ISO 27002: 2022 - Steuerung 8.1 - Benutzer Endpunktgeräte

Sicherung von Benutzerendgeräten: Erläuterung der ISO 27002-Kontrolle 8.1

Während die Umstellung auf Remote-Arbeit und die zunehmende Nutzung mobiler Geräte die Mitarbeiterproduktivität steigern und Unternehmen Geld sparen, sind Benutzerendgeräte wie Laptops, Mobiltelefone und Tablets anfällig für Cyber-Bedrohungen. Dies liegt daran, dass Cyberkriminelle diese Geräte häufig ausnutzen, um Gewinn zu erzielen Unbefugter Zugriff auf Unternehmensnetzwerke und Gefährdung von Informationsbeständen.

Beispielsweise können Cyberkriminelle Mitarbeiter mit einem Phishing-Angriff angreifen, diese zum Herunterladen eines Malware-Anhangs überreden und dann mithilfe dieses mit Malware infizierten Endpunktgeräts des Benutzers die Malware im gesamten Unternehmensnetzwerk verbreiten. Dieser Angriff kann zum Verlust von führen Verfügbarkeit, Integrität oder Vertraulichkeit von Informationsressourcen.

Gemäß einer Umfrage Bei der mit 700 IT-Experten durchgeführten Studie kam es im Jahr 70 bei rund 2020 % der Unternehmen zu einer Kompromittierung von Informationsbeständen und der IT-Infrastruktur infolge eines Angriffs auf Endpunkt-Benutzergeräte.

In Control 8.1 geht es darum, wie Organisationen themenspezifische Richtlinien, Verfahren und technische Maßnahmen festlegen, pflegen und umsetzen können, um sicherzustellen, dass auf Endpunktgeräten der Benutzer gehostete oder verarbeitete Informationsbestände nicht gefährdet werden, verloren gehen oder gestohlen werden.

Zweck der Kontrolle 8.1

Control 8.1 ermöglicht es Unternehmen, die Sicherheit, Vertraulichkeit, Integrität und Verfügbarkeit von Informationsbeständen zu schützen und aufrechtzuerhalten, die auf Endpunktbenutzergeräten gespeichert sind oder über diese zugänglich sind geeignete Richtlinien, Verfahren und Kontrollen.

Attributtabelle der Steuerung 8.1

Kontrolle 8.1 hat präventiven Charakter. Es erfordert von Organisationen die Implementierung von Richtlinien, Verfahren und technischen Maßnahmen, die für alle Endpunktgeräte der Benutzer gelten, auf denen Informationsressourcen gehostet oder verarbeitet werden, damit diese nicht gefährdet, verloren oder gestohlen werden.

Eigentum an der Kontrolle 8.1

In Anbetracht der Tatsache, dass die Einhaltung von Control 8.1 die Erstellung, Aufrechterhaltung und Einhaltung organisationsweiter themenspezifischer Richtlinien, Verfahren und technischer Maßnahmen umfasst, hat der Chef Der Informationssicherheitsbeauftragte sollte die Verantwortung für die Einhaltung tragen mit den Anforderungen von Control 8.1.

Allgemeine Richtlinien zur Compliance

Control 8.1 verlangt von Organisationen, eine themenspezifische Richtlinie zu erstellen, die regelt, wie Benutzerendpunktgeräte sicher konfiguriert werden sollten und wie diese Geräte von Benutzern gehandhabt werden sollten.

Alle Mitarbeiter sollten über diese Richtlinie informiert werden und die Richtlinie sollte Folgendes abdecken:

• Welche Art von Informationen, insbesondere auf welcher Klassifizierungsebene, können auf Endpunktgeräten des Benutzers verarbeitet, gespeichert oder verwendet werden?
• Wie die Geräte registriert werden sollen.
• Anforderungen an den physischen Schutz von Geräten.
• Einschränkungen bei der Installation von Softwareprogrammen auf Geräten.
• Regeln zur Installation von Software auf den Geräten und zu Software-Updates.
• Regeln darüber, wie die Endpunktgeräte des Benutzers mit öffentlichen Netzwerken oder mit Netzwerken an anderen Standorten außerhalb des Standorts verbunden werden können.
• Zugangskontrollen.
• Verschlüsselung der Speichermedien, auf denen Informationsressourcen gehostet werden.
• Wie Geräte vor Malware-Angriffen geschützt werden.
• Wie Geräte deaktiviert oder gesperrt werden können. Wie in den Geräten enthaltene Informationen aus der Ferne gelöscht werden können.
• Sicherungsmethoden und -verfahren.
• Regeln zur Nutzung von Webanwendungen und -diensten.
• Analyse des Endnutzerverhaltens.
• Wie Wechselspeichermedien wie USB-Laufwerke verwendet werden können und wie physische Anschlüsse wie USB-Anschlüsse deaktiviert werden können.
• Wie Segregationsfähigkeiten können genutzt werden, um die Informationen der Organisation zu trennen Assets von anderen Assets, die auf dem Benutzergerät gespeichert sind.

