ISO 27002:2022 – Kontrol 8.9 – Konfigurationsstyring

Formål med kontrol 8.9

Konfigurationer – uanset om de fungerer som en enkelt konfigurationsfil eller en gruppe af konfigurationer, der er knyttet sammen – er de underliggende parametre, der styrer, hvordan hardware, software og endda hele netværk administreres.

Som et eksempel vil en firewalls konfigurationsfil indeholde de baseline-attributter, som enheden bruger til at styre trafik til og fra en organisations netværk, inklusive blokeringslister, portvideresendelse, virtuelle LAN'er og VPN-oplysninger.

Konfigurationsstyring er en integreret del af en organisations bredere aktivstyringsoperation. Konfigurationer er nøglen til at sikre, at et netværk ikke kun fungerer, som det skal være, men også for at sikre enheder mod uautoriserede ændringer eller forkerte ændringer fra vedligeholdelsespersonalets og/eller leverandørernes side.

Attributter Kontroltabel 8.9

Kontrol 8.9 er en forebyggende kontrollere det fastholder risiko ved at etablere en række politikker, der styrer, hvordan en organisation dokumenterer, implementerer, overvåger og gennemgår brugen af ​​konfigurationer på tværs af hele sit netværk.

Ejerskab af kontrol 8.9

Konfigurationsstyring er udelukkende en administrativ opgave, der beskæftiger sig med vedligeholdelse og overvågning af information og data på aktivsiden, som findes på en bred vifte af enheder og applikationer. Som sådan bør ejerskabet ligge hos IT-chefen eller tilsvarende organisatorisk.

Generel vejledning om overholdelse

I det hele taget organisationens behov for at udarbejde og implementere konfigurationsstyringspolitikker for både nye systemer og hardware, og enhver, der allerede er i brug. Interne kontroller bør omfatte forretningskritiske elementer såsom sikkerhedskonfigurationer, al hardware, der indeholder en konfigurationsfil og eventuelle relevante softwareapplikationer eller -systemer.

Kontrol 8.9 beder organisationer om at overveje alle relevante roller og ansvarsområder, når de implementerer en konfigurationspolitik, herunder det delegerede ejerskab af konfigurationer på en enhed-for-enhed eller applikation-for-applikation basis.

Vejledning – Standardskabeloner

Hvor det er muligt, bør organisationer bruge standardiserede skabeloner til at sikre al hardware, software og systemer. Skabeloner skal:

1. Forsøg på at bruge offentligt tilgængelige, leverandørspecifikke og/eller open source-vejledninger om, hvordan man bedst konfigurerer hardware- og softwareaktiver.
2. Opfyld minimumssikkerhedskravene for den enhed, applikation eller system, som de gælder for.
3. Arbejd i harmoni med organisationens bredere informationssikkerhedsindsats, herunder alle relevante ISO-kontroller.
4. Husk organisationens unikke forretningskrav – især hvad angår sikkerhedskonfigurationer – herunder hvor gennemførligt det er at anvende eller administrere en skabelon til enhver tid.
5. Gennemgås med passende intervaller for at tage højde for system- og/eller hardwareopdateringer eller eventuelle fremherskende sikkerhedstrusler.

Vejledning – Sikkerhedskontrol

Sikkerhed er altafgørende, når du anvender konfigurationsskabeloner eller ændrer eksisterende skabeloner i overensstemmelse med ovenstående vejledning.

Når de overvejer standardskabeloner til brug på tværs af organisationen, bør organisationer for at minimere eventuelle informationssikkerhedsrisici:

1. Hold antallet af brugere med administratorrettigheder på et minimum.
2. Deaktiver eventuelle ubrugte eller unødvendige identiteter.
3. Overvåg nøje adgangen til vedligeholdelsesprogrammer, hjælpeprogrammer og interne indstillinger.
4. Sørg for, at ure er synkroniseret for at logge konfigurationen korrekt, og bistå i eventuelle fremtidige undersøgelser.
5. Skift øjeblikkeligt alle standardadgangskoder eller standardsikkerhedsindstillinger, der følger med enhver enhed, tjeneste eller applikation.
6. Implementer en standardlogoff-periode for alle enheder, systemer eller applikationer, der er blevet efterladt i dvale i en bestemt periode.
7. Sørg for, at alle licenskrav er opfyldt (se kontrol 5.32).

Vejledning – Håndtering og overvågning af konfigurationer

En organisation har et ansvar for at vedligeholde og gemme konfigurationer, herunder at holde et revisionsspor for eventuelle ændringer eller nye installationer, i overensstemmelse med en offentliggjort ændringsstyringsproces (se kontrol 8.32).

Logfiler skal indeholde oplysninger, der beskriver:

1. Hvem ejer aktivet.
2. Et tidsstempel for den seneste konfigurationsændring.
3. Den aktuelle version af konfigurationsskabelonen.
4. Alle relevante oplysninger, der forklarer aktivernes forhold til konfigurationer, der opbevares på andre enheder eller systemer.

Organisationer bør implementere en bred vifte af teknikker til at overvåge driften af ​​konfigurationsfiler på tværs af deres netværk, herunder:

1. Automatisering.
2. Specialiserede konfigurationsvedligeholdelsesprogrammer.
3. Fjernsupportværktøjer, der automatisk udfylder konfigurationsoplysninger på en enhed-for-enhed basis.
4. Enterprise enheds- og softwareadministrationsværktøjer, der er designet til at overvåge store mængder konfigurationsdata på én gang.
5. BUDR-software, der automatisk sikkerhedskopierer konfigurationer til en sikker placering, og gendanner skabeloner enten eksternt eller onsite til kompromitterede og/eller funktionsfejl enheder.

Organisationer bør konfigurere specialiseret software til at spore eventuelle ændringer i en enheds konfiguration og træffe passende foranstaltninger for at rette op på ændringen så hurtigt som muligt, enten ved at validere ændringen eller vende konfigurationen tilbage til dens oprindelige tilstand.

Understøttende retningslinjer

• 5.32
• 8.32

Ændringer og forskelle fra ISO 27002:2013

Ingen. Kontrol 8.9 har ingen præcedens i ISO 27002:2013, da den er ny.

Nye ISO 27002 kontroller

Hvordan ISMS.online hjælper

ISMS.Online er en komplet løsning til ISO 27002 implementering.

Det er et webbaseret system, der giver dig mulighed for at vise, at dit informationssikkerhedsstyringssystem (ISMS) er i overensstemmelse med de godkendte standarder ved hjælp af gennemtænkte processer og procedurer og tjeklister.

Kontakt i dag for book en demo.