ISO 27002:2022, Control 8.7 – Schutz vor Malware

Eigentum an der Kontrolle 8.7

Während der Malware-Schutz praktische Schritte umfasst, die von IKT-Verwaltungsmitarbeitern und Standardbenutzern ergriffen werden müssen, ist das Thema selbst weitreichend und umfasst mehrere unterschiedliche Geschäftsfunktionen mit unterschiedlichen Risikoniveaus und zahlreichen zusätzlichen ISO-Kontrollen. Daher sollte das Eigentum an Control 8.7 bei dem liegen Chief Information Security Officeroder ein organisatorisches Äquivalent.

Allgemeine Richtlinien zur Compliance

Control 8.7 fordert Unternehmen auf, einen Ansatz zum Malware-Schutz zu verfolgen, der vier Schlüsselbereiche umfasst:

• Anti-Malware-Software
• Sensibilisierung für organisatorische Informationssicherheit (Benutzerschulung)
• Kontrollierte Systeme und Kontozugriff
• Änderungsmanagement

ISO weist kategorisch darauf hin, dass es ein Fehler ist, anzunehmen, dass Anti-Malware-Software allein ein ausreichendes Maßnahmenpaket darstellt. Stattdessen verlangt Control 8.7 von Unternehmen, einen End-to-End-Ansatz für den Malware-Schutz zu verfolgen, der mit der Benutzerschulung beginnt und mit einem streng kontrollierten Netzwerk endet, das das Risiko eines Eindringens über eine Vielzahl von Angriffsvektoren minimiert.

Um dieses Ziel zu erreichen, sollten Organisationen Kontrollen implementieren, die:

1. Verhindern Sie die Verwendung nicht autorisierter Software (siehe Kontrollen 8.19 und 8.32).
2. Blockieren Sie den Datenverkehr zu bösartigen oder unangemessenen Websites.
3. Minimieren Sie die Anzahl der in Ihrem Netzwerk vorhandenen Schwachstellen, die potenziell von Malware oder böswilligen Absichten ausgenutzt werden können (siehe Kontrollen 8.8 und 8.19).
4. Führen Sie regelmäßige Software-Audits durch, bei denen das Netzwerk auf nicht autorisierte Software, Systemänderungen und/oder Daten überprüft wird.
5. Stellen Sie sicher, dass Daten und Anwendungen mit minimalem Risiko erhalten werden, sei es intern oder als externer Erwerb.
6. Erstellen Sie eine Malware-Erkennungsrichtlinie, die regelmäßige und gründliche Scans aller relevanten Systeme und Dateien umfasst, basierend auf den individuellen Risiken jedes zu scannenden Bereichs. Unternehmen sollten einen „Defense-in-Depth“-Ansatz verfolgen, der Endpunktgeräte und Gateway-Kontrollen umfasst und ein breites Spektrum an Angriffsvektoren (z. B. Ransomware) berücksichtigt.
7. Schützen Sie sich vor Eindringlingen, die sich aus Notfallverfahren und -protokollen ergeben – insbesondere bei einem Vorfall oder bei Wartungsarbeiten mit hohem Risiko.
8. Entwerfen Sie einen Prozess, der es dem technischen Personal ermöglicht, einige oder alle Anti-Malware-Maßnahmen zu deaktivieren, insbesondere wenn solche Aktivitäten die Geschäftsfähigkeit des Unternehmens beeinträchtigen.
9. Implementieren Sie einen robusten Backup- und Disaster-Recovery-Plan (BUDR), der es der Organisation ermöglicht, die Betriebstätigkeit nach einer Störung so schnell wie möglich wieder aufzunehmen (siehe Kontrolle 8.13). Dies sollte Verfahren umfassen, die sich mit Software befassen, die nicht durch Anti-Malware-Software (z. B. Maschinensoftware) abgedeckt werden kann.
10. Trennen Sie Bereiche des Netzwerks und/oder digitaler und virtueller Arbeitsumgebungen ab, die im Falle eines Angriffs zu katastrophalen Störungen führen können.
11. Bieten Sie allen relevanten Mitarbeitern eine Anti-Malware-Sensibilisierungsschulung an, die Benutzer über ein breites Themenspektrum aufklärt, darunter (aber nicht beschränkt auf):
• Social Engineering
• E-Mail-Sicherheit
• Schadsoftware installieren
12. Sammeln Sie branchenbezogene Informationen über die neuesten Entwicklungen im Malware-Schutz.
13. Stellen Sie sicher, dass Benachrichtigungen über potenzielle Malware-Angriffe (insbesondere von Software- und Hardwareanbietern) von einer vertrauenswürdigen Quelle stammen und korrekt sind.

Unterstützende Kontrollen

• 8.13
• 8.19
• 8.32
• 8.8

Änderungen und Unterschiede zu ISO 27002:2013

ISO 27002:2022-8.7 ersetzt ISO 27002:2003-12.2.1 (Kontrollen gegen Malware).

27002:2022-8.7 enthält die gleichen grundlegenden Leitlinien wie 27002:2003-12.2.1 und hebt einige der ergänzenden Leitlinien zu allgemeinen Leitlinien hervor, entsprechend ihrer Bedeutung für die Anti-Malware-Bemühungen einer Organisation, insbesondere:

• Schutz vor Malware während Wartungsperioden.

27002:2003-12.2.1 fordert Unternehmen außerdem auf, den Einsatz zweier separater Anti-Malware-Plattformen in Betracht zu ziehen, während 27002:2022-8.7 sich mit einer einzigen einheitlichen Lösung zufrieden gibt.

Wie ISMS.online hilft

Unsere Plattform bietet Ihnen anpassbare Dashboards, die Ihnen Echtzeit-Einblick in Ihren Compliance-Status verschaffen.

Sie können alle Aspekte Ihrer ISO 27002-Compliance-Reise von einem Ort aus überwachen und verwalten – Auditmanagement, Lückenanalyse, Schulungsmanagement, Risikobewertung usw.

Es bietet eine benutzerfreundliche, integrierte Lösung, auf die rund um die Uhr über jedes Gerät mit Internetverbindung zugegriffen werden kann. Die Plattform ermöglicht allen Mitarbeitern eine nahtlose und sichere Zusammenarbeit, um Sicherheitsrisiken zu verwalten und die Compliance des Unternehmens sowie den Weg zur ISO 24-Zertifizierung zu verfolgen.

Nehmen Sie noch heute Kontakt mit uns auf Demo buchen.