Darüber hinaus wird in den Allgemeinen Leitlinien darauf hingewiesen, dass Organisationen erwägen sollten, die Speicherung sensibler Informationsbestände auf Endpunktgeräten der Benutzer durch die Implementierung technischer Kontrollen zu verbieten.

Zu diesen technischen Kontrollen kann die Deaktivierung lokaler Speicherfunktionen wie SD-Karten gehören.

Bei der Umsetzung dieser Empfehlungen in die Praxis sollten Unternehmen auf das Konfigurationsmanagement gemäß Control 8.9 zurückgreifen und automatisierte Tools verwenden.

Ergänzende Hinweise zur Benutzerverantwortung

Alle Mitarbeiter sollten über die Sicherheitsmaßnahmen für Benutzerendgeräte und Verfahren informiert werden, die sie einhalten sollten. Darüber hinaus sollten sie es sein auf ihre Verantwortung aufmerksam gemacht für die Anwendung dieser Maßnahmen und Verfahren.

Organisationen sollten ihr Personal anweisen, die folgenden Regeln und Verfahren einzuhalten:

• Wenn ein Dienst nicht mehr benötigt wird oder eine Sitzung endet, sollten sich Benutzer von der Sitzung abmelden und Dienste beenden.
• Das Personal sollte seine Geräte nicht unbeaufsichtigt lassen. Wenn Geräte nicht verwendet werden, sollte das Personal sie warten Sicherheit der Geräte vor unbefugtem Zugriff oder unbefugter Nutzung durch Anwendung physischer Kontrollen wie Tastensperren und durch technische Kontrollen wie sichere Passwörter.
• Das Personal sollte besonders vorsichtig vorgehen, wenn es Endgeräte mit vertraulichen Informationen in unsicheren öffentlichen Bereichen verwendet.
• Insbesondere in Risikobereichen wie Hotelzimmern, Konferenzräumen oder öffentlichen Verkehrsmitteln sollten Benutzerendgeräte vor Diebstahl geschützt werden.

Darüber hinaus wird Organisationen auch empfohlen, ein spezielles Verfahren für den Verlust oder Diebstahl von Endpunktgeräten der Benutzer einzurichten. Dieses Verfahren sollte unter Berücksichtigung rechtlicher, vertraglicher und sicherheitstechnischer Anforderungen erstellt werden.

Ergänzende Leitlinien zur Nutzung persönlicher Geräte (BYOD)

Durch die Möglichkeit, dass Mitarbeiter ihre eigenen persönlichen Geräte für arbeitsbezogene Zwecke nutzen können, spart Unternehmen zwar Geld, setzt jedoch sensible Informationsbestände neuen Risiken aus.

Control 8.1 listet fünf Empfehlungen auf, die Unternehmen berücksichtigen sollten, wenn sie Mitarbeitern erlauben, ihre eigenen Geräte für arbeitsbezogene Aufgaben zu verwenden:

1. Es sollten technische Maßnahmen wie Softwaretools vorhanden sein, um die persönliche und geschäftliche Nutzung der Geräte zu trennen, damit die Informationen der Organisation geschützt sind.
2. Dem Personal sollte die Nutzung seines eigenen Geräts erst gestattet werden, wenn es Folgendes zustimmt:
• Das Personal erkennt seine Pflicht an, Geräte physisch zu schützen und notwendige Software-Updates durchzuführen.
• Das Personal verpflichtet sich, keinerlei Eigentumsrechte an den Informationsbeständen der Organisation zu erheben.
• Das Personal stimmt zu, dass im Gerät enthaltene Informationen aus der Ferne gelöscht werden können, wenn das Gerät verloren geht oder gestohlen wird gesetzliche Anforderungen an personenbezogene Daten.
3. Festlegung von Richtlinien zum Eigentum an geistigen Eigentumsrechten, die durch die Nutzung von Endpunktgeräten der Benutzer entstehen.
4. Wie auf die privaten Geräte des Personals unter Berücksichtigung der gesetzlichen Beschränkungen für diesen Zugriff zugegriffen wird.
5. Wenn Mitarbeitern die Nutzung ihrer privaten Geräte gestattet wird, kann dies zu einer rechtlichen Haftung aufgrund der Verwendung von Software Dritter auf diesen Geräten führen. Unternehmen sollten die Softwarelizenzvereinbarungen berücksichtigen, die sie mit ihren Anbietern haben.

