Implementierung der ISO 27002-Kontrolle 8.27 für mehr Sicherheit
Komplexe Zusammensetzungen moderner Informationssysteme und die sich ständig verändernde Bedrohungslandschaft der Cybersicherheit machen Informationssysteme anfälliger für bekannte und potenzielle Sicherheitsbedrohungen.
In Control 8.27 geht es darum, wie Unternehmen Abhilfe schaffen können Sicherheitsbedrohungen für Informationssysteme durch die Schaffung sicherer Systemtechnikprinzipien die auf alle Phasen des Lebenszyklus eines Informationssystems angewendet werden.
Zweck der Kontrolle 8.27
Control 8.27 ermöglicht es Unternehmen, die zu verwalten Sicherheit von Informationssystemen Während der Entwurfs-, Bereitstellungs- und Betriebsphase durch die Festlegung und Implementierung sicherer Systemtechnikprinzipien, die von Systemingenieuren eingehalten werden.
Attributtabelle der Steuerung 8.27
Kontrolle 8.27 ist eine präventive Art der Kontrolle, die von Organisationen verlangt, bekannte und potenzielle Bedrohungen für die zu beseitigen Vertraulichkeit, Integrität und Verfügbarkeit von Informationsressourcen auf Informationssystemen wie Speichermedien, Datenbanken und Anwendungen gespeichert oder verarbeitet werden, indem Grundsätze für eine sichere Systemtechnik festgelegt werden.
| Steuerungstyp | Eigenschaften der Informationssicherheit | Cybersicherheitskonzepte | Operative Fähigkeiten | Sicherheitsdomänen |
|---|---|---|---|---|
| #Präventiv | #Vertraulichkeit | #Schützen | #Anwendungssicherheit | #Schutz |
| #Integrität | #System- und Netzwerksicherheit | |||
| #Verfügbarkeit |
ISO 27001 leicht gemacht
Ein Vorsprung von 81 % vom ersten Tag an
Wir haben die harte Arbeit für Sie erledigt und Ihnen vom Moment Ihrer Anmeldung an einen Vorsprung von 81 % verschafft. Sie müssen nur noch die Lücken ausfüllen.
Eigentum an der Kontrolle 8.27
Chef Der Informationssicherheitsbeauftragte sollte zur Verantwortung gezogen werden für die Festlegung, Aufrechterhaltung und Umsetzung von Grundsätzen, die die sichere Entwicklung von Informationssystemen regeln.
Allgemeine Richtlinien zur Compliance
Control 8.27 unterstreicht dies Organisationen sollten Sicherheit in alle Schichten von Informationssystemen integrieren, einschließlich Geschäftsprozesse, Anwendungen und Datenarchitektur.
Außerdem sind Sichere technische Grundsätze sollten für alle Aktivitäten im Zusammenhang mit Informationssystemen gelten und sollten regelmäßig überprüft und aktualisiert werden, wobei aufkommende Bedrohungen und Angriffsmuster berücksichtigt werden.
Neben intern entwickelten und betriebenen Informationssystemen gilt Control 8.27 auch für Informationssysteme, die von externen Dienstleistern erstellt werden.
Daher sollten Organisationen sicherstellen, dass die Praktiken und Standards der Dienstanbieter ihren eigenen Grundsätzen für sicheres Engineering entsprechen.
Control 8.27 erfordert sichere Systemtechnikprinzipien, um die folgenden acht Probleme abzudecken:
- Anleitung zu Benutzerauthentifizierungsmethoden.
- Anleitung zum sichere Sitzungskontrolle.
- Anleitung zu Datenbereinigungs- und Validierungsverfahren.
- Klubportal CMS Analyse aller Sicherheitsmaßnahmen erforderlich, um Informationsressourcen und -systeme vor bekannten Bedrohungen zu schützen.
- Umfassende Analyse der Möglichkeiten von Sicherheitsmaßnahmen zur Erkennung, Beseitigung und Reaktion auf Sicherheitsbedrohungen.
- Analysieren Sicherheitsmaßnahmen, die auf bestimmte Geschäftsaktivitäten angewendet werden wie etwa die Verschlüsselung von Informationen.
- Wie und wo Sicherheitsmaßnahmen umgesetzt werden. Dies kann die Integration einer spezifischen Sicherheitskontrolle innerhalb der technischen Infrastruktur umfassen.
- Wie verschiedene Sicherheitsmaßnahmen zusammenarbeiten und als kombinierte Reihe von Kontrollen funktionieren.
