Zweck der Kontrolle 8.19
Betriebssoftware kann im Großen und Ganzen als jede Software beschrieben werden, die das Unternehmen aktiv zur Durchführung seines Betriebs nutzt, im Gegensatz zu Testsoftware oder Entwicklungsprojekten.
Es ist von entscheidender Bedeutung, sicherzustellen, dass Software in einem bestimmten Netzwerk gemäß strengen Regeln und Anforderungen installiert und verwaltet wird, um Risiken zu minimieren, die Effizienz zu verbessern und die Sicherheit in internen und externen Netzwerken und Diensten aufrechtzuerhalten.
Attributtabelle der Steuerung 8.19
Kontrolle 8.19 ist ein vorbeugende Kontrolle zur Abwicklung, Integrierung, Speicherung und hält das Risiko aufrecht durch die Festlegung einer Reihe von Regeln, die die Installation von Software auf Betriebssystemen regeln.
| Steuerungstyp | Eigenschaften der Informationssicherheit | Cybersicherheitskonzepte | Operative Fähigkeiten | Sicherheitsdomänen |
|---|---|---|---|---|
| #Präventiv | #Vertraulichkeit | #Schützen | #Sichere Konfiguration | #Schutz |
| #Integrität | #Anwendungssicherheit | |||
| #Verfügbarkeit |
Eigentum an der Kontrolle 8.19
Control 8.19 befasst sich mit technischen Konzepten im Zusammenhang mit der Wartung und Verwaltung betriebsbereiter Computersysteme. Daher sollte die Verantwortung beim IT-Leiter oder einem gleichwertigen Vertreter der Organisation liegen.
Befreien Sie sich von einem Berg an Tabellenkalkulationen
Integrieren, erweitern und skalieren Sie Ihre Compliance, ohne dass es zu Problemen kommt. IO gibt Ihnen die Widerstandsfähigkeit und das Vertrauen, um sicher zu wachsen.
Allgemeine Richtlinien zur Compliance
Um Änderungen und Installationen in ihrem Netzwerk sicher zu verwalten, sollten Unternehmen:
- Stellen Sie sicher, dass Software-Updates nur von geschultem und kompetentem Personal durchgeführt werden (siehe Kontrolle 8.5).
- Installieren Sie nur robusten ausführbaren Code, der frei von Fehlern ist und die Entwicklungsphase sicher verlassen hat.
- Installieren und/oder aktualisieren Sie Software erst, nachdem das Update oder der Patch erfolgreich getestet wurde und die Organisation sicher ist, dass keine Konflikte oder Fehler auftreten.
- Pflegen Sie ein aktuelles Bibliothekssystem.
- Nutzen Sie ein „Konfigurationskontrollsystem“, das alle Instanzen der Betriebssoftware verwaltet, einschließlich der Programmdokumentation.
- Vereinbaren Sie vor Aktualisierungen oder Installationen eine „Rollback-Strategie“, um die Geschäftskontinuität im Falle eines unvorhergesehenen Fehlers oder Konflikts sicherzustellen.
- Führen Sie ein Protokoll aller an der Betriebssoftware durchgeführten Aktualisierungen, einschließlich einer Zusammenfassung der Aktualisierung, des beteiligten Personals und eines Zeitstempels.
- Stellen Sie sicher, dass ungenutzte Software – einschließlich aller Dokumentationen, Konfigurationsdateien, Systemprotokolle und unterstützenden Verfahren – für die weitere Verwendung bei Bedarf sicher aufbewahrt wird.
- Setzen Sie strenge Regeln für die Art der Softwarepakete durch, die Benutzer installieren können, basierend auf den Grundsätzen der „geringsten Privilegien“ und in Übereinstimmung mit relevanten Rollen und Verantwortlichkeiten.
Anleitung – Anbietersoftware
Wenn es sich um vom Anbieter bereitgestellte Software handelt (z. B. Software, die für den Betrieb von Maschinen oder für eine maßgeschneiderte Geschäftsfunktion verwendet wird), sollte diese Software immer in gutem Betriebszustand gehalten werden, indem die Richtlinien des Anbieters für einen sicheren Betrieb beachtet werden.
