ISO 27001:2022 Bijlage A Controle 8.15

Richtlijnen voor gebeurtenislogboekinformatie

Een gebeurtenis is elke activiteit die wordt uitgevoerd door een fysieke of logische entiteit op een computersysteem, zoals een verzoek om gegevens, inloggen op afstand, het automatisch afsluiten van het systeem of het verwijderen van een bestand.

ISO 27001:2022 Annex A 8.15 stelt dat elk gebeurtenislogboek, wil het zijn doel kan vervullen, vijf hoofdcomponenten moet bevatten:

• De gebruikers-ID die aan de persoon is gekoppeld.
• Systeemactiviteit kan worden gemonitord om te identificeren wat er heeft plaatsgevonden.
• Op een bepaalde datum en tijd vond er een gebeurtenis plaats.
• De gebeurtenis vond plaats op het apparaat/systeem en de locatie ervan werd geïdentificeerd.
• Netwerkadressen en protocollen – IP-informatie.

Richtlijnen voor gebeurtenistypen

Om praktische redenen is het misschien niet mogelijk om elke gebeurtenis op een netwerk te registreren. Het registreren van elke gebeurtenis is mogelijk niet haalbaar.

ISO 27001:2022 bijlage A 8.15 specificeert tien gebeurtenissen die moeten worden geregistreerd, omdat ze risico's kunnen beïnvloeden en een passend niveau van informatiebeveiliging:

1. Pogingen tot systeemtoegang worden gevolgd en gemonitord.
2. Pogingen om toegang te krijgen tot gegevens en/of bronnen worden gemonitord. Dergelijke activiteiten die als verdacht worden beschouwd, zullen worden gerapporteerd.
3. Systeem-/OS-configuratiewijzigingen.
4. Het gebruik van privileges op hoog niveau.
5. Maak gebruik van nutsvoorzieningen of onderhoudsfaciliteiten (volgens ISO 27001:2022 bijlage A 8.18).
6. Verzoeken om toegang tot bestanden, met verwijderingen, migraties, enz.
7. Toegangscontrole alarmen en belangrijke interrupts.
8. Activering en/of deactivering van front- en back-end beveiligingssystemen, bijvoorbeeld antivirussoftware aan de clientzijde en firewallbeschermingssystemen.
9. Identiteitsbeheer.
10. Bepaalde acties of wijzigingen aan het systeem/gegevens die tijdens een sessie binnen een applicatie worden uitgevoerd.

Zoals ISO 27001:2022 Annex A 8.17 uiteenzet, is het essentieel om ervoor te zorgen dat alle logs worden gesynchroniseerd met dezelfde tijdbron (of bronnen) en, in het geval van applicatielogs van derden, moeten eventuele tijdsverschillen worden aangepakt en gedocumenteerd.

Richtlijnen voor logboekbescherming

Logboeken zijn de meest fundamentele manier om gebruikers-, systeem- en applicatie-activiteit op een netwerk te bepalen, vooral wanneer er onderzoeken plaatsvinden.

Het is essentieel voor organisaties om te garanderen dat gebruikers, ongeacht hun machtigingsniveau, hun eigen gebeurtenislogboeken niet kunnen verwijderen of wijzigen.

Logboeken moeten volledig en nauwkeurig zijn en beschermd tegen ongeoorloofde wijzigingen of verstoringen, waaronder:

• Logbestanden verwijderd of bewerkt.
• Wijzigingen in berichttype.
• Het niet kunnen produceren van een log of het overschrijven van logs vanwege opslag- of netwerkproblemen moet worden vermeden.

ISO adviseert dat om de informatiebeveiliging te verbeteren, logs moeten worden beveiligd met de volgende technieken:

• Alleen-lezen opname.
• Gebruik van openbare transparantiebestanden.
• Cryptografische hashing.
• Alleen-toevoegen-opname.

Organisaties kunnen eisen dat er logboeken naar leveranciers worden gestuurd om incidenten en fouten aan te pakken. Wanneer dit nodig is, moeten logs worden “geanonimiseerd” (volgens ISO 27001:2022 bijlage A 8.11) met de volgende informatie gemaskeerd:

• IP-adressen.
• Hostnamen.
• Gebruikersnamen.

Om ervoor te zorgen dat PII wordt beschermd, moeten er stappen worden ondernomen in overeenstemming met de gegevensprivacyregels van de organisatie en de bestaande wetten (zie ISO 27001:2022 bijlage A 5.34).