Leitfaden zum Zero-Trust-Prinzip
Organisationen sollten die folgenden Zero-Trust-Grundsätze berücksichtigen:
- Ausgehend von der Annahme, dass die Systeme der Organisation bereits kompromittiert sind und die definierte Netzwerkperimetersicherheit nicht mehr wirksam ist.
- Bei der Bereitstellung des Zugriffs auf Informationssysteme gilt der Ansatz „Niemals vertrauen und immer überprüfen“.
- Gewährleistung, dass an Informationssysteme gestellte Anfragen durch Ende-zu-Ende-Verschlüsselung geschützt sind.
- Implementierung eines Überprüfungsmechanismus, der davon ausgeht Zugriffsanfragen zu Informationen Systeme bestehen aus externen, offenen Netzwerken.
- Einführung von „geringsten Privilegien“ und Dynamik Zugangskontrolltechniken gemäß Regelung 5.15, 5,18 und 8.2. Dies umfasst die Authentifizierung und Autorisierung von Zugriffsanfragen für vertrauliche Informationen und Informationssysteme unter Berücksichtigung kontextbezogener Informationen wie Benutzeridentitäten gemäß Definition in Control 5.16 und Informationsklassifizierung gemäß Control 5.12.
- Stets die Identität des Antragstellers authentifizieren und Autorisierungsanfragen für den Zugriff auf Informationssysteme überprüfen. Diese Authentifizierungs- und Verifizierungsverfahren sollten gemäß den Authentifizierungsinformationen in Control 5.17, Benutzeridentitäten in Control 5.16 und Multi-Factor in Control 8.5 durchgeführt werden.
Befreien Sie sich von einem Berg an Tabellenkalkulationen
Integrieren, erweitern und skalieren Sie Ihre Compliance, ohne dass es zu Problemen kommt. IO gibt Ihnen die Widerstandsfähigkeit und das Vertrauen, um sicher zu wachsen.
Was sollten Secure System Engineering-Techniken abdecken?
- Übernahme und Implementierung sicherer Architekturprinzipien, einschließlich „Sicherheit durch Design“, „Tiefenverteidigung“, „Sicherheit bei Ausfall“, „Misstrauen gegenüber Eingaben von externen Anwendungen“, „Verletzung annehmen“, „geringste Privilegien“, „Benutzerfreundlichkeit und Verwaltbarkeit“ und „ geringste Funktionalität“.
- Einführung und Anwendung eines sicherheitsorientierten Entwurfsüberprüfungsprozesses Informationssicherheit erkennen Schwachstellen erkennen und sicherstellen, dass Sicherheitsmaßnahmen erkannt werden und den Sicherheitsanforderungen genügen.
- Dokumentation und Anerkennung der Sicherheitsmaßnahmen, die nicht den Anforderungen genügen.
- Systemhärtung.
Welche Kriterien sind bei der Entwicklung sicherer Engineering-Prinzipien zu berücksichtigen?
Organisationen sollten bei der Festlegung sicherer Systemtechnikprinzipien Folgendes berücksichtigen:
- Die Notwendigkeit, Kontrollen in eine spezifische Sicherheitsarchitektur zu integrieren.
- Vorhandene technische Sicherheitsinfrastruktur, einschließlich Public-Key-Infrastruktur, Identitätsmanagement und Verhinderung von Datenlecks.
- Ob die Organisation in der Lage ist, die ausgewählte Technologie aufzubauen und zu warten.
- Kosten und Zeit, die zur Erfüllung der Sicherheitsanforderungen erforderlich sind, und Komplexität dieser Anforderungen.
- Bestehende Best Practices.
Praktische Anleitung zur Anwendung sicherer Systemtechnikprinzipien
Control 8.27 weist darauf hin, dass Organisationen sichere technische Prinzipien in die Praxis umsetzen können, wenn sie Folgendes konfigurieren:
- Fehlertoleranz und ähnliche Resilienzmethoden.
- Segregationstechniken wie Virtualisierung.
- Manipulationssicher.
Darüber hinaus ist die Verwendung von Sichere Virtualisierungstechnologie kann helfen, das Risiko zu beseitigen des Abfangens zwischen zwei Anwendungen, die auf demselben Gerät ausgeführt werden.
Abschließend wird darauf hingewiesen, dass der Einsatz von Manipulationsschutzsystemen dazu beitragen kann, sowohl logische als auch physische Manipulationen an Informationssystemen zu erkennen und die unbefugte Entnahme von Informationen zu verhindern.
Verwalten Sie Ihre gesamte Compliance an einem Ort
ISMS.online unterstützt über 100 Standards und Vorschriften und bietet Ihnen eine einzige Plattform für alle Ihre Compliance-Anforderungen.
