ISO 27002:2022, Kontrol 8.9 – Konfigurationsstyring

Generel vejledning om overholdelse

I det hele taget organisationens behov for at udarbejde og implementere konfigurationsstyringspolitikker for både nye systemer og hardware, og enhver, der allerede er i brug. Interne kontroller bør omfatte forretningskritiske elementer såsom sikkerhedskonfigurationer, al hardware, der indeholder en konfigurationsfil og eventuelle relevante softwareapplikationer eller -systemer.

Kontrol 8.9 beder organisationer om at overveje alle relevante roller og ansvarsområder, når de implementerer en konfigurationspolitik, herunder det delegerede ejerskab af konfigurationer på en enhed-for-enhed eller applikation-for-applikation basis.

Vejledning – Standardskabeloner

Hvor det er muligt, bør organisationer bruge standardiserede skabeloner til at sikre al hardware, software og systemer. Skabeloner skal:

1. Forsøg på at bruge offentligt tilgængelige, leverandørspecifikke og/eller open source-vejledninger om, hvordan man bedst konfigurerer hardware- og softwareaktiver.
2. Opfyld minimumssikkerhedskravene for den enhed, applikation eller system, som de gælder for.
3. Arbejd i harmoni med organisationens bredere informationssikkerhedsindsats, herunder alle relevante ISO-kontroller.
4. Husk organisationens unikke forretningskrav – især hvad angår sikkerhedskonfigurationer – herunder hvor gennemførligt det er at anvende eller administrere en skabelon til enhver tid.
5. Gennemgås med passende intervaller for at tage højde for system- og/eller hardwareopdateringer eller eventuelle fremherskende sikkerhedstrusler.

Vejledning – Sikkerhedskontrol

Sikkerhed er altafgørende, når du anvender konfigurationsskabeloner eller ændrer eksisterende skabeloner i overensstemmelse med ovenstående vejledning.

Når de overvejer standardskabeloner til brug på tværs af organisationen, bør organisationer for at minimere eventuelle informationssikkerhedsrisici:

1. Hold antallet af brugere med administratorrettigheder på et minimum.
2. Deaktiver eventuelle ubrugte eller unødvendige identiteter.
3. Overvåg nøje adgangen til vedligeholdelsesprogrammer, hjælpeprogrammer og interne indstillinger.
4. Sørg for, at ure er synkroniseret for at logge konfigurationen korrekt, og bistå i eventuelle fremtidige undersøgelser.
5. Skift øjeblikkeligt alle standardadgangskoder eller standardsikkerhedsindstillinger, der følger med enhver enhed, tjeneste eller applikation.
6. Implementer en standardlogoff-periode for alle enheder, systemer eller applikationer, der er blevet efterladt i dvale i en bestemt periode.
7. Sørg for, at alle licenskrav er opfyldt (se kontrol 5.32).

Vejledning – Håndtering og overvågning af konfigurationer

En organisation har et ansvar for at vedligeholde og gemme konfigurationer, herunder at holde et revisionsspor for eventuelle ændringer eller nye installationer, i overensstemmelse med en offentliggjort ændringsstyringsproces (se kontrol 8.32).

Logfiler skal indeholde oplysninger, der beskriver:

1. Hvem ejer aktivet.
2. Et tidsstempel for den seneste konfigurationsændring.
3. Den aktuelle version af konfigurationsskabelonen.
4. Alle relevante oplysninger, der forklarer aktivernes forhold til konfigurationer, der opbevares på andre enheder eller systemer.

Organisationer bør implementere en bred vifte af teknikker til at overvåge driften af ​​konfigurationsfiler på tværs af deres netværk, herunder:

1. Automatisering.
2. Specialiserede konfigurationsvedligeholdelsesprogrammer.
3. Fjernsupportværktøjer, der automatisk udfylder konfigurationsoplysninger på en enhed-for-enhed basis.
4. Enterprise enheds- og softwareadministrationsværktøjer, der er designet til at overvåge store mængder konfigurationsdata på én gang.
5. BUDR-software, der automatisk sikkerhedskopierer konfigurationer til en sikker placering, og gendanner skabeloner enten eksternt eller onsite til kompromitterede og/eller funktionsfejl enheder.

Organisationer bør konfigurere specialiseret software til at spore eventuelle ændringer i en enheds konfiguration og træffe passende foranstaltninger for at rette op på ændringen så hurtigt som muligt, enten ved at validere ændringen eller vende konfigurationen tilbage til dens oprindelige tilstand.

Understøttende retningslinjer

• 5.32
• 8.32

Ændringer og forskelle fra ISO 27002:2013

Ingen. Kontrol 8.9 har ingen præcedens i ISO 27002:2013, da den er ny.

Hvordan ISMS.online hjælper

ISMS.Online er en komplet løsning til ISO 27002 implementering.

Det er et webbaseret system, der giver dig mulighed for at vise, at dit informationssikkerhedsstyringssystem (ISMS) er i overensstemmelse med de godkendte standarder ved hjælp af gennemtænkte processer og procedurer og tjeklister.

Kontakt i dag for book en demo.