ISO 27002:2022, Kontrolle 8.8 – Management technischer Schwachstellen

Eigentum an der Kontrolle 8.8

Control 8.8 befasst sich mit der technischen und administrativen Verwaltung von Software, Systemen und IKT-Assets. Einige der Richtlinien beinhalten die Bereitstellung eines sehr detaillierten Ansatzes für Software-Management, Asset-Management und Netzwerksicherheitsprüfung.

Daher sollte das Eigentum an Control 8.8 bei der Person liegen, die die Gesamtverantwortung für die Aufrechterhaltung der IKT-Infrastruktur der Organisation trägt, beispielsweise der IT-Leiter oder ein gleichwertiges Unternehmen der Organisation.

Leitfaden – Schwachstellen identifizieren

Vor der Implementierung von Schwachstellenkontrollen ist es wichtig, eine vollständige und aktuelle Liste der physischen und digitalen Vermögenswerte (siehe Kontrollen 5.9 und 5.14) zu erhalten, die Eigentum der Organisation sind und von ihr betrieben werden.

Zu den Software-Asset-Informationen sollten Folgendes gehören:

• Herstellername
• Anwendungsname
• Derzeit in Betrieb befindliche Versionsnummern
• Wo die Software im gesamten Anwesen bereitgestellt wird

Beim Versuch, technische Schwachstellen zu lokalisieren, sollten Unternehmen Folgendes tun:

1. Legen Sie klar dar, wer (innerhalb der Organisation) für das Schwachstellenmanagement aus technischer Sicht verantwortlich ist, entsprechend seinen verschiedenen Funktionen, einschließlich (aber nicht beschränkt auf):
• Vermögensverwaltung
• Risikobewertung
• Netzwerk Performance
• Aktualisierung
2. Wer ist innerhalb der Organisation für die Software verantwortlich?
3. Führen Sie eine Bestandsaufnahme der Anwendungen und Ressourcen, die zur Identifizierung technischer Schwachstellen verwendet werden.
   

4. Bitten Sie Lieferanten und Anbieter, Schwachstellen bei der Lieferung neuer Systeme und Hardware offenzulegen (siehe Kontrolle 5.20) und geben Sie dies in allen relevanten Verträgen und Servicevereinbarungen an.
5. Nutzen Sie Tools zum Scannen von Schwachstellen, einschließlich Patching-Funktionen.
6. Führen Sie regelmäßige, dokumentierte Penetrationstests durch – entweder intern oder über einen zertifizierten Dritten.
7. Achten Sie auf die Verwendung von Codebibliotheken und/oder Quellcodes von Drittanbietern für zugrunde liegende Programmschwachstellen (siehe Kontrolle 8.28).

Anleitung – Öffentliche Aktivitäten

Zusätzlich zu internen Systemen sollten Organisationen Richtlinien und Verfahren entwickeln, die Schwachstellen in allen ihren Produkten und Dienstleistungen erkennen, und Schwachstellenbewertungen in Bezug auf die Bereitstellung dieser Produkte und Dienstleistungen erhalten.

ISO empfiehlt Organisationen, öffentliche Anstrengungen zu unternehmen, um Schwachstellen aufzuspüren, und Dritte zu ermutigen, sich an Schwachstellenmanagementbemühungen durch den Einsatz von Kopfgeldprogrammen zu beteiligen (wobei nach Exploits gesucht und der Organisation gegen eine Belohnung gemeldet wird).

Organisationen sollten sich über Foren, öffentliche E-Mail-Adressen und Forschungsaktivitäten der breiten Öffentlichkeit zugänglich machen, damit das kollektive Wissen der breiten Öffentlichkeit zum Schutz von Produkten und Dienstleistungen an der Quelle genutzt werden kann.

Wenn Abhilfemaßnahmen ergriffen wurden, die sich auf Benutzer oder Kunden auswirken, sollten Organisationen die Weitergabe relevanter Informationen an die betroffenen Personen oder Organisationen in Betracht ziehen und mit spezialisierten Sicherheitsorganisationen zusammenarbeiten, um Informationen über Schwachstellen und Angriffsmethoden zu verbreiten.

Darüber hinaus sollten Unternehmen darüber nachdenken, ein automatisches Update-Verfahren anzubieten, das Kunden je nach ihren Geschäftsanforderungen aktivieren oder deaktivieren können.

Leitfaden – Bewertung von Schwachstellen

Eine angemessene Berichterstattung ist der Schlüssel zur Gewährleistung schneller und wirksamer Abhilfemaßnahmen, wenn Schwachstellen entdeckt werden.

Bei der Bewertung von Schwachstellen sollten Organisationen:

1. Analysieren Sie alle Berichte sorgfältig und entscheiden Sie, welche Maßnahmen ergriffen werden müssen, einschließlich (aber nicht beschränkt auf) der Änderung, Aktualisierung oder Entfernung betroffener Systeme und/oder Hardware.
2. Vereinbaren Sie eine Lösung, die andere ISO-Kontrollen (insbesondere solche im Zusammenhang mit ISO 27002:2022) berücksichtigt und das Ausmaß der damit verbundenen Risiken anerkennt.

Leitfaden – Software-Schwachstellen entgegenwirken

Software-Schwachstellen lassen sich am besten mit einem proaktiven Ansatz bei Software-Updates und Patch-Management bekämpfen.

Bevor Änderungen implementiert werden, sollten Organisationen sicherstellen, dass bestehende Softwareversionen beibehalten werden, alle Änderungen vollständig getestet und auf eine bestimmte Kopie der Software angewendet werden.

