ISO 27002:2022 – Kontrolle 8.27 – Sichere Systemarchitektur und technische Prinzipien

Implementierung der ISO 27002-Kontrolle 8.27 für mehr Sicherheit

Komplexe Zusammensetzungen moderner Informationssysteme und die sich ständig verändernde Bedrohungslandschaft der Cybersicherheit machen Informationssysteme anfälliger für bekannte und potenzielle Sicherheitsbedrohungen.

In Control 8.27 geht es darum, wie Unternehmen Abhilfe schaffen können Sicherheitsbedrohungen für Informationssysteme durch die Schaffung sicherer Systemtechnikprinzipien die auf alle Phasen des Lebenszyklus eines Informationssystems angewendet werden.

Zweck der Kontrolle 8.27

Control 8.27 ermöglicht es Unternehmen, die zu verwalten Sicherheit von Informationssystemen Während der Entwurfs-, Bereitstellungs- und Betriebsphase durch die Festlegung und Implementierung sicherer Systemtechnikprinzipien, die von Systemingenieuren eingehalten werden.

Attributtabelle der Steuerung 8.27

Kontrolle 8.27 ist eine präventive Art der Kontrolle, die von Organisationen verlangt, bekannte und potenzielle Bedrohungen für die zu beseitigen Vertraulichkeit, Integrität und Verfügbarkeit von Informationsressourcen auf Informationssystemen wie Speichermedien, Datenbanken und Anwendungen gespeichert oder verarbeitet werden, indem Grundsätze für eine sichere Systemtechnik festgelegt werden.

Eigentum an der Kontrolle 8.27

Chef Der Informationssicherheitsbeauftragte sollte zur Verantwortung gezogen werden für die Festlegung, Aufrechterhaltung und Umsetzung von Grundsätzen, die die sichere Entwicklung von Informationssystemen regeln.

Allgemeine Richtlinien zur Compliance

Control 8.27 unterstreicht dies Organisationen sollten Sicherheit in alle Schichten von Informationssystemen integrieren, einschließlich Geschäftsprozesse, Anwendungen und Datenarchitektur.

Außerdem sind Sichere technische Grundsätze sollten für alle Aktivitäten im Zusammenhang mit Informationssystemen gelten und sollten regelmäßig überprüft und aktualisiert werden, wobei aufkommende Bedrohungen und Angriffsmuster berücksichtigt werden.

Neben intern entwickelten und betriebenen Informationssystemen gilt Control 8.27 auch für Informationssysteme, die von externen Dienstleistern erstellt werden.

Daher sollten Organisationen sicherstellen, dass die Praktiken und Standards der Dienstanbieter ihren eigenen Grundsätzen für sicheres Engineering entsprechen.

Control 8.27 erfordert sichere Systemtechnikprinzipien, um die folgenden acht Probleme abzudecken:

• Anleitung zu Benutzerauthentifizierungsmethoden.
• Anleitung zum sichere Sitzungskontrolle.
• Anleitung zu Datenbereinigungs- und Validierungsverfahren.
• Unternehmensweit Analyse aller Sicherheitsmaßnahmen erforderlich, um Informationsressourcen und -systeme vor bekannten Bedrohungen zu schützen.
• Umfassende Analyse der Möglichkeiten von Sicherheitsmaßnahmen zur Erkennung, Beseitigung und Reaktion auf Sicherheitsbedrohungen.
• Analysieren Sicherheitsmaßnahmen, die auf bestimmte Geschäftsaktivitäten angewendet werden wie etwa die Verschlüsselung von Informationen.
• Wie und wo Sicherheitsmaßnahmen umgesetzt werden. Dies kann die Integration einer spezifischen Sicherheitskontrolle innerhalb der technischen Infrastruktur umfassen.
• Wie verschiedene Sicherheitsmaßnahmen zusammenarbeiten und als kombinierte Reihe von Kontrollen funktionieren.

Leitfaden zum Zero-Trust-Prinzip

Organisationen sollten die folgenden Zero-Trust-Grundsätze berücksichtigen:

• Ausgehend von der Annahme, dass die Systeme der Organisation bereits kompromittiert sind und die definierte Netzwerkperimetersicherheit nicht mehr wirksam ist.
• Bei der Bereitstellung des Zugriffs auf Informationssysteme gilt der Ansatz „Niemals vertrauen und immer überprüfen“.
• Gewährleistung, dass an Informationssysteme gestellte Anfragen durch Ende-zu-Ende-Verschlüsselung geschützt sind.
• Implementierung eines Überprüfungsmechanismus, der davon ausgeht Zugriffsanfragen zu Informationen Systeme bestehen aus externen, offenen Netzwerken.
• Einführung von „geringsten Privilegien“ und Dynamik Zugangskontrolltechniken gemäß Regelung 5.15, 5,18 und 8.2. Dies umfasst die Authentifizierung und Autorisierung von Zugriffsanfragen für vertrauliche Informationen und Informationssysteme unter Berücksichtigung kontextbezogener Informationen wie Benutzeridentitäten gemäß Definition in Control 5.16 und Informationsklassifizierung gemäß Control 5.12.
• Stets die Identität des Antragstellers authentifizieren und Autorisierungsanfragen für den Zugriff auf Informationssysteme überprüfen. Diese Authentifizierungs- und Verifizierungsverfahren sollten gemäß den Authentifizierungsinformationen in Control 5.17, Benutzeridentitäten in Control 5.16 und Multi-Factor in Control 8.5 durchgeführt werden.