Änderungen und Unterschiede zu ISO 27002:2013
27002:2022/8.27 replaces 27002:2013/(14.2.5)
Die Version 2022 führt im Vergleich zur Version 2013 umfassendere Anforderungen ein:
- Im Gegensatz zur Version 2013 bietet die Version 2022 Leitlinien dazu, was sichere technische Grundsätze abdecken sollten.
- Im Gegensatz zur Version 2013 befasst sich die Version 2022 mit den Kriterien, die Unternehmen bei der Entwicklung sicherer Systemtechnikprinzipien berücksichtigen sollten.
- Die Version 2022 enthält Hinweise zum Zero-Trust-Prinzip. Die Version 2013 deckte dies hingegen nicht ab.
- Die Version 2022 enthält Empfehlungen darüber, welche sicheren technischen Techniken angewendet werden sollten, wie zum Beispiel „Security by Design“. Im Gegensatz zur Version 2022 bezog sich die Version 2013 nicht auf solche Techniken.
Neue ISO 27002-Kontrollen
| ISO/IEC 27002:2022 Kontrollkennung | ISO/IEC 27002:2013 Kontrollkennung | Kontrollname |
|---|---|---|
| 5.7 | NEU | Bedrohungsinformationen |
| 5.23 | NEU | Informationssicherheit bei der Nutzung von Cloud-Diensten |
| 5.30 | NEU | IKT-Bereitschaft für Geschäftskontinuität |
| 7.4 | NEU | Physische Sicherheitsüberwachung |
| 8.9 | NEU | Konfigurationsmanagement |
| 8.10 | NEU | Löschung von Informationen |
| 8.11 | NEU | Datenmaskierung |
| 8.12 | NEU | Verhinderung von Datenlecks |
| 8.16 | NEU | Überwachungsaktivitäten |
| 8.23 | NEU | Web-Filter |
| 8.28 | NEU | Sichere Codierung |
| ISO/IEC 27002:2022 Kontrollkennung | ISO/IEC 27002:2013 Kontrollkennung | Kontrollname |
|---|---|---|
| 6.1 | 07.1.1 | Rekrutierung |
| 6.2 | 07.1.2 | Beschäftigungsbedingungen |
| 6.3 | 07.2.2 | Bewusstsein für Informationssicherheit, Aus- und Weiterbildung |
| 6.4 | 07.2.3 | Disziplinarverfahren |
| 6.5 | 07.3.1 | Verantwortlichkeiten nach Beendigung oder Wechsel des Arbeitsverhältnisses |
| 6.6 | 13.2.4 | Vertraulichkeits- oder Geheimhaltungsvereinbarungen |
| 6.7 | 06.2.2 | Fernarbeit |
| 6.8 | 16.1.2, 16.1.3 | Berichterstattung über Informationssicherheitsereignisse |
| ISO/IEC 27002:2022 Kontrollkennung | ISO/IEC 27002:2013 Kontrollkennung | Kontrollname |
|---|---|---|
| 7.1 | 11.1.1 | Physische Sicherheitsbereiche |
| 7.2 | 11.1.2, 11.1.6 | Physischer Eintritt |
| 7.3 | 11.1.3 | Absicherung von Büros, Räumen und Anlagen |
| 7.4 | NEU | Physische Sicherheitsüberwachung |
| 7.5 | 11.1.4 | Schutz vor physischen und umweltbedingten Bedrohungen |
| 7.6 | 11.1.5 | Arbeiten in sicheren Bereichen |
| 7.7 | 11.2.9 | Klarer Schreibtisch und klarer Bildschirm |
| 7.8 | 11.2.1 | Standort und Schutz der Ausrüstung |
| 7.9 | 11.2.6 | Sicherheit von Vermögenswerten außerhalb des Betriebsgeländes |
| 7.10 | 08.3.1, 08.3.2, 08.3.3, 11.2.5 | Speichermedium |
| 7.11 | 11.2.2 | Unterstützende Versorgungsunternehmen |
| 7.12 | 11.2.3 | Verkabelungssicherheit |
| 7.13 | 11.2.4 | Wartung der Ausrüstung |
| 7.14 | 11.2.7 | Sichere Entsorgung oder Wiederverwendung von Geräten |
Wie ISMS.online hilft
Mit unserer Schritt-für-Schritt-Checkliste, die Sie durch den gesamten Prozess führt, wird die Implementierung von ISO 27002 einfacher. Ihre komplette Compliance-Lösung für ISO / IEC 27002: 2022.
- Bis zu 81 % Fortschritt ab dem Zeitpunkt der Anmeldung.
- Einfache und umfassende Compliance-Lösung.
Nehmen Sie noch heute Kontakt mit uns auf Demo buchen.