Wenn Organisationen Schwachstellen direkt angehen, nachdem sie identifiziert wurden, sollten sie Folgendes tun:

1. Versuchen Sie, alle Schwachstellen zeitnah und effizient zu beheben.
2. Befolgen Sie nach Möglichkeit die organisatorischen Verfahren zum Änderungsmanagement (siehe Kontrolle 8.32) und zur Reaktion auf Vorfälle (siehe Kontrolle 5.26).
3. Wenden Sie nur Updates und Patches an, die aus vertrauenswürdigen und/oder zertifizierten Quellen stammen, insbesondere bei Software und Geräten von Drittanbietern.
• Wenn es um Software von Anbietern geht, sollten Unternehmen auf der Grundlage der verfügbaren Informationen ein Urteil darüber fällen, ob es notwendig ist, automatische Updates (oder Teile davon) auf erworbene Software und Hardware anzuwenden.
4. Testen Sie alle erforderlichen Updates vor der Installation, um unvorhergesehene Vorfälle in einer Betriebsumgebung zu vermeiden.
5. Versuchen Sie, sich vorrangig mit risikoreichen und geschäftskritischen Systemen zu befassen.
6. Stellen Sie sicher, dass alle Abhilfemaßnahmen wirksam und authentisch sind.

Für den Fall, dass ein Update nicht verfügbar ist oder Probleme vorliegen, die die Installation eines Updates verhindern (z. B. Kostenprobleme), sollten Organisationen andere Maßnahmen in Betracht ziehen, wie zum Beispiel:

1. Bitten Sie den Anbieter um Rat zu einer Problemumgehung oder einer „Heftpflaster“-Lösung, während die Abhilfemaßnahmen intensiviert werden.
2. Deaktivieren oder Stoppen aller Netzwerkdienste, die von der Sicherheitslücke betroffen sind.
3. Implementierung von Netzwerksicherheitskontrollen an kritischen Gateway-Punkten, einschließlich Verkehrsregeln und Filtern.
4. Erhöhung des Gesamtüberwachungsniveaus entsprechend dem damit verbundenen Risiko.
5. Stellen Sie sicher, dass alle betroffenen Parteien, einschließlich Lieferanten und Kunden, sich der Sicherheitslücke bewusst sind.
6. Verzögerung des Updates, um die damit verbundenen Risiken besser bewerten zu können, insbesondere wenn die Betriebskosten ein Problem darstellen könnten.

Unterstützende Kontrollen

• 5.14
• 5.20
• 5.9
• 8.20
• 8.22
• 8.28

Ergänzende Leitlinien zur Kontrolle 8.8

• Organisationen sollten ein Prüfprotokoll aller relevanten Schwachstellenmanagementaktivitäten führen, um Abhilfemaßnahmen zu unterstützen und Verfahren im Falle eines Sicherheitsvorfalls zu verbessern.
• Der gesamte Schwachstellenmanagementprozess sollte regelmäßig überprüft und bewertet werden, um die Leistung zu verbessern und mehr Schwachstellen an der Quelle zu identifizieren.
• Wenn die Organisation Software verwendet, die von einem Cloud-Dienstanbieter gehostet wird, sollte die Organisation sicherstellen, dass die Haltung des Dienstanbieters zum Schwachstellenmanagement mit ihrer eigenen übereinstimmt, und sollte ein wesentlicher Bestandteil jeder verbindlichen Dienstleistungsvereinbarung zwischen den beiden Parteien sein, einschließlich aller Meldeverfahren (siehe Steuerung 5.32).

Änderungen und Unterschiede zu ISO 27002:2013

ISO 27002:2022-8.8 ersetzt zwei Kontrollen aus ISO 27002:2013:

• 12.6.1 – Management technischer Schwachstellen
• 18.2.3 – Technische Compliance-Überprüfung

27002:2022-8.8 stellt einen grundlegend anderen Ansatz für das Schwachstellenmanagement dar als in 27002:2013 enthalten.

27002:2013-12.6.1 befasst sich hauptsächlich mit der Umsetzung von Abhilfemaßnahmen, sobald eine Schwachstelle identifiziert wurde, während 18.2.3 sich auf technische Tools (hauptsächlich Penetrationstests) beschränkt.

27002:2022-8.8 enthält völlig neue Abschnitte zu Themen wie den öffentlichen Aktivitäten einer Organisation, wie Schwachstellen überhaupt identifiziert werden und welche Rolle Cloud-Anbieter dabei spielen, sicherzustellen, dass Schwachstellen auf ein Minimum beschränkt werden.

Insgesamt legt die ISO einen größeren Schwerpunkt auf die Rolle, die das Schwachstellenmanagement in anderen Bereichen der 27002:2022 spielt (insbesondere im Änderungsmanagement), und befürwortet einen ganzheitlichen Ansatz, der zahlreiche andere Kontrollen und Informationssicherheitsverfahren einbezieht.

Wie ISMS.online hilft

Unsere Plattform ist intuitiv und einfach zu bedienen. Es ist nicht nur etwas für hochtechnische Leute; Es ist für alle in Ihrer Organisation. Wir empfehlen Ihnen, Mitarbeiter auf allen Ebenen Ihres Unternehmens in den Aufbau Ihres ISMS einzubeziehen, denn das hilft Ihnen, ein wirklich nachhaltiges System aufzubauen.

Nehmen Sie noch heute Kontakt mit uns auf Demo buchen.