ISO 27002:2022 – Kontrolle 8.9 – Konfigurationsmanagement

Zweck der Kontrolle 8.9

Konfigurationen – ob als einzelne Konfigurationsdatei oder als Gruppe miteinander verknüpfter Konfigurationen – sind die zugrunde liegenden Parameter, die bestimmen, wie Hardware, Software und sogar ganze Netzwerke verwaltet werden.

Beispielsweise enthält die Konfigurationsdatei einer Firewall die Basisattribute, die das Gerät verwendet, um den Datenverkehr zum und vom Netzwerk einer Organisation zu verwalten, einschließlich Sperrlisten, Portweiterleitung, virtuelle LANs und VPN-Informationen.

Das Konfigurationsmanagement ist ein integraler Bestandteil des umfassenderen Asset-Management-Vorgangs einer Organisation. Konfigurationen sind von entscheidender Bedeutung, um nicht nur sicherzustellen, dass ein Netzwerk ordnungsgemäß funktioniert, sondern auch, um Geräte vor unbefugten Änderungen oder falschen Ergänzungen seitens des Wartungspersonals und/oder der Anbieter zu schützen.

Attributtabelle der Steuerung 8.9

Kontrolle 8.9 ist ein präventiv Kontrolliere das hält das Risiko aufrecht durch die Festlegung einer Reihe von Richtlinien, die regeln, wie eine Organisation die Verwendung von Konfigurationen in ihrem gesamten Netzwerk dokumentiert, implementiert, überwacht und überprüft.

Eigentum an der Kontrolle 8.9

Bei der Konfigurationsverwaltung handelt es sich lediglich um eine Verwaltungsaufgabe, die sich mit der Pflege und Überwachung anlagenseitiger Informationen und Daten befasst, die auf einer Vielzahl von Geräten und Anwendungen gespeichert sind. Daher sollte die Verantwortung beim IT-Leiter oder einer gleichwertigen Organisation liegen.

Allgemeine Richtlinien zur Compliance

Im Großen und Ganzen besteht für die Organisation die Notwendigkeit, Richtlinien für das Konfigurationsmanagement sowohl für neue als auch für bereits verwendete Systeme und Hardware zu entwerfen und umzusetzen. Interne Kontrollen sollten geschäftskritische Elemente wie Sicherheitskonfigurationen, die gesamte Hardware, die eine Konfigurationsdatei enthält, und alle relevanten Softwareanwendungen oder -systeme umfassen.

Control 8.9 fordert Organisationen dazu auf, bei der Implementierung einer Konfigurationsrichtlinie alle relevanten Rollen und Verantwortlichkeiten zu berücksichtigen, einschließlich der delegierten Eigentümerschaft von Konfigurationen auf Geräte-für-Gerät- oder Anwendung-für-Anwendung-Basis.

Leitfaden – Standardvorlagen

Wo möglich sollten Organisationen standardisierte Vorlagen verwenden, um sämtliche Hardware, Software und Systeme zu sichern. Vorlagen sollten:

1. Versuchen Sie, öffentlich verfügbare, herstellerspezifische und/oder Open-Source-Anleitungen zur optimalen Konfiguration von Hardware- und Softwareressourcen zu nutzen.
2. Erfüllen Sie die Mindestsicherheitsanforderungen für das Gerät, die Anwendung oder das System, für das sie gelten.
3. Arbeiten Sie im Einklang mit den umfassenderen Informationssicherheitsbemühungen der Organisation, einschließlich aller relevanten ISO-Kontrollen.
4. Berücksichtigen Sie die individuellen Geschäftsanforderungen der Organisation – insbesondere wenn es um Sicherheitskonfigurationen geht – einschließlich der Frage, wie machbar es ist, eine Vorlage zu einem bestimmten Zeitpunkt anzuwenden oder zu verwalten.
5. Lassen Sie sich in angemessenen Abständen überprüfen, um auf System- und/oder Hardware-Updates oder bestehende Sicherheitsbedrohungen vorbereitet zu sein.

