ISO 27002-Kontrolle 8.23 verstehen: Webfilterung für Cybersicherheit
Wenn Mitarbeiter Websites mit schädlichen Inhalten besuchen, kann dies dazu führen, dass Unternehmensnetzwerke und Informationssysteme Sicherheitsrisiken wie Malware-Angriffen ausgesetzt sind.
Beispielsweise können Cyber-Angreifer eine Phishing-E-Mail an die geschäftliche E-Mail-Adresse eines Mitarbeiters senden und ihn dazu verleiten, auf einen Link zu klicken und eine Website zu besuchen. Wenn der Mitarbeiter diese Website besucht, lädt er möglicherweise automatisch Schadsoftware auf das Gerät des Mitarbeiters hoch und dringt dann in Unternehmensnetzwerke ein. Diese Art von Angriff wird aufgerufen Drive-by-Download und es lädt automatisch Malware herunter, sobald ein Mitarbeiter eine Website besucht.
Daher sollten Unternehmen geeignete Webfilterkontrollen einrichten, um den Zugriff auf externe Websites einzuschränken und zu kontrollieren und Sicherheitsbedrohungen zu verhindern.
Zweck der Kontrolle 8.23
Control 8.23 ermöglicht es Unternehmen, Sicherheitsrisiken wie Malware-Infektionen zu beseitigen, die durch den Zugriff auf externe Websites mit schädlichen Inhalten entstehen können.
Attributtabelle der Steuerung 8.23
Control 8.23 ist eine präventive Art der Kontrolle, die von Organisationen verlangt, geeignete Zugriffskontrollen und Maßnahmen einzurichten, um den Zugriff auf schädliche Inhalte auf externen Websites zu verhindern.
| Steuerungstyp | Eigenschaften der Informationssicherheit | Cybersicherheitskonzepte | Operative Fähigkeiten | Sicherheitsdomänen |
|---|---|---|---|---|
| #Präventiv | #Vertraulichkeit | #Schützen | #System- und Netzwerksicherheit | #Schutz |
| #Integrität | ||||
| #Verfügbarkeit |
ISO 27001 leicht gemacht
Ein Vorsprung von 81 % vom ersten Tag an
Wir haben die harte Arbeit für Sie erledigt und Ihnen vom Moment Ihrer Anmeldung an einen Vorsprung von 81 % verschafft. Sie müssen nur noch die Lücken ausfüllen.
Eigentum an der Kontrolle 8.23
In Anbetracht der Tatsache, dass 8.28 die Identifizierung von externen Websites mit hohem Risiko sowie die Gestaltung und Implementierung geeigneter Zugriffs- und Webfilterungskontrollen umfasst, sollte der Chief Information Security Officer dafür verantwortlich sein, geeignete Maßnahmen zur Einhaltung zu ergreifen.
Allgemeine Richtlinien zur Compliance
Organisationen sollten die erforderlichen Kontrollen einrichten und umsetzen, um zu verhindern, dass Mitarbeiter auf externe Websites zugreifen, die Viren, Phishing-Materialien oder andere Arten illegaler Informationen enthalten können.
Eine wirksame Technik, um den Zugriff auf gefährliche externe Websites zu verhindern, ist das Blockieren der IP-Adresse oder Domäne von Websites, die als gefährlich identifiziert wurden. Einige Browser und Anti-Malware-Tools ermöglichen es Unternehmen beispielsweise, dies automatisch durchzuführen.
Control 8.23 weist darauf hin, dass Organisationen festlegen sollten, auf welche Arten von Websites ihre Mitarbeiter nicht zugreifen dürfen.
Insbesondere sollten die folgenden Arten von Websites blockiert werden:
- Websites mit Funktion zum Hochladen von Informationen. Der Zutritt sollte genehmigungspflichtig sein und nur aus triftigen geschäftlichen Gründen gewährt werden.
- Websites, von denen bekannt ist oder vermutet wird, dass sie schädliches Material enthalten, beispielsweise Websites mit Malware-Inhalten.
- Befehls- und Kontrollserver.
- Schädliche Websites, die aus Bedrohungsinformationen gewonnen wurden. Weitere Einzelheiten finden Organisationen in Abschnitt 5.7.
- Websites, die illegale Inhalte und Materialien verbreiten.
Vor der Konzeption und Implementierung dieser Kontrolle wird Organisationen empfohlen, Regeln für den sicheren und angemessenen Zugriff auf und die Nutzung von Online-Ressourcen festzulegen. Dazu gehört auch die Einführung von Beschränkungen für Websites, die unangemessene Materialien enthalten.
Diese Regeln sollten in regelmäßigen Abständen überprüft und aktualisiert werden.
Ergänzende Leitlinien zur Personalschulung
Regelung 8.23 verlangt, dass alle Mitarbeiter geschult werden, wie sie sicher auf Online-Ressourcen zugreifen und diese nutzen können.
Diese Schulung sollte die eigenen Regeln der Organisation abdecken und darauf eingehen, wie Mitarbeiter ihre Sicherheitsbedenken äußern können, indem sie sich an die entsprechende Person innerhalb der Organisation wenden.