Ergänzende Anleitung zu drahtlosen Verbindungen

Organisationen sollten Verfahren entwickeln und pflegen für:

• Wie drahtlose Verbindungen auf den Geräten konfiguriert werden sollten.
• Wie drahtlose oder kabelgebundene Verbindungen mit ausreichender Bandbreite genutzt werden Einhaltung themenspezifischer Richtlinien.

Zusätzliche Leitlinien zur Kontrolle 8.1

Wenn Endpunktgeräte von Benutzern aus den Räumlichkeiten der Organisation entfernt werden, sind die Informationsbestände möglicherweise einem erhöhten Risiko einer Kompromittierung ausgesetzt. Daher müssen Organisationen möglicherweise unterschiedliche Kontrollen für Geräte einrichten, die außerhalb von Räumlichkeiten verwendet werden.

Darüber hinaus warnt Control 8.1 Unternehmen vor Informationsverlust aufgrund zweier Risiken im Zusammenhang mit drahtlosen Verbindungen:

• Drahtlose Verbindungen mit geringer Bandbreite können dazu führen, dass die Datensicherung fehlschlägt.
• Gelegentlich kann es vorkommen, dass Benutzer-Endpunktgeräte vom drahtlosen Netzwerk getrennt werden und geplante Sicherungen fehlschlagen.

Änderungen und Unterschiede zu ISO 27002:2013

27002:2022/8.1 ersetzt 27002:2013/(6.2.1 und 12.2.8)

Strukturelle Unterschiede

In Im Gegensatz zur 2022er Version die Benutzerendpunktgeräte unter einem Control (8.1) adressiert, enthielt die Version 2013 zwei separate Kontrollen: Mobile Device Policy in Control 6.2.1 und Unattended User Equipment in Control 11.2.8.

Während darüber hinaus Control 8.1 in der Version 2022 für alle Benutzerendgeräte wie Laptops, Tablets und Mobiltelefone gilt, bezog sich die Version 2013 nur auf mobile Geräte.

Die Version 2022 schreibt zusätzliche Anforderungen an die Benutzerverantwortung vor

Während sich beide Versionen hinsichtlich der Anforderungen an die Nutzerverantwortung weitgehend ähneln, enthält die Version 2022 eine zusätzliche Anforderung:

• Das Personal sollte besonders vorsichtig vorgehen, wenn es Endgeräte mit vertraulichen Informationen in unsicheren öffentlichen Bereichen verwendet.

Die Version 2022 ist umfassender in Bezug auf BYOD

Im Vergleich zur Version 2013 führt Control 8.1 in der Version 2022 drei neue Anforderungen für die Nutzung privater Geräte des Personals (BYOD) ein:

• Festlegung von Richtlinien zum Eigentum an geistigen Eigentumsrechten, die durch die Nutzung von Endpunktgeräten der Benutzer entstehen.
• Wie auf die privaten Geräte des Personals unter Berücksichtigung der gesetzlichen Beschränkungen für diesen Zugriff zugegriffen wird.
• Wenn Mitarbeitern die Nutzung ihrer privaten Geräte gestattet wird, kann dies zu einer rechtlichen Haftung aufgrund der Verwendung von Software Dritter auf diesen Geräten führen. Unternehmen sollten die Softwarelizenzvereinbarungen berücksichtigen, die sie mit ihren Anbietern haben.

Die Version 2022 erfordert eine detailliertere themenspezifische Richtlinie

Ähnlich wie die Version 2013 verlangt auch die Version 2022 von Organisationen, eine themenspezifische Richtlinie für Endpunktgeräte der Benutzer einzuführen.

Allerdings ist die Steuerung 8.1 in der Version 2022 umfassender, da sie drei neue Elemente enthält, die einbezogen werden müssen:

1. Analyse des Endnutzerverhaltens.
2. Wie Wechselgeräte wie USB-Laufwerke verwendet werden können und wie physische Anschlüsse wie USB-Anschlüsse deaktiviert werden können.
3. Wie Segregationsfähigkeiten können genutzt werden, um die Informationen der Organisation zu trennen Assets von anderen Assets, die auf dem Benutzergerät gespeichert sind.

Neue ISO 27002-Kontrollen

Wie ISMS.online hilft

ISMS.Online ist die führende ISO 27002-Managementsystemsoftware, die die Einhaltung unterstützt ISO 27002 und hilft Unternehmen, ihre Sicherheitsrichtlinien auszurichten und Verfahren mit dem Standard.

Die cloudbasierte Plattform bietet einen vollständigen Satz an Tools, die Unternehmen bei der Einrichtung unterstützen Informationssicherheits-Managementsystem (ISMS) nach ISO 27002.

Nehmen Sie noch heute Kontakt mit uns auf Demo buchen.