Implementierung der ISO 27002-Kontrolle 8.27 für mehr Sicherheit
Komplexe Zusammensetzungen moderner Informationssysteme und die sich ständig verändernde Bedrohungslandschaft der Cybersicherheit machen Informationssysteme anfälliger für bekannte und potenzielle Sicherheitsbedrohungen.
Control 8.27 befasst sich damit, wie Organisationen Sicherheitsbedrohungen für Informationssysteme beseitigen können, indem sie sichere Systementwicklungsprinzipien schaffen , die auf alle Phasen des Lebenszyklus von Informationssystemen angewendet werden.
Zweck der Kontrolle 8.27
Control 8.27 ermöglicht es Organisationen, die Sicherheit von Informationssystemen während der Entwurfs-, Bereitstellungs- und Betriebsphasen aufrechtzuerhalten, indem sichere Systementwicklungsprinzipien festgelegt und implementiert werden, an die sich die Systemingenieure halten.
Attributtabelle der Steuerung 8.27
Bei Control 8.27 handelt es sich um eine präventive Kontrollmaßnahme, die von Organisationen verlangt, bekannte und potenzielle Bedrohungen für die Vertraulichkeit, Integrität und Verfügbarkeit von Informationsbeständen, die auf oder über Informationssysteme wie Speichermedien, Datenbanken und Anwendungen gespeichert oder verarbeitet werden, durch die Festlegung von Grundsätzen für eine sichere Systementwicklung zu beseitigen.
| Steuerungstyp | Eigenschaften der Informationssicherheit | Cybersicherheitskonzepte | Operative Fähigkeiten | Sicherheitsdomänen |
|---|---|---|---|---|
| #Präventiv | #Vertraulichkeit | #Schützen | #Anwendungssicherheit | #Schutz |
| #Integrität | #System- und Netzwerksicherheit | |||
| #Verfügbarkeit |
ISO 27001 leicht gemacht
Ein Vorsprung von 81 % vom ersten Tag an
Wir haben die harte Arbeit für Sie erledigt und Ihnen vom Moment Ihrer Anmeldung an einen Vorsprung von 81 % verschafft. Sie müssen nur noch die Lücken ausfüllen.
Eigentum an der Kontrolle 8.27
Der Chief Information Security Officer sollte für die Festlegung, Aufrechterhaltung und Umsetzung von Grundsätzen verantwortlich gemacht werden, die die sichere Entwicklung von Informationssystemen regeln.
Allgemeine Richtlinien zur Compliance
Kontrollpunkt 8.27 hebt hervor, dass Organisationen Sicherheit in alle Ebenen von Informationssystemen einbetten sollten , einschließlich Geschäftsprozesse, Anwendungen und Datenarchitektur.
Darüber hinaus sollten die Grundsätze der sicheren Systementwicklung für alle Aktivitäten im Zusammenhang mit Informationssystemen gelten und regelmäßig überprüft und aktualisiert werden, wobei neu auftretende Bedrohungen und Angriffsmuster zu berücksichtigen sind.
Neben intern entwickelten und betriebenen Informationssystemen gilt Control 8.27 auch für Informationssysteme, die von externen Dienstleistern erstellt werden.
Daher sollten Organisationen sicherstellen, dass die Praktiken und Standards der Dienstanbieter ihren eigenen Grundsätzen für sicheres Engineering entsprechen.
Control 8.27 erfordert sichere Systemtechnikprinzipien, um die folgenden acht Probleme abzudecken:
- Anleitung zu Benutzerauthentifizierungsmethoden.
- Anleitung zum sichere Sitzungskontrolle.
- Anleitung zu Datenbereinigungs- und Validierungsverfahren.
- Klubportal CMS Analyse aller Sicherheitsmaßnahmen erforderlich, um Informationsressourcen und -systeme vor bekannten Bedrohungen zu schützen.
- Umfassende Analyse der Möglichkeiten von Sicherheitsmaßnahmen zur Erkennung, Beseitigung und Reaktion auf Sicherheitsbedrohungen.
- Analysieren Sicherheitsmaßnahmen, die auf bestimmte Geschäftsaktivitäten angewendet werden wie etwa die Verschlüsselung von Informationen.
- Wie und wo Sicherheitsmaßnahmen umgesetzt werden. Dies kann die Integration einer spezifischen Sicherheitskontrolle innerhalb der technischen Infrastruktur umfassen.
- Wie verschiedene Sicherheitsmaßnahmen zusammenarbeiten und als kombinierte Reihe von Kontrollen funktionieren.
