ISO 27001:2022 Anhang A 8.8 – Management technischer Schwachstellen

• Weitere Informationen finden Sie auch in den ISO 27002:2022 Kontrolle 8.8 .
• Weitere Informationen finden Sie auch in den ISO 27001:2013 Anhang A 12.6.1 .
• Weitere Informationen finden Sie auch in den ISO 27001:2013 Anhang A 18.2.3 .

Zweck von ISO 27001:2022 Anhang A 8.8

Kein Computernetzwerk, kein System, keine Software und kein Gerät ist vollkommen sicher. Der Betrieb eines modernen LANs oder WANs bringt als Teil des Prozesses Schwachstellen mit sich, daher ist es für Unternehmen wichtig, deren Vorhandensein zu akzeptieren und sich darum zu bemühen, die potenziellen Risiken zu reduzieren.

ISO 27001:2022 Anhang A 8.8 bietet eine Fülle von Ratschlägen, die Organisationen dabei helfen, ihre Netzwerke vor der internen und externen Ausnutzung von Schwachstellen zu schützen. Es nutzt Verfahren und Richtlinien mehrerer anderer ISO 27001:2022 Anhang A-Kontrollen, insbesondere solche für Change Control (siehe Anhang A 8.32) und Zugangskontrolle .

Eigentum an Anlage A 8.8

ISO 27001:2022 Anhang A 8.8 befasst sich mit der technischen und administrativen Verwaltung von Software, Systemen und IKT-Assets. Es schreibt einen umfassenden Ansatz für das Softwaremanagement vor, Vermögensverwaltungund Netzwerksicherheitsprüfung.

Die Person, die die letztendliche Verantwortung für die Aufrechterhaltung der IKT-Infrastruktur der Organisation trägt, z. B. der IT-Leiter oder eine gleichwertige Person, sollte Eigentümer von ISO 27001:2022 Anhang A 8.8 sein.

Leitfaden zur Identifizierung von Schwachstellen

Vor der Durchführung von Schwachstellenkontrollen ist es unbedingt erforderlich, eine umfassende und aktuelle Liste der physischen und digitalen Vermögenswerte (siehe Anhang A 5.9 und 5.14) zu erhalten, die sich im Besitz der Organisation befinden und von ihr betrieben werden.

Software-Asset-Daten sollten Folgendes umfassen:

• Derzeit in Betrieb befindliche Versionsnummern.
• Wo die Software im gesamten Anwesen bereitgestellt wird.
• Herstellername.
• Anwendungsname.

Organisationen sollten danach streben, technische Schwachstellen zu identifizieren, indem sie:

• Es ist wichtig, klar zu definieren, wer in der Organisation verantwortlich ist Schwachstellenmanagement aus technischer Sicht Gesichtspunkt erfüllt seine verschiedenen Funktionen, zu denen unter anderem Folgendes gehört (ohne darauf beschränkt zu sein):
• Monitoring.
• Aktualisierung.
• Anlagenmanagement.
• Risikobewertung.
• Wer ist innerhalb der Organisation für die Software verantwortlich?
• Führen Sie Aufzeichnungen über Anwendungen und Tools, um technische Schwachstellen zu identifizieren.
• Fordern Sie Lieferanten und Anbieter auf, etwaige Anfälligkeiten im Zusammenhang mit neuen Systemen und Hardware bei deren Bereitstellung offenzulegen (gemäß Anhang A 5.20 der ISO 27001:2022) und geben Sie dies in allen geltenden Verträgen und Servicevereinbarungen klar an.
• Setzen Sie Tools zum Scannen von Schwachstellen und Patching-Funktionen ein.
• Führen Sie regelmäßige, dokumentierte Penetrationstests durch, entweder durch interne Mitarbeiter oder durch einen authentifizierten Dritten.
• Seien Sie sich des Potenzials zugrunde liegender programmatischer Schwachstellen bewusst, wenn Sie Codebibliotheken oder Quellcode von Drittanbietern verwenden (siehe ISO 27001:2022 Anhang A 8.28).