Anleitung – Sicherheitskontrollen

Beim Anwenden von Konfigurationsvorlagen oder beim Ändern bestehender Vorlagen gemäß den oben genannten Leitlinien ist die Sicherheit von größter Bedeutung.

Wenn Organisationen Standardvorlagen für die unternehmensweite Verwendung in Betracht ziehen, sollten sie zur Minimierung jeglicher Risiken für die Informationssicherheit Folgendes tun:

1. Beschränken Sie die Anzahl der Benutzer mit Administratorrechten auf ein Minimum.
2. Deaktivieren Sie alle nicht verwendeten oder unnötigen Identitäten.
3. Überwachen Sie den Zugriff auf Wartungsprogramme, Dienstprogramme und interne Einstellungen genau.
4. Stellen Sie sicher, dass die Uhren synchronisiert sind, um die Konfiguration korrekt zu protokollieren und bei zukünftigen Untersuchungen zu helfen.
5. Ändern Sie sofort alle Standardkennwörter oder Standardsicherheitseinstellungen, die mit einem Gerät, Dienst oder einer Anwendung bereitgestellt werden.
6. Implementieren Sie einen Standard-Abmeldezeitraum für alle Geräte, Systeme oder Anwendungen, die für einen bestimmten Zeitraum inaktiv waren.
7. Stellen Sie sicher, dass alle Lizenzanforderungen erfüllt sind (siehe Kontrolle 5.32).

Anleitung – Konfigurationen verwalten und überwachen

Eine Organisation ist dafür verantwortlich, Konfigurationen zu pflegen und zu speichern, einschließlich der Führung eines Audit-Trails aller Änderungen oder Neuinstallationen, im Einklang mit einem veröffentlichten Änderungsmanagementprozess (siehe Kontrolle 8.32).

Protokolle sollten Informationen enthalten, die Folgendes beschreiben:

1. Wem gehört der Vermögenswert?
2. Ein Zeitstempel für die letzte Konfigurationsänderung.
3. Die aktuelle Version der Konfigurationsvorlage.
4. Alle relevanten Informationen, die die Beziehung zwischen Assets und Konfigurationen auf anderen Geräten oder Systemen erläutern.

Unternehmen sollten eine breite Palette von Techniken einsetzen, um den Betrieb von Konfigurationsdateien in ihrem Netzwerk zu überwachen, darunter:

1. Automatisierung.
2. Spezialisierte Konfigurationswartungsprogramme.
3. Remote-Support-Tools, die Konfigurationsinformationen automatisch für jedes Gerät ausfüllen.
4. Dienstprogramme zur Geräte- und Softwareverwaltung für Unternehmen, die für die gleichzeitige Überwachung großer Mengen an Konfigurationsdaten konzipiert sind.
5. BUDR-Software, die Konfigurationen automatisch an einem sicheren Ort sichert und Vorlagen entweder aus der Ferne oder vor Ort auf gefährdeten und/oder nicht funktionierenden Geräten wiederherstellt.

Unternehmen sollten spezielle Software konfigurieren, um alle Änderungen in der Konfiguration eines Geräts zu verfolgen, und geeignete Maßnahmen ergreifen, um die Änderung so schnell wie möglich zu beheben, indem sie entweder die Änderung validieren oder die Konfiguration auf ihren ursprünglichen Zustand zurücksetzen.

Unterstützende Richtlinien

• 5.32
• 8.32

Änderungen und Unterschiede zu ISO 27002:2013

Keiner. Control 8.9 hat in ISO 27002:2013 keinen Präzedenzfall, da es neu ist.

Neue ISO 27002-Kontrollen

Wie ISMS.online hilft

ISMS.Online ist eine Komplettlösung zur ISO 27002-Implementierung.

Dabei handelt es sich um ein webbasiertes System, mit dem Sie anhand durchdachter Prozesse und Verfahren sowie Checklisten nachweisen können, dass Ihr Informationssicherheits-Managementsystem (ISMS) den anerkannten Standards entspricht.

Nehmen Sie noch heute Kontakt mit uns auf Demo buchen.