Leitfaden zum Zero-Trust-Prinzip
Organisationen sollten die folgenden Zero-Trust-Grundsätze berücksichtigen:
- Ausgehend von der Annahme, dass die Systeme der Organisation bereits kompromittiert sind und die definierte Netzwerkperimetersicherheit nicht mehr wirksam ist.
- Bei der Bereitstellung des Zugriffs auf Informationssysteme gilt der Ansatz „Niemals vertrauen und immer überprüfen“.
- Gewährleistung, dass an Informationssysteme gestellte Anfragen durch Ende-zu-Ende-Verschlüsselung geschützt sind.
- Implementierung eines Überprüfungsmechanismus, der davon ausgeht Zugriffsanfragen zu Informationen Systeme bestehen aus externen, offenen Netzwerken.
- Einführung von „geringsten Privilegien“ und Dynamik Zugangskontrolltechniken gemäß Regelung 5.15, 5,18 und 8.2. Dies umfasst die Authentifizierung und Autorisierung von Zugriffsanfragen für vertrauliche Informationen und Informationssysteme unter Berücksichtigung kontextbezogener Informationen wie Benutzeridentitäten gemäß Definition in Control 5.16 und Informationsklassifizierung gemäß Control 5.12.
- Stets die Identität des Antragstellers authentifizieren und Autorisierungsanfragen für den Zugriff auf Informationssysteme überprüfen. Diese Authentifizierungs- und Verifizierungsverfahren sollten gemäß den Authentifizierungsinformationen in Control 5.17, Benutzeridentitäten in Control 5.16 und Multi-Factor in Control 8.5 durchgeführt werden.
Befreien Sie sich von einem Berg an Tabellenkalkulationen
Integrieren, erweitern und skalieren Sie Ihre Compliance, ohne dass es zu Problemen kommt. IO gibt Ihnen die Widerstandsfähigkeit und das Vertrauen, um sicher zu wachsen.
Was sollten Secure System Engineering-Techniken abdecken?
- Übernahme und Implementierung sicherer Architekturprinzipien, einschließlich „Sicherheit durch Design“, „Tiefenverteidigung“, „Sicherheit bei Ausfall“, „Misstrauen gegenüber Eingaben von externen Anwendungen“, „Verletzung annehmen“, „geringste Privilegien“, „Benutzerfreundlichkeit und Verwaltbarkeit“ und „ geringste Funktionalität“.
- Einführung und Anwendung eines sicherheitsorientierten Entwurfsüberprüfungsprozesses Informationssicherheit erkennen Schwachstellen erkennen und sicherstellen, dass Sicherheitsmaßnahmen erkannt werden und den Sicherheitsanforderungen genügen.
- Dokumentation und Anerkennung der Sicherheitsmaßnahmen, die nicht den Anforderungen genügen.
- Systemhärtung.
Welche Kriterien sind bei der Entwicklung sicherer Engineering-Prinzipien zu berücksichtigen?
Organisationen sollten bei der Festlegung sicherer Systemtechnikprinzipien Folgendes berücksichtigen:
- Die Notwendigkeit, Kontrollen in eine spezifische Sicherheitsarchitektur zu integrieren.
- Vorhandene technische Sicherheitsinfrastruktur, einschließlich Public-Key-Infrastruktur, Identitätsmanagement und Verhinderung von Datenlecks.
- Ob die Organisation in der Lage ist, die ausgewählte Technologie aufzubauen und zu warten.
- Kosten und Zeit, die zur Erfüllung der Sicherheitsanforderungen erforderlich sind, und Komplexität dieser Anforderungen.
- Bestehende Best Practices.
Praktische Anleitung zur Anwendung sicherer Systemtechnikprinzipien
Control 8.27 weist darauf hin, dass Organisationen sichere technische Prinzipien in die Praxis umsetzen können, wenn sie Folgendes konfigurieren:
- Fehlertoleranz und ähnliche Resilienzmethoden.
- Segregationstechniken wie Virtualisierung.
- Manipulationssicher.
Darüber hinaus kann der Einsatz sicherer Virtualisierungstechnologie dazu beitragen, das Risiko des Abhörens zwischen zwei Anwendungen, die auf demselben Gerät laufen, zu eliminieren.
Abschließend wird darauf hingewiesen, dass der Einsatz von Manipulationsschutzsystemen dazu beitragen kann, sowohl logische als auch physische Manipulationen an Informationssystemen zu erkennen und die unbefugte Entnahme von Informationen zu verhindern.
Verwalten Sie Ihre gesamte Compliance an einem Ort
ISMS.online unterstützt über 100 Standards und Vorschriften und bietet Ihnen eine einzige Plattform für alle Ihre Compliance-Anforderungen.