Leitlinien für öffentliche Aktivitäten

Organisationen sollten Richtlinien und Verfahren erstellen, die Schwachstellen in allen ihren Produkten und Dienstleistungen erkennen und Bewertungen dieser Schwachstellen in Bezug auf ihr Angebot erhalten.

ISO empfiehlt Organisationen, Maßnahmen zu ergreifen, um etwaige Schwachstellen zu identifizieren, und Dritte zur Teilnahme an Schwachstellenmanagement-Aktivitäten zu motivieren, indem sie Prämienprogramme anbieten (bei denen potenzielle Exploits gesucht und der Organisation gegen eine Belohnung gemeldet werden).

Organisationen sollten sich über Foren, öffentliche E-Mail-Adressen und Recherchen für die Öffentlichkeit zugänglich machen, damit sie das kollektive Wissen der Öffentlichkeit nutzen können, um ihre Produkte und Dienstleistungen zu schützen.

Organisationen sollten alle ergriffenen Abhilfemaßnahmen überprüfen und erwägen, relevante Informationen an betroffene Personen oder Organisationen weiterzugeben. Darüber hinaus sollten sie mit spezialisierten Sicherheitsorganisationen zusammenarbeiten, um Wissen über Schwachstellen und Angriffsvektoren zu verbreiten.

Unternehmen sollten über die Bereitstellung eines optionalen automatisierten Aktualisierungssystems nachdenken, das Kunden je nach ihren Geschäftsanforderungen nutzen können oder nicht.

Leitfaden zur Bewertung von Schwachstellen

Eine genaue Berichterstattung ist unerlässlich, um bei erkannten Sicherheitsrisiken schnelle und wirksame Korrekturmaßnahmen sicherzustellen.

Organisationen sollten Schwachstellen bewerten, indem sie:

• Untersuchen Sie die Berichte gründlich und bestimmen Sie, welche Maßnahmen erforderlich sind, z. B. die Änderung, Aktualisierung oder Beseitigung betroffener Systeme und/oder Geräte.
• Erreichen Sie eine Lösung, die andere ISO-Kontrollen (insbesondere solche im Zusammenhang mit ISO 27001:2022) berücksichtigt und das Ausmaß der Risiken anerkennt.

Leitfaden zur Bekämpfung von Software-Schwachstellen

Software-Schwachstellen können durch einen proaktiven Ansatz bei Software-Updates und Patch-Management effektiv angegangen werden. Die Gewährleistung regelmäßiger Updates und Patches kann dazu beitragen, Ihr System vor potenziellen Bedrohungen zu schützen.

Unternehmen sollten darauf achten, bestehende Softwareversionen beizubehalten, bevor sie Änderungen vornehmen, alle Änderungen gründlich testen und diese auf eine bestimmte Kopie der Software anwenden.

Sobald Schwachstellen identifiziert werden, sollten Organisationen Maßnahmen ergreifen, um diese zu beheben:

• Ziel ist es, alle Sicherheitslücken schnell und effektiv zu beheben.
• Beachten Sie, soweit möglich, die Organisationsprotokolle zum Änderungsmanagement (siehe ISO 27001:2022 Anhang A 8.32) und zum Umgang mit Vorfällen (siehe ISO 27001:2022 Anhang A 5.26).
• Wenden Sie Patches und Updates nur aus zuverlässigen, zertifizierten Quellen an, insbesondere für Software und Geräte von Drittanbietern:
• Unternehmen sollten die vorliegenden Daten auswerten, um zu entscheiden, ob es unbedingt erforderlich ist, automatische Updates (oder Teile davon) auf gekaufte Software und Hardware anzuwenden.
• Testen Sie vor der Installation alle Updates, um unerwartete Probleme in einer Live-Umgebung zu vermeiden.
• Geben Sie der Bekämpfung risikoreicher und lebenswichtiger Geschäftssysteme höchste Priorität.
• Stellen Sie sicher, dass Abhilfemaßnahmen erfolgreich und authentisch sind.

