
I betragtning af, at 8.28 involverer identifikation af højrisiko-eksterne websteder og design og implementering af passende adgangs- og webfiltreringskontroller, bør informationssikkerhedschefen være ansvarlig for at tage passende skridt til overholdelse.
Organisationer bør etablere og implementere nødvendige kontroller for at forhindre medarbejdere i at få adgang til eksterne websteder, der kan indeholde vira, phishing-materiale eller andre former for ulovlig information.
En effektiv teknik til at forhindre adgang til farlige eksterne websteder er at blokere IP-adressen eller domænet på websteder, der er identificeret som farlige. For eksempel gør nogle browsere og anti-malware-værktøjer det muligt for organisationer at gøre dette automatisk.
Kontrol 8.23 bemærker, at organisationer bør bestemme, hvilke typer websteder der ikke skal tilgås af medarbejderne.
Især skal følgende typer websteder blokeres:
Før design og implementering af denne kontrol, rådes organisationer til at indføre regler for sikker og passende adgang til og brug af onlineressourcer. Dette bør også omfatte at pålægge begrænsninger på websteder, der indeholder upassende materialer.
Disse regler bør revideres og opdateres med jævne mellemrum.
Kontrol 8.23 kræver, at alt personale skal have undervisning i, hvordan man får adgang til og bruger onlineressourcer sikkert.
Denne uddannelse bør dække organisationens egne regler og bør omhandle, hvordan personalet kan rejse deres sikkerhedsproblemer ved at kontakte den relevante person i organisationen.
Desuden bør uddannelse også omhandle, hvordan personale kan få adgang til begrænsede websteder af gyldige forretningsmæssige årsager, og hvordan denne undtagelsesproces fungerer for sådan adgang.
Sidst, men ikke mindst, bør træningen omhandle browserrådgivning, der advarer brugere om, at et websted ikke er sikkert, men som tillader brugere at fortsætte. Personalet bør instrueres i ikke at ignorere sådanne advarsler.
Der er en række forskellige webfiltreringsteknikker, såsom:
27002:2022/8.23 er en ny type kontrol.
Du kan overvåge og administrere alle aspekter af din ISO 27002-overholdelsesrejse fra ét sted – revisionsstyring, gapanalyse, træningsstyring, risikovurdering osv.
Det giver en nem at bruge, integreret løsning, der kan tilgås 24/7 via enhver enhed med internetforbindelse. Platformen giver alle medarbejdere mulighed for at arbejde problemfrit og sikkert sammen for at håndtere sikkerhedsrisici og spore organisationens overholdelse, samt rejsen mod ISO 27001-certificering.
Kontakt i dag for book en demo.
Vi giver dig et forspring på 81 %
fra det øjeblik du logger ind
Book din demo
| ISO/IEC 27002:2022 kontrolidentifikator | ISO/IEC 27002:2013 Kontrolidentifikator | Kontrolnavn |
|---|---|---|
| 5.7 | Ny | Trusselsintelligens |
| 5.23 | Ny | Informationssikkerhed til brug af cloud-tjenester |
| 5.30 | Ny | IKT-parathed til forretningskontinuitet |
| 7.4 | Ny | Fysisk sikkerhedsovervågning |
| 8.9 | Ny | Konfigurationsstyring |
| 8.10 | Ny | Sletning af oplysninger |
| 8.11 | Ny | Datamaskering |
| 8.12 | Ny | Forebyggelse af datalækage |
| 8.16 | Ny | Overvågning af aktiviteter |
| 8.23 | Ny | Webfiltrering |
| 8.28 | Ny | Sikker kodning |
| ISO/IEC 27002:2022 kontrolidentifikator | ISO/IEC 27002:2013 Kontrolidentifikator | Kontrolnavn |
|---|---|---|
| 6.1 | 07.1.1 | Screening |
| 6.2 | 07.1.2 | Vilkår og betingelser for ansættelse |
| 6.3 | 07.2.2 | Informationssikkerhedsbevidsthed, uddannelse og træning |
| 6.4 | 07.2.3 | Disciplinær proces |
| 6.5 | 07.3.1 | Ansvar efter opsigelse eller ændring af ansættelsesforhold |
| 6.6 | 13.2.4 | Aftaler om fortrolighed eller tavshedspligt |
| 6.7 | 06.2.2 | Fjernbetjening |
| 6.8 | 16.1.2, 16.1.3 | Informationssikkerhedshændelsesrapportering |
| ISO/IEC 27002:2022 kontrolidentifikator | ISO/IEC 27002:2013 Kontrolidentifikator | Kontrolnavn |
|---|---|---|
| 7.1 | 11.1.1 | Fysiske sikkerhedsomkredse |
| 7.2 | 11.1.2, 11.1.6 | Fysisk adgang |
| 7.3 | 11.1.3 | Sikring af kontorer, lokaler og faciliteter |
| 7.4 | Ny | Fysisk sikkerhedsovervågning |
| 7.5 | 11.1.4 | Beskyttelse mod fysiske og miljømæssige trusler |
| 7.6 | 11.1.5 | Arbejde i sikre områder |
| 7.7 | 11.2.9 | Overskueligt skrivebord og klar skærm |
| 7.8 | 11.2.1 | Udstyrsplacering og beskyttelse |
| 7.9 | 11.2.6 | Sikkerhed af aktiver uden for lokalerne |
| 7.10 | 08.3.1, 08.3.2, 08.3.3, 11.2.5 | Lagermedier |
| 7.11 | 11.2.2 | Understøttende hjælpeprogrammer |
| 7.12 | 11.2.3 | Kabler sikkerhed |
| 7.13 | 11.2.4 | Vedligeholdelse af udstyr |
| 7.14 | 11.2.7 | Sikker bortskaffelse eller genbrug af udstyr |