Änderungen und Unterschiede zu ISO 27002:2013
27002:2022/8.27 replaces 27002:2013/(14.2.5)
Die Version 2022 führt im Vergleich zur Version 2013 umfassendere Anforderungen ein:
- Im Gegensatz zur Version 2013 bietet die Version 2022 Leitlinien dazu, was sichere technische Grundsätze abdecken sollten.
- Im Gegensatz zur Version 2013 befasst sich die Version 2022 mit den Kriterien, die Unternehmen bei der Entwicklung sicherer Systemtechnikprinzipien berücksichtigen sollten.
- Die Version 2022 enthält Hinweise zum Zero-Trust-Prinzip. Die Version 2013 deckte dies hingegen nicht ab.
- Die Version 2022 enthält Empfehlungen darüber, welche sicheren technischen Techniken angewendet werden sollten, wie zum Beispiel „Security by Design“. Im Gegensatz zur Version 2022 bezog sich die Version 2013 nicht auf solche Techniken.
Neue ISO 27002-Kontrollen
| ISO/IEC 27002:2022 Kontrollkennung | ISO/IEC 27002:2013 Kontrollkennung | Kontrollname |
|---|---|---|
| 5.7 | NEU | Bedrohungsinformationen |
| 5.23 | NEU | Informationssicherheit bei der Nutzung von Cloud-Diensten |
| 5.30 | NEU | IKT-Bereitschaft für Geschäftskontinuität |
| 7.4 | NEU | Physische Sicherheitsüberwachung |
| 8.9 | NEU | Konfigurationsmanagement |
| 8.10 | NEU | Löschung von Informationen |
| 8.11 | NEU | Datenmaskierung |
| 8.12 | NEU | Verhinderung von Datenlecks |
| 8.16 | NEU | Überwachungsaktivitäten |
| 8.23 | NEU | Web-Filter |
| 8.28 | NEU | Sichere Codierung |
| ISO/IEC 27002:2022 Kontrollkennung | ISO/IEC 27002:2013 Kontrollkennung | Kontrollname |
|---|---|---|
| 6.1 | 07.1.1 | Rekrutierung |
| 6.2 | 07.1.2 | Beschäftigungsbedingungen |
| 6.3 | 07.2.2 | Bewusstsein für Informationssicherheit, Aus- und Weiterbildung |
| 6.4 | 07.2.3 | Disziplinarverfahren |
| 6.5 | 07.3.1 | Verantwortlichkeiten nach Beendigung oder Wechsel des Arbeitsverhältnisses |
| 6.6 | 13.2.4 | Vertraulichkeits- oder Geheimhaltungsvereinbarungen |
| 6.7 | 06.2.2 | Fernarbeit |
| 6.8 | 16.1.2, 16.1.3 | Berichterstattung über Informationssicherheitsereignisse |
| ISO/IEC 27002:2022 Kontrollkennung | ISO/IEC 27002:2013 Kontrollkennung | Kontrollname |
|---|---|---|
| 7.1 | 11.1.1 | Physische Sicherheitsbereiche |
| 7.2 | 11.1.2, 11.1.6 | Physischer Eintritt |
| 7.3 | 11.1.3 | Absicherung von Büros, Räumen und Anlagen |
| 7.4 | NEU | Physische Sicherheitsüberwachung |
| 7.5 | 11.1.4 | Schutz vor physischen und umweltbedingten Bedrohungen |
| 7.6 | 11.1.5 | Arbeiten in sicheren Bereichen |
| 7.7 | 11.2.9 | Klarer Schreibtisch und klarer Bildschirm |
| 7.8 | 11.2.1 | Standort und Schutz der Ausrüstung |
| 7.9 | 11.2.6 | Sicherheit von Vermögenswerten außerhalb des Betriebsgeländes |
| 7.10 | 08.3.1, 08.3.2, 08.3.3, 11.2.5 | Speichermedium |
| 7.11 | 11.2.2 | Unterstützende Versorgungsunternehmen |
| 7.12 | 11.2.3 | Verkabelungssicherheit |
| 7.13 | 11.2.4 | Wartung der Ausrüstung |
| 7.14 | 11.2.7 | Sichere Entsorgung oder Wiederverwendung von Geräten |
Wie ISMS.online hilft
Die Implementierung von ISO 27002 wird mit unserer Schritt-für-Schritt-Checkliste, die Sie durch den gesamten Prozess führt, deutlich einfacher. Ihre Komplettlösung für die Konformität mit ISO/IEC 27002:2022.
- Bis zu 81 % Fortschritt ab dem Zeitpunkt der Anmeldung.
- Einfache und umfassende Compliance-Lösung.
Nehmen Sie noch heute Kontakt mit uns auf, um eine Demo zu buchen.