Es ist wichtig zu beachten, dass selbst dann, wenn Software oder Softwaremodule extern bereitgestellt und verwaltet werden (dh die Organisation ist nicht für Aktualisierungen verantwortlich), Maßnahmen ergriffen werden sollten, um sicherzustellen, dass Aktualisierungen von Drittanbietern die Integrität des Netzwerks der Organisation nicht gefährden.
Unternehmen sollten die Verwendung nicht unterstützter Software von Anbietern vermeiden, sofern dies nicht unbedingt erforderlich ist, und die damit verbundenen Sicherheitsrisiken berücksichtigen, die mit der Verwendung redundanter Anwendungen im Gegensatz zu einem Upgrade auf neuere und sicherere Systeme einhergehen.
Wenn ein Anbieter Zugriff auf das Netzwerk einer Organisation benötigt, um eine Installation oder ein Update durchzuführen, sollte die Aktivität gemäß allen relevanten Autorisierungsverfahren überwacht und validiert werden (siehe Kontrolle 5.22).
Ergänzende Leitlinien zur Kontrolle 8.19
Die Software sollte gemäß den veröffentlichten Änderungsmanagementverfahren der Organisation aktualisiert, installiert und/oder gepatcht werden, um die Einheitlichkeit mit anderen Bereichen des Unternehmens sicherzustellen.
Immer wenn ein Patch identifiziert wird, der entweder eine Schwachstelle (oder eine Reihe von Schwachstellen) vollständig beseitigt oder in irgendeiner Weise zur Verbesserung der Informationssicherheit der Organisation beiträgt, sollten solche Änderungen fast immer angewendet werden (obwohl weiterhin die Notwendigkeit besteht, solche Änderungen zu bewerten). im Einzelfall).
Wenn die Notwendigkeit besteht, Open-Source-Software zu verwenden, sollte es sich immer um die neueste öffentlich verfügbare Version handeln, die aktiv gepflegt wird. Dementsprechend sollten Unternehmen die inhärenten Risiken der Verwendung nicht gewarteter Software in allen Geschäftsfunktionen berücksichtigen.
Unterstützende Kontrollen
- 5.22
- 8.5
Verwalten Sie Ihre gesamte Compliance an einem Ort
ISMS.online unterstützt über 100 Standards und Vorschriften und bietet Ihnen eine einzige Plattform für alle Ihre Compliance-Anforderungen.
Änderungen und Unterschiede zu ISO 27002:2013
ISO 27002:2022-8.19 ersetzt ISO 27002:2003-12.5.1 (Installation von Software auf Betriebssystemen) und 12.6.2 (Einschränkungen bei der Softwareinstallation).
27002:2022-8.19 ist eine Zusammenfassung der meisten in 27002:2003-12.5.1 und 12.6.2 enthaltenen Ratschläge, wobei mehrere Schlüsselkonzepte kurz erweitert und einige neue Leitprinzipien hinzugefügt wurden:
- Pflege eines Bibliothekssystems.
- Regeln für die Nutzung von Open-Source-Software.
- Genauere logische Kontrollen bei der Installation und Wartung von Anbietersoftware.
