ISO 27001:2022 Bijlage A Controle 8.8

Leidraad voor het identificeren van kwetsbaarheden

Voordat kwetsbaarheidscontroles worden uitgevoerd, is het van essentieel belang om een ​​uitgebreide en actuele lijst te verkrijgen van fysieke en digitale activa (zie bijlage A 5.9 en 5.14) die eigendom zijn van en beheerd worden door de organisatie.

Gegevens over softwaremiddelen moeten het volgende omvatten:

• Versienummers die momenteel in gebruik zijn.
• Waar de software over het hele landgoed wordt ingezet.
• Naam van de leverancier.
• Naam van de toepassing.

Organisaties moeten ernaar streven technische kwetsbaarheden te identificeren door:

• Het is essentieel om duidelijk te definiëren wie in de organisatie verantwoordelijk is kwetsbaarheidsbeheer vanuit een technische vanuit een gezichtspunt, dat de verschillende functies vervult, waaronder (maar niet beperkt tot):
• Toezicht houden.
• Updaten.
• Vermogensbeheer.
• Risicobeoordeling.
• Wie is binnen de organisatie verantwoordelijk voor de software.
• Houd een register bij van toepassingen en hulpmiddelen om technische zwakke punten te identificeren.
• Vraag leveranciers en verkopers om eventuele risico's met nieuwe systemen en hardware bekend te maken bij het leveren ervan (volgens bijlage A 5.20 van ISO 27001:2022), en specificeer dit duidelijk in alle toepasselijke contracten en serviceovereenkomsten.
• Maak gebruik van tools voor het scannen op kwetsbaarheden en patchfaciliteiten.
• Voer periodieke, gedocumenteerde penetratietests uit, hetzij door intern personeel, hetzij door een geverifieerde derde partij.
• Wees u bewust van het potentieel voor onderliggende programmatische kwetsbaarheden bij het gebruik van codebibliotheken of broncode van derden (zie ISO 27001:2022 bijlage A 8.28).

Begeleiding bij publieke activiteiten

Organisaties moeten beleid en procedures creëren die kwetsbaarheden in al hun producten en diensten detecteren en beoordelingen krijgen van deze kwetsbaarheden met betrekking tot hun aanbod.

ISO adviseert organisaties actie te ondernemen om eventuele kwetsbaarheden te identificeren en derde partijen te motiveren om deel te nemen aan activiteiten op het gebied van kwetsbaarheidsbeheer door het aanbieden van premieprogramma's (waarbij potentiële exploits worden gezocht en gerapporteerd aan de organisatie in ruil voor een beloning).

Organisaties moeten zichzelf toegankelijk maken voor het publiek via forums, openbare e-mailadressen en onderzoek, zodat ze de collectieve kennis van het publiek kunnen benutten om hun producten en diensten te beschermen.

Organisaties moeten alle genomen herstelmaatregelen beoordelen en overwegen relevante informatie vrij te geven aan getroffen personen of organisaties. Bovendien moeten ze samenwerken met gespecialiseerde beveiligingsorganisaties om kennis over kwetsbaarheden en aanvalsvectoren te verspreiden.

Organisaties zouden moeten nadenken over het aanbieden van een optioneel geautomatiseerd updatesysteem dat klanten kunnen kiezen om al dan niet te gebruiken, afhankelijk van hun zakelijke vereisten.

Richtlijnen voor het evalueren van kwetsbaarheden

Nauwkeurige rapportage is essentieel om te zorgen voor snelle en effectieve corrigerende maatregelen wanneer beveiligingsrisico's worden gedetecteerd.

Organisaties moeten kwetsbaarheden beoordelen door:

• Bestudeer de rapporten grondig en bepaal welke actie nodig is, zoals het wijzigen, bijwerken of elimineren van getroffen systemen en/of apparatuur.
• Bereik een oplossing die rekening houdt met andere ISO-controles (vooral die gerelateerd aan ISO 27001:2022) en die het risiconiveau erkent.

Richtlijnen voor het tegengaan van softwarekwetsbaarheden

Softwarekwetsbaarheden kunnen effectief worden aangepakt met behulp van een proactieve benadering van software-updates en patchbeheer. Door te zorgen voor regelmatige updates en patches kunt u uw systeem beschermen tegen mogelijke bedreigingen.

Organisaties moeten ervoor zorgen dat ze bestaande softwareversies behouden voordat ze wijzigingen aanbrengen, grondige tests uitvoeren op alle wijzigingen en deze toepassen op een aangewezen exemplaar van de software.