Was sollten Secure System Engineering-Techniken abdecken?

• Übernahme und Implementierung sicherer Architekturprinzipien, einschließlich „Sicherheit durch Design“, „Tiefenverteidigung“, „Sicherheit bei Ausfall“, „Misstrauen gegenüber Eingaben von externen Anwendungen“, „Verletzung annehmen“, „geringste Privilegien“, „Benutzerfreundlichkeit und Verwaltbarkeit“ und „ geringste Funktionalität“.
• Einführung und Anwendung eines sicherheitsorientierten Entwurfsüberprüfungsprozesses Informationssicherheit erkennen Schwachstellen erkennen und sicherstellen, dass Sicherheitsmaßnahmen erkannt werden und den Sicherheitsanforderungen genügen.
• Dokumentation und Anerkennung der Sicherheitsmaßnahmen, die nicht den Anforderungen genügen.
• Systemhärtung.

Welche Kriterien sind bei der Entwicklung sicherer Engineering-Prinzipien zu berücksichtigen?

Organisationen sollten bei der Festlegung sicherer Systemtechnikprinzipien Folgendes berücksichtigen:

• Die Notwendigkeit, Kontrollen in eine spezifische Sicherheitsarchitektur zu integrieren.
• Vorhandene technische Sicherheitsinfrastruktur, einschließlich Public-Key-Infrastruktur, Identitätsmanagement und Verhinderung von Datenlecks.
• Ob die Organisation in der Lage ist, die ausgewählte Technologie aufzubauen und zu warten.
• Kosten und Zeit, die zur Erfüllung der Sicherheitsanforderungen erforderlich sind, und Komplexität dieser Anforderungen.
• Bestehende Best Practices.

Praktische Anleitung zur Anwendung sicherer Systemtechnikprinzipien

Control 8.27 weist darauf hin, dass Organisationen sichere technische Prinzipien in die Praxis umsetzen können, wenn sie Folgendes konfigurieren:

• Fehlertoleranz und ähnliche Resilienzmethoden.
• Segregationstechniken wie Virtualisierung.
• Manipulationssicher.

Darüber hinaus ist die Verwendung von Sichere Virtualisierungstechnologie kann helfen, das Risiko zu beseitigen des Abfangens zwischen zwei Anwendungen, die auf demselben Gerät ausgeführt werden.

Abschließend wird darauf hingewiesen, dass der Einsatz von Manipulationsschutzsystemen dazu beitragen kann, sowohl logische als auch physische Manipulationen an Informationssystemen zu erkennen und die unbefugte Entnahme von Informationen zu verhindern.

Änderungen und Unterschiede zu ISO 27002:2013

27002:2022/8.27 replaces 27002:2013/(14.2.5)

Die Version 2022 führt im Vergleich zur Version 2013 umfassendere Anforderungen ein:

1. Im Gegensatz zur Version 2013 bietet die Version 2022 Leitlinien dazu, was sichere technische Grundsätze abdecken sollten.
2. Im Gegensatz zur Version 2013 befasst sich die Version 2022 mit den Kriterien, die Unternehmen bei der Entwicklung sicherer Systemtechnikprinzipien berücksichtigen sollten.
3. Die Version 2022 enthält Hinweise zum Zero-Trust-Prinzip. Die Version 2013 deckte dies hingegen nicht ab.
4. Die Version 2022 enthält Empfehlungen darüber, welche sicheren technischen Techniken angewendet werden sollten, wie zum Beispiel „Security by Design“. Im Gegensatz zur Version 2022 bezog sich die Version 2013 nicht auf solche Techniken.

Neue ISO 27002-Kontrollen

Wie ISMS.online hilft

Mit unserer Schritt-für-Schritt-Checkliste, die Sie durch den gesamten Prozess führt, wird die Implementierung von ISO 27002 einfacher. Ihre komplette Compliance-Lösung für ISO / IEC 27002: 2022.

• Bis zu 81 % Fortschritt ab dem Zeitpunkt der Anmeldung.
• Einfache und umfassende Compliance-Lösung.

Nehmen Sie noch heute Kontakt mit uns auf Demo buchen.