Darüber hinaus sollte in der Schulung auch darauf eingegangen werden, wie Mitarbeiter aus berechtigten geschäftlichen Gründen auf eingeschränkte Websites zugreifen können und wie dieser Ausnahmeprozess für einen solchen Zugriff funktioniert.
Zu guter Letzt sollte sich die Schulung mit Browserhinweisen befassen, die Benutzer warnen, dass eine Website nicht sicher ist, Benutzern aber das Fortfahren ermöglichen. Das Personal sollte angewiesen werden, solche Warnungen nicht zu ignorieren.
Verwalten Sie Ihre gesamte Compliance an einem Ort
ISMS.online unterstützt über 100 Standards und Vorschriften und bietet Ihnen eine einzige Plattform für alle Ihre Compliance-Anforderungen.
Ergänzende Leitlinien zur Kontrolle 8.23
Es gibt eine Vielzahl von Webfiltertechniken wie zum Beispiel:
- Heuristiken.
- Unterschriften
- Liste verbotener und akzeptabler Websites.
- Domänenkonfiguration.
Änderungen und Unterschiede zu ISO 27002:2013
27002:2022/8.23 ist eine neue Art der Steuerung.
Neue ISO 27002-Kontrollen
| ISO/IEC 27002:2022 Kontrollkennung | ISO/IEC 27002:2013 Kontrollkennung | Kontrollname |
|---|---|---|
| 5.7 | NEU | Bedrohungsinformationen |
| 5.23 | NEU | Informationssicherheit bei der Nutzung von Cloud-Diensten |
| 5.30 | NEU | IKT-Bereitschaft für Geschäftskontinuität |
| 7.4 | NEU | Physische Sicherheitsüberwachung |
| 8.9 | NEU | Konfigurationsmanagement |
| 8.10 | NEU | Löschung von Informationen |
| 8.11 | NEU | Datenmaskierung |
| 8.12 | NEU | Verhinderung von Datenlecks |
| 8.16 | NEU | Überwachungsaktivitäten |
| 8.23 | NEU | Web-Filter |
| 8.28 | NEU | Sichere Codierung |
| ISO/IEC 27002:2022 Kontrollkennung | ISO/IEC 27002:2013 Kontrollkennung | Kontrollname |
|---|---|---|
| 6.1 | 07.1.1 | Rekrutierung |
| 6.2 | 07.1.2 | Beschäftigungsbedingungen |
| 6.3 | 07.2.2 | Bewusstsein für Informationssicherheit, Aus- und Weiterbildung |
| 6.4 | 07.2.3 | Disziplinarverfahren |
| 6.5 | 07.3.1 | Verantwortlichkeiten nach Beendigung oder Wechsel des Arbeitsverhältnisses |
| 6.6 | 13.2.4 | Vertraulichkeits- oder Geheimhaltungsvereinbarungen |
| 6.7 | 06.2.2 | Fernarbeit |
| 6.8 | 16.1.2, 16.1.3 | Berichterstattung über Informationssicherheitsereignisse |
| ISO/IEC 27002:2022 Kontrollkennung | ISO/IEC 27002:2013 Kontrollkennung | Kontrollname |
|---|---|---|
| 7.1 | 11.1.1 | Physische Sicherheitsbereiche |
| 7.2 | 11.1.2, 11.1.6 | Physischer Eintritt |
| 7.3 | 11.1.3 | Absicherung von Büros, Räumen und Anlagen |
| 7.4 | NEU | Physische Sicherheitsüberwachung |
| 7.5 | 11.1.4 | Schutz vor physischen und umweltbedingten Bedrohungen |
| 7.6 | 11.1.5 | Arbeiten in sicheren Bereichen |
| 7.7 | 11.2.9 | Klarer Schreibtisch und klarer Bildschirm |
| 7.8 | 11.2.1 | Standort und Schutz der Ausrüstung |
| 7.9 | 11.2.6 | Sicherheit von Vermögenswerten außerhalb des Betriebsgeländes |
| 7.10 | 08.3.1, 08.3.2, 08.3.3, 11.2.5 | Speichermedium |
| 7.11 | 11.2.2 | Unterstützende Versorgungsunternehmen |
| 7.12 | 11.2.3 | Verkabelungssicherheit |
| 7.13 | 11.2.4 | Wartung der Ausrüstung |
| 7.14 | 11.2.7 | Sichere Entsorgung oder Wiederverwendung von Geräten |
Wie ISMS.online hilft
Sie können alle Aspekte Ihrer ISO 27002-Compliance-Reise von einem Ort aus überwachen und verwalten – Auditmanagement, Lückenanalyse, Schulungsmanagement, Risikobewertung usw.
Es bietet eine benutzerfreundliche, integrierte Lösung, auf die rund um die Uhr über jedes Gerät mit Internetverbindung zugegriffen werden kann. Die Plattform ermöglicht allen Mitarbeitern eine nahtlose und sichere Zusammenarbeit, um Sicherheitsrisiken zu verwalten und die Compliance des Unternehmens sowie den Weg zur ISO 24-Zertifizierung zu verfolgen.
Nehmen Sie noch heute Kontakt mit uns auf Demo buchen.