Zodra kwetsbaarheden zijn geïdentificeerd, moeten organisaties actie ondernemen om deze aan te pakken:

• Streef ernaar om alle beveiligingsproblemen snel en effectief op te lossen.
• Volg waar mogelijk de organisatorische protocollen inzake verandermanagement (zie ISO 27001:2022 bijlage A 8.32) en incidentafhandeling (zie ISO 27001:2022 bijlage A 5.26).
• Pas alleen patches en updates toe van betrouwbare, gecertificeerde bronnen, vooral voor software en apparatuur van derden:
• Organisaties moeten de beschikbare gegevens evalueren om te beslissen of het essentieel is om automatische updates (of componenten daarvan) toe te passen op gekochte software en hardware.
• Test eventuele updates voordat u ze installeert om onverwachte problemen in een live-omgeving te voorkomen.
• Geef topprioriteit aan het aanpakken van risicovolle en vitale bedrijfssystemen.
• Zorg ervoor dat corrigerende maatregelen succesvol en oprecht zijn.

In het geval dat er geen update beschikbaar is, of als er belemmeringen zijn voor het installeren van een update (bijvoorbeeld vanwege de kosten), moeten organisaties andere methoden overwegen, zoals:

• Het vragen van advies aan de leverancier over een tijdelijke oplossing terwijl de herstelinspanningen worden geïntensiveerd.
• Schakel alle netwerkservices uit die door het beveiligingslek worden getroffen.
• Het implementeren van beveiligingscontroles bij belangrijke gateways, zoals verkeersregels en filters, om het netwerk te beschermen.
• Voer het toezicht op in verhouding tot het daaraan verbonden risico.
• Zorg ervoor dat alle betrokken partijen op de hoogte zijn van de fout, inclusief verkopers en kopers.
• Stel de update uit en evalueer de risico's, waarbij u vooral op eventuele operationele kosten let.

Bijbehorende bijlage A-controles

• ISO 27001:2022 Bijlage A 5.14
• ISO 27001:2022 Bijlage A 5.20
• ISO 27001:2022 Bijlage A 5.9
• ISO 27001:2022 Bijlage A 8.20
• ISO 27001:2022 Bijlage A 8.22
• ISO 27001:2022 Bijlage A 8.28

Aanvullend richtsnoer bij bijlage A 8.8

Organisaties moeten een controlespoor van alle relevante activiteiten op het gebied van kwetsbaarheidsbeheer om te helpen bij corrigerende maatregelen en het opstellen van protocollen in geval van een inbreuk op de beveiliging.

Het periodiek beoordelen en herzien van het gehele proces voor kwetsbaarheidsbeheer is een uitstekende manier om de prestaties te verbeteren en eventuele kwetsbaarheden proactief te identificeren.

Als de organisatie een cloudserviceprovider in dienst heeft, moet zij ervoor zorgen dat de aanpak van de provider op het gebied van kwetsbaarheidsbeheer compatibel is met die van henzelf en moet worden opgenomen in de bindende serviceovereenkomst tussen beide partijen, inclusief eventuele rapportageprocedures (zie ISO 27001:2022 bijlage A 5.32). .

Wijzigingen en verschillen ten opzichte van ISO 27001:2013

ISO 27001:2022 Bijlage A 8.8 vervangt twee bijlage A-controles van ISO 27001:2013, dit zijn:

• 12.6.1 – Beheer van technische kwetsbaarheden
• 18.2.3 – Technische nalevingsbeoordeling

ISO 27001:2022 bijlage A 8.8 introduceert een nieuwe, onderscheidende benadering van kwetsbaarheidsbeheer dan die in ISO 27001:2013. Het is een opmerkelijke afwijking van de eerdere standaard.

ISO 27001:2013 Annex A 12.6.1 was vooral gericht op het treffen van corrigerende maatregelen zodra een kwetsbaarheid is ontdekt, terwijl Annex A 18.2.3 alleen van toepassing is op technische middelen (grotendeels penetratietesten).

ISO 27001:2022 bijlage A 8.8 introduceert nieuwe secties die gaan over de publieke verantwoordelijkheden van een organisatie, methoden voor het herkennen van kwetsbaarheden en de rol die cloudproviders spelen bij het tot een minimum beperken van kwetsbaarheden.

ISO 27001:2022 legt sterk de nadruk op de rol van kwetsbaarheidsbeheer op andere gebieden (zoals verandermanagement) en moedigt het hanteren van een holistische benadering aan, waarbij verschillende andere controles en informatiebeveiligingsprocessen worden geïntegreerd.

Tabel met alle ISO 27001:2022 bijlage A-controles

In de onderstaande tabel vindt u meer informatie over elk individu ISO 27001:2022 bijlage A Controle.

Hoe ISMS.online helpt

Onze platform is gebruiksvriendelijk en eenvoudig. Het is bedoeld voor iedereen in de organisatie, niet alleen voor technisch onderlegde mensen. Wij raden aan om personeel uit alle lagen van het bedrijf hierbij te betrekken het opbouwen van uw ISMS omdat dit helpt een systeem te creëren dat lang meegaat.

Neem nu contact op met een demonstratie organiseren.