ISO 27002:2022, Kontrolle 8.22 – Trennung von Netzwerken

Attributtabelle

Control 8.22 ist präventiver Natur, da es von Organisationen verlangt, einen proaktiven Ansatz zu verfolgen und Regeln, Verfahren und geeignete Techniken festzulegen und umzusetzen, um das größere Computernetzwerk in kleinere Netzwerkdomänen zu unterteilen, sodass eine Gefährdung sensibler Netzwerke verhindert werden kann.

Eigentum an der Kontrolle 8.22

In Anbetracht der Tatsache, dass Kontrolle 8.22 eine Segmentierung von Netzwerken, Geräten und Systemen auf der Grundlage des Grads der damit verbundenen Risiken sowie die Implementierung von Techniken und Verfahren zur Netzwerksegregation beinhaltet, sollte ein Informationssicherheitsbeauftragter für die Einhaltung verantwortlich gemacht werden.

Allgemeine Richtlinien zur Compliance

Bei der Implementierung von Maßnahmen zur Netzwerktrennung sollten Unternehmen versuchen, ein Gleichgewicht zwischen betrieblichen Anforderungen und Sicherheitsbedenken zu finden.

Control 8.22 listet drei Empfehlungen auf, die bei der Implementierung der Netzwerksegregation berücksichtigt werden sollten.

So unterteilen Sie das Netzwerk in kleinere Teilnetzwerke

Bei der Aufteilung des Netzwerks in kleinere Netzwerk-Subdomänen sollten Unternehmen den Grad der Sensibilität und Kritikalität jeder Netzwerkdomäne berücksichtigen. Abhängig von dieser Analyse können Netzwerk-Subdomänen „öffentlichen Domänen“, „Desktop-Domänen“, „Server-Domänen“ oder „Systemen mit hohem Risiko“ zugeordnet werden.

Darüber hinaus können Unternehmen bei der Trennung des Netzwerks auch die Geschäftsabteilungen wie Personal, Marketing und Finanzen berücksichtigen.

Es wird außerdem darauf hingewiesen, dass Unternehmen diese beiden Kriterien kombinieren und Netzwerk-Subdomänen Kategorien wie „Serverdomäne mit Verbindung zur Vertriebsabteilung“ zuordnen können.

Sicherheitsperimeter und Zugangskontrolle

Organisationen sollten den Umfang jeder Netzwerk-Subdomäne klar definieren. Wenn ein Zugriff zwischen zwei verschiedenen Netzwerkdomänen erfolgt, sollte dieser Zugriff auf der Perimeterebene über das Gateway, z. B. Firewalls oder Filterrouter, eingeschränkt werden.

Organisationen sollten die Sicherheitsanforderungen für jede spezifische Domäne bewerten, wenn sie die Netzwerktrennung implementieren und den Zugriff über die Gateways autorisieren.

Diese Bewertung sollte in Übereinstimmung mit der Zugangskontrollrichtlinie gemäß Kontrolle 5.15 durchgeführt werden und sollte außerdem Folgendes berücksichtigen:

• Den Informationsressourcen zugewiesene Klassifizierungsebene.
• Kritikalität von Informationen.
• Kosten und praktische Überlegungen zur Verwendung einer bestimmten Gateway-Technologie.

Drahtlose Netzwerke

Angesichts der Tatsache, dass die Definition von Netzwerksicherheitsparametern für drahtlose Netzwerke eine Herausforderung darstellt, empfiehlt Control 8.22 Unternehmen, die folgenden Praktiken einzuhalten:

• Der Einsatz von Techniken zur Anpassung der Funkabdeckung zur Trennung drahtloser Netzwerke sollte geprüft werden.
• Bei sensiblen Netzwerken können Organisationen alle drahtlosen Zugriffsversuche als externe Verbindungen annehmen und den Zugriff auf interne Netzwerke verhindern, bis die Gateway-Steuerung den Zugriff genehmigt.
• Wenn das Personal nur seine eigenen Geräte gemäß den Richtlinien der Organisation verwendet, sollte der drahtlose Netzwerkzugang für Personal und Gäste getrennt erfolgen.
• Die Nutzung von WLAN durch Gäste sollte denselben Einschränkungen und Kontrollen unterliegen, die auch für das Personal gelten.

Ergänzende Leitlinien zur Kontrolle 8.22

Control 8.22 stellt fest, dass Organisationen häufig verschiedene Geschäftspartnerschaften mit anderen Unternehmen eingehen und ihr Netzwerk, ihre IT-Geräte und andere Informationseinrichtungen gemeinsam nutzen.

Daher sind sensible Netzwerke möglicherweise einem erhöhten Risiko des unbefugten Zugriffs durch andere Benutzer ausgesetzt, und Organisationen sollten geeignete Maßnahmen ergreifen, um diesem Risiko vorzubeugen.

Änderungen und Unterschiede zu ISO 27002:2013

27002:2022/8.22 replaces 27002:2013/(13.1.3)

Obwohl sich die Versionen 2022 und 2013 weitgehend ähneln, gibt es einen wesentlichen Unterschied.

Im Gegensatz zur Version 2013 enthält die Version 2022 folgende Anforderungen für drahtlose Netzwerke:

• Wenn das Personal nur seine eigenen Geräte gemäß den Richtlinien der Organisation verwendet, sollte der drahtlose Netzwerkzugang für Personal und Gäste getrennt erfolgen.
• Die Nutzung von WLAN durch Gäste sollte denselben Einschränkungen und Kontrollen unterliegen, die auch für das Personal gelten.

Wie ISMS.online hilft

ISMS.Online ermöglicht Ihnen:

• Dokumentieren Sie Ihre Prozesse. Mit dieser intuitiven Benutzeroberfläche können Sie Ihre Prozesse dokumentieren, ohne Software auf Ihrem Computer oder Netzwerk installieren zu müssen.
• Automatisieren Sie Ihren Risikobewertungsprozess.
• Weisen Sie Compliance ganz einfach mit Online-Berichten und Checklisten nach.
• Halten Sie den Fortschritt fest, während Sie auf die Zertifizierung hinarbeiten.

ISMS.Online bietet eine umfassende Palette an Funktionen, die Organisationen und Unternehmen dabei helfen, die Einhaltung des Industriestandards ISO 27001 und/oder ISO 27002 ISMS zu erreichen.

Bitte kontaktieren Sie uns noch heute Demo anfordern.