ISO 27002:2022, Steuerung 8.19 – Installation von Software auf Betriebssystemen

Allgemeine Richtlinien zur Compliance

Um Änderungen und Installationen in ihrem Netzwerk sicher zu verwalten, sollten Unternehmen:

1. Stellen Sie sicher, dass Software-Updates nur von geschultem und kompetentem Personal durchgeführt werden (siehe Kontrolle 8.5).
2. Installieren Sie nur robusten ausführbaren Code, der frei von Fehlern ist und die Entwicklungsphase sicher verlassen hat.
3. Installieren und/oder aktualisieren Sie Software erst, nachdem das Update oder der Patch erfolgreich getestet wurde und die Organisation sicher ist, dass keine Konflikte oder Fehler auftreten.
4. Pflegen Sie ein aktuelles Bibliothekssystem.
5. Nutzen Sie ein „Konfigurationskontrollsystem“, das alle Instanzen der Betriebssoftware verwaltet, einschließlich der Programmdokumentation.
6. Vereinbaren Sie vor Aktualisierungen oder Installationen eine „Rollback-Strategie“, um die Geschäftskontinuität im Falle eines unvorhergesehenen Fehlers oder Konflikts sicherzustellen.
7. Führen Sie ein Protokoll aller an der Betriebssoftware durchgeführten Aktualisierungen, einschließlich einer Zusammenfassung der Aktualisierung, des beteiligten Personals und eines Zeitstempels.
8. Stellen Sie sicher, dass ungenutzte Software – einschließlich aller Dokumentationen, Konfigurationsdateien, Systemprotokolle und unterstützenden Verfahren – für die weitere Verwendung bei Bedarf sicher aufbewahrt wird.
9. Setzen Sie strenge Regeln für die Art der Softwarepakete durch, die Benutzer installieren können, basierend auf den Grundsätzen der „geringsten Privilegien“ und in Übereinstimmung mit relevanten Rollen und Verantwortlichkeiten.

Anleitung – Anbietersoftware

Wenn es sich um vom Anbieter bereitgestellte Software handelt (z. B. Software, die für den Betrieb von Maschinen oder für eine maßgeschneiderte Geschäftsfunktion verwendet wird), sollte diese Software immer in gutem Betriebszustand gehalten werden, indem die Richtlinien des Anbieters für einen sicheren Betrieb beachtet werden.

Es ist wichtig zu beachten, dass selbst dann, wenn Software oder Softwaremodule extern bereitgestellt und verwaltet werden (dh die Organisation ist nicht für Aktualisierungen verantwortlich), Maßnahmen ergriffen werden sollten, um sicherzustellen, dass Aktualisierungen von Drittanbietern die Integrität des Netzwerks der Organisation nicht gefährden.

Unternehmen sollten die Verwendung nicht unterstützter Software von Anbietern vermeiden, sofern dies nicht unbedingt erforderlich ist, und die damit verbundenen Sicherheitsrisiken berücksichtigen, die mit der Verwendung redundanter Anwendungen im Gegensatz zu einem Upgrade auf neuere und sicherere Systeme einhergehen.

Wenn ein Anbieter Zugriff auf das Netzwerk einer Organisation benötigt, um eine Installation oder ein Update durchzuführen, sollte die Aktivität gemäß allen relevanten Autorisierungsverfahren überwacht und validiert werden (siehe Kontrolle 5.22).

Ergänzende Leitlinien zur Kontrolle 8.19

Die Software sollte gemäß den veröffentlichten Änderungsmanagementverfahren der Organisation aktualisiert, installiert und/oder gepatcht werden, um die Einheitlichkeit mit anderen Bereichen des Unternehmens sicherzustellen.

Immer wenn ein Patch identifiziert wird, der entweder eine Schwachstelle (oder eine Reihe von Schwachstellen) vollständig beseitigt oder in irgendeiner Weise zur Verbesserung der Informationssicherheit der Organisation beiträgt, sollten solche Änderungen fast immer angewendet werden (obwohl weiterhin die Notwendigkeit besteht, solche Änderungen zu bewerten). im Einzelfall).

Wenn die Notwendigkeit besteht, Open-Source-Software zu verwenden, sollte es sich immer um die neueste öffentlich verfügbare Version handeln, die aktiv gepflegt wird. Dementsprechend sollten Unternehmen die inhärenten Risiken der Verwendung nicht gewarteter Software in allen Geschäftsfunktionen berücksichtigen.

Unterstützende Kontrollen

• 5.22
• 8.5

Änderungen und Unterschiede zu ISO 27002:2013

ISO 27002:2022-8.19 ersetzt ISO 27002:2003-12.5.1 (Installation von Software auf Betriebssystemen) und 12.6.2 (Einschränkungen bei der Softwareinstallation).

27002:2022-8.19 ist eine Zusammenfassung der meisten in 27002:2003-12.5.1 und 12.6.2 enthaltenen Ratschläge, wobei mehrere Schlüsselkonzepte kurz erweitert und einige neue Leitprinzipien hinzugefügt wurden:

• Pflege eines Bibliothekssystems.
• Regeln für die Nutzung von Open-Source-Software.
• Genauere logische Kontrollen bei der Installation und Wartung von Anbietersoftware.

Wie ISMS.online hilft

ISMS.Online ist eine Komplettlösung zur ISO 27002-Implementierung. Es handelt sich um ein webbasiertes System, mit dem Sie anhand durchdachter Prozesse, Verfahren und Checklisten nachweisen können, dass Ihr Informationssicherheits-Managementsystem (ISMS) den anerkannten Standards entspricht.

Es ist nicht nur eine benutzerfreundliche Plattform für die Verwaltung Ihrer ISO 27002-Implementierung, sondern auch ein hervorragendes Tool zur Schulung Ihrer Mitarbeiter in Best Practices und Prozessen für die Informationssicherheit sowie zur Dokumentation aller Ihrer Bemühungen.

Die Vorteile der Nutzung von ISMS.Online:

• Einfach zu bedienende Online-Plattform, auf die von jedem Gerät aus zugegriffen werden kann.
• Es ist vollständig an Ihre Bedürfnisse anpassbar.
• Anpassbare Arbeitsabläufe und Prozesse, die Ihren Geschäftsanforderungen entsprechen.
• Schulungstools, die neuen Mitarbeitern helfen, sich schneller einzuarbeiten.
• Eine Bibliothek mit Vorlagen für Dokumente wie Richtlinien, Verfahren, Pläne und Checklisten.

Nehmen Sie noch heute Kontakt mit uns auf Demo buchen.