Für den Fall, dass kein Update verfügbar ist oder es Hindernisse bei der Installation gibt (z. B. aus Kostengründen), sollten Unternehmen andere Methoden in Betracht ziehen, wie zum Beispiel:

• Bitten Sie den Anbieter um Rat für eine vorübergehende Lösung, während die Abhilfemaßnahmen intensiviert werden.
• Schalten Sie alle Netzwerkdienste aus, die von der Sicherheitslücke betroffen sind.
• Implementierung von Sicherheitskontrollen an wichtigen Gateways, wie z. B. Verkehrsregeln und Filter, um das Netzwerk zu schützen.
• Verstärken Sie die Überwachung im Verhältnis zum damit verbundenen Risiko.
• Stellen Sie sicher, dass alle betroffenen Parteien, einschließlich Verkäufer und Käufer, über den Fehler informiert sind.
• Verzögern Sie die Aktualisierung und bewerten Sie die Risiken, insbesondere unter Berücksichtigung möglicher Betriebskosten.

Begleitende Anhang-A-Kontrollen

• ISO 27001:2022 Anhang A 5.14
• ISO 27001:2022 Anhang A 5.20
• ISO 27001:2022 Anhang A 5.9
• ISO 27001:2022 Anhang A 8.20
• ISO 27001:2022 Anhang A 8.22
• ISO 27001:2022 Anhang A 8.28

Ergänzende Hinweise zu Anhang A 8.8

Organisationen sollten eine Prüfpfad aller relevanten Schwachstellenmanagementaktivitäten, um Korrekturmaßnahmen zu unterstützen und Protokolle im Falle einer Sicherheitsverletzung voranzutreiben.

Die regelmäßige Bewertung und Überprüfung des gesamten Schwachstellenmanagementprozesses ist eine hervorragende Möglichkeit, die Leistung zu verbessern und Schwachstellen proaktiv zu identifizieren.

Wenn die Organisation einen Cloud-Service-Anbieter einsetzt, sollte sie sicherstellen, dass der Ansatz des Anbieters zum Schwachstellenmanagement mit ihrem eigenen kompatibel ist und in die verbindliche Servicevereinbarung zwischen beiden Parteien aufgenommen werden sollte, einschließlich etwaiger Berichtsverfahren (siehe ISO 27001:2022 Anhang A 5.32). .

Änderungen und Unterschiede zu ISO 27001:2013

ISO 27001:2022 Anhang A 8.8 ersetzt zwei Anhang-A-Kontrollen aus ISO 27001:2013, diese sind:

• 12.6.1 – Management technischer Schwachstellen
• 18.2.3 – Überprüfung der technischen Konformität

ISO 27001:2022 Anhang A 8.8 führt einen neuen, anderen Ansatz für das Schwachstellenmanagement ein als der in ISO 27001:2013. Es handelt sich um eine bemerkenswerte Abweichung vom vorherigen Standard.

ISO 27001:2013 Anhang A 12.6.1 konzentrierte sich hauptsächlich auf die Einführung von Korrekturmaßnahmen, sobald eine Schwachstelle erkannt wurde, während Anhang A 18.2.3 nur technische Mittel betrifft (hauptsächlich Penetrationstests).

ISO 27001:2022 Anhang A 8.8 führt neue Abschnitte ein, die sich mit den öffentlichen Verantwortlichkeiten einer Organisation, Methoden zur Erkennung von Schwachstellen und der Rolle von Cloud-Anbietern bei der Minimierung von Schwachstellen befassen.

ISO 27001:2022 legt großen Wert auf die Rolle des Schwachstellenmanagements in anderen Bereichen (z. B. Änderungsmanagement) und ermutigt zu einem ganzheitlichen Ansatz, der mehrere andere Kontrollen und Informationssicherheitsprozesse einbezieht.

Tabelle aller ISO 27001:2022 Anhang A-Kontrollen

In der Tabelle unten finden Sie weitere Informationen zu den einzelnen Personen ISO 27001:2022 Anhang A Steuern.

Wie ISMS.online hilft

Unser Die Plattform ist benutzerfreundlich und unkompliziert. Es richtet sich an alle in der Organisation, nicht nur an technisch versierte Personen. Wir empfehlen, Mitarbeiter aus allen Unternehmensebenen einzubeziehen Aufbau Ihres ISMS denn dies trägt dazu bei, ein System zu schaffen, das lange hält.

Nehmen Sie jetzt Kontakt auf Vereinbaren Sie eine Vorführung.