Richtlijnen voor loganalyse

Houd bij het beoordelen van logboeken om cyberveiligheidsincidenten op te sporen, aan te pakken en uit te leggen – met als doel herhaling te voorkomen – rekening met het volgende:

• Het personeel dat de analyse uitvoert, beschikt over een hoog expertiseniveau.
• Logboeken worden geanalyseerd in overeenstemming met het bedrijfsprotocol.
• De te analyseren gebeurtenissen moeten worden gecategoriseerd en geïdentificeerd op type en attribuut.
• Uitzonderingen die voortvloeien uit netwerkregels die worden gegenereerd door beveiligingssoftware, hardware en platforms moeten worden toegepast.
• De typische voortgang van netwerkverkeer in tegenstelling tot onvoorspelbare patronen.
• Gespecialiseerde data-analyse brengt opmerkelijke trends aan het licht.
• Bedreigingsinformatie.

Richtlijnen voor logboekbewaking

Loganalyses moeten gezamenlijk en grondig worden uitgevoerd monitoringactiviteiten die essentiële patronen en ongewoon gedrag detecteren.

Organisaties moeten een tweeledige aanpak volgen om hun doelen te bereiken:

• Controleer alle pogingen om toegang te krijgen tot beveiligde en bedrijfskritieke bronnen, zoals domeinservers, webportals en platforms voor het delen van bestanden.
• Onderzoek DNS-records om uitgaand verkeer te identificeren dat verband houdt met kwaadaardige bronnen en schadelijke serverprocedures.
• Verzamel gegevensgebruiksgegevens van serviceleveranciers of interne systemen om kwaadaardig gedrag te herkennen.
• Verzamel gegevens van fysieke toegangspunten, zoals sleutelkaart-/fob-logboeken en kamertoegangsgegevens.

Aanvullende informatie

Organisaties zouden moeten nadenken over het gebruik van gespecialiseerde hulpprogramma's om de enorme hoeveelheid informatie die door systeemlogboeken wordt geproduceerd te doorzoeken, waardoor tijd en middelen worden bespaard bij het onderzoeken van beveiligingsincidenten, bijvoorbeeld een SIEM-tool.

Als een organisatie voor enig deel van haar activiteiten een cloudgebaseerd platform gebruikt, moet logbeheer een gedeelde verantwoordelijkheid zijn tussen de serviceprovider en de organisatie.

Bijbehorende bijlage A-controles

• ISO 27001:2022 Bijlage A 5.34
• ISO 27001:2022 Bijlage A 8.11
• ISO 27001:2022 Bijlage A 8.17
• ISO 27001:2022 Bijlage A 8.18

Wijzigingen en verschillen ten opzichte van ISO 27001:2013

ISO 27001:2022 bijlage A 8.15 vervangt drie controles uit ISO 27001:2013 die betrekking hebben op het opslaan, beheren en analyseren van logbestanden:

• 12.4.1 – Gebeurtenisregistratie
• 12.4.2 – Bescherming van loginformatie
• 12.4.3 – Beheerder- en operatorlogboeken

ISO 27001:2022 Annex A 8.15 brengt de richtlijnen van de drie eerder besproken controles grotendeels op één lijn en vormt een duidelijk protocol dat houtkap omvat, samen met enkele opmerkelijke toevoegingen zoals:

• Richtlijnen die de bescherming van loginformatie op een uitgebreide manier aanpakken.
• Advies over de verschillende soorten voorvallen die nauwkeurig moeten worden onderzocht.
• Richtlijnen voor het monitoren en analyseren van logboeken om de informatiebeveiliging te verbeteren.
• Logboeken beheren die zijn gegenereerd door cloudgebaseerde platforms.

Tabel met alle ISO 27001:2022 bijlage A-controles

In de onderstaande tabel vindt u meer informatie over elk individu ISO 27001:2022 bijlage A Controle.

Hoe ISMS.online helpt

Het platform ISMS.online faciliteert het geheel van ISO 27001 implementatie, te beginnen met risicobeoordelingsactiviteiten en eindigend met het vaststellen van beleid, procedures en richtlijnen om aan de criteria van de norm te voldoen.

ISMS.online biedt organisaties een eenvoudig pad naar ISO 27001-naleving via de geautomatiseerde toolset. Dankzij de gebruiksvriendelijke functies is het eenvoudig om naleving van de norm aan te tonen.

Neem nu contact met ons op een demonstratie organiseren.