Neue ISO 27002-Kontrollen
| ISO/IEC 27002:2022 Kontrollkennung | ISO/IEC 27002:2013 Kontrollkennung | Kontrollname |
|---|---|---|
| 5.7 | NEU | Bedrohungsinformationen |
| 5.23 | NEU | Informationssicherheit bei der Nutzung von Cloud-Diensten |
| 5.30 | NEU | IKT-Bereitschaft für Geschäftskontinuität |
| 7.4 | NEU | Physische Sicherheitsüberwachung |
| 8.9 | NEU | Konfigurationsmanagement |
| 8.10 | NEU | Löschung von Informationen |
| 8.11 | NEU | Datenmaskierung |
| 8.12 | NEU | Verhinderung von Datenlecks |
| 8.16 | NEU | Überwachungsaktivitäten |
| 8.23 | NEU | Web-Filter |
| 8.28 | NEU | Sichere Codierung |
| ISO/IEC 27002:2022 Kontrollkennung | ISO/IEC 27002:2013 Kontrollkennung | Kontrollname |
|---|---|---|
| 6.1 | 07.1.1 | Rekrutierung |
| 6.2 | 07.1.2 | Beschäftigungsbedingungen |
| 6.3 | 07.2.2 | Bewusstsein für Informationssicherheit, Aus- und Weiterbildung |
| 6.4 | 07.2.3 | Disziplinarverfahren |
| 6.5 | 07.3.1 | Verantwortlichkeiten nach Beendigung oder Wechsel des Arbeitsverhältnisses |
| 6.6 | 13.2.4 | Vertraulichkeits- oder Geheimhaltungsvereinbarungen |
| 6.7 | 06.2.2 | Fernarbeit |
| 6.8 | 16.1.2, 16.1.3 | Berichterstattung über Informationssicherheitsereignisse |
| ISO/IEC 27002:2022 Kontrollkennung | ISO/IEC 27002:2013 Kontrollkennung | Kontrollname |
|---|---|---|
| 7.1 | 11.1.1 | Physische Sicherheitsbereiche |
| 7.2 | 11.1.2, 11.1.6 | Physischer Eintritt |
| 7.3 | 11.1.3 | Absicherung von Büros, Räumen und Anlagen |
| 7.4 | NEU | Physische Sicherheitsüberwachung |
| 7.5 | 11.1.4 | Schutz vor physischen und umweltbedingten Bedrohungen |
| 7.6 | 11.1.5 | Arbeiten in sicheren Bereichen |
| 7.7 | 11.2.9 | Klarer Schreibtisch und klarer Bildschirm |
| 7.8 | 11.2.1 | Standort und Schutz der Ausrüstung |
| 7.9 | 11.2.6 | Sicherheit von Vermögenswerten außerhalb des Betriebsgeländes |
| 7.10 | 08.3.1, 08.3.2, 08.3.3, 11.2.5 | Speichermedium |
| 7.11 | 11.2.2 | Unterstützende Versorgungsunternehmen |
| 7.12 | 11.2.3 | Verkabelungssicherheit |
| 7.13 | 11.2.4 | Wartung der Ausrüstung |
| 7.14 | 11.2.7 | Sichere Entsorgung oder Wiederverwendung von Geräten |
Wie ISMS.online hilft
ISMS.Online ist eine Komplettlösung zur ISO 27002-Implementierung. Es handelt sich um ein webbasiertes System, mit dem Sie anhand durchdachter Prozesse, Verfahren und Checklisten nachweisen können, dass Ihr Informationssicherheits-Managementsystem (ISMS) den anerkannten Standards entspricht.
Es ist nicht nur eine benutzerfreundliche Plattform für die Verwaltung Ihrer ISO 27002-Implementierung, sondern auch ein hervorragendes Tool zur Schulung Ihrer Mitarbeiter in Best Practices und Prozessen für die Informationssicherheit sowie zur Dokumentation aller Ihrer Bemühungen.
Die Vorteile der Nutzung von ISMS.Online:
- Einfach zu bedienende Online-Plattform, auf die von jedem Gerät aus zugegriffen werden kann.
- Es ist vollständig an Ihre Bedürfnisse anpassbar.
- Anpassbare Arbeitsabläufe und Prozesse, die Ihren Geschäftsanforderungen entsprechen.
- Schulungstools, die neuen Mitarbeitern helfen, sich schneller einzuarbeiten.
- Eine Bibliothek mit Vorlagen für Dokumente wie Richtlinien, Verfahren, Pläne und Checklisten.
Nehmen Sie noch heute Kontakt mit uns auf Demo buchen.
