ISO 27001:2022 Bijlage A 8.9 – Configuratiebeheer

• Bekijk ISO 27002:2022 Controle 8.9 voor meer informatie.

Doel van ISO 27001:2022 Bijlage A 8.9

Configuraties, hetzij als individueel configuratiebestand, hetzij als een verzameling aan elkaar gekoppelde configuraties, bepalen hoe hardware, software en netwerken worden beheerd.

Het configuratiebestand van een firewall bevat bijvoorbeeld de basiskenmerken die het apparaat gebruikt om het verkeer dat het netwerk van een organisatie binnenkomt en verlaat te beheren, zoals blokkeerlijsten, port forwarding, virtuele LAN's en VPN-informatie.

Configuratiemanagement is een essentieel onderdeel van iedere organisatie vermogensbeheer strategie. Configuraties zijn van cruciaal belang om ervoor te zorgen dat een netwerk naar behoren functioneert en om apparaten te beschermen tegen niet-goedgekeurde wijzigingen of ongepaste wijzigingen door onderhoudspersoneel en/of leveranciers.

Eigendom van bijlage A 8.9

Configuratiebeheer is een administratieve taak die zich richt op het onderhouden en observeren van asset-gerelateerde gegevens en informatie die aanwezig zijn op verschillende apparaten en applicaties. Daarom moet het eigendom in handen zijn van de Hoofd IT of het equivalent.

Leidraad voor ISO 27001:2022 bijlage A 8.9 Naleving

Organisaties moeten configuratiebeheerbeleid opstellen en uitvoeren voor zowel nieuwe als bestaande systemen en hardware. Interne controles moeten belangrijke elementen omvatten, zoals beveiligingsconfiguraties, hardware met configuratiebestanden en alle toepasselijke software of systemen.

ISO 27001:2022 Bijlage A 8.9 vereist dat organisaties alle relevante rollen en plichten in overweging nemen bij het opzetten van een configuratiebeleid, inclusief het toewijzen van eigendom van configuraties per apparaat of per applicatie.

Richtlijnen voor standaardsjablonen

Organisaties moeten ernaar streven om waar mogelijk gestandaardiseerde sjablonen te gebruiken om alle hardware, software en systemen te beveiligen. Deze sjablonen moeten:

• Probeer vrij beschikbare leverancierspecifieke en open source-instructies te gebruiken om hardware- en softwaremiddelen optimaal te configureren.
• Zorg ervoor dat het apparaat, de applicatie of het systeem voldoet aan de minimale beveiligingseisen.
• Samenwerken met de grotere bedrijven informatiebeveiliging activiteiten, inclusief alle toepasselijke ISO-voorschriften.
• Houd rekening met de speciale zakelijke behoeften van de organisatie – vooral met betrekking tot beveiligingsinstellingen – en met de mogelijkheid om op elk gewenst moment een sjabloon toe te passen of te beheren.
• Controleer regelmatig de systeem- en hardware-updates en eventuele huidige beveiligingsbedreigingen om optimale prestaties te garanderen.

Richtsnoeren voor beveiligingscontroles

Beveiliging is van het grootste belang bij het toepassen van configuratiesjablonen of het wijzigen van bestaande in overeenstemming met de hierboven genoemde richtlijnen.

Bij het overwegen van sjablonen die in het hele bedrijf moeten worden geïmplementeerd, moeten organisaties ernaar streven potentiële informatiebeveiligingsrisico's te verminderen door:

• Beperk de hoeveelheid personeel met administratieve bevoegdheden tot een zo klein mogelijk aantal.
• Deactiveer alle identiteiten die niet worden gebruikt of niet nodig zijn.
• Houd de toegang tot onderhoudsprogramma's, hulpprogramma's en interne instellingen zorgvuldig bij.
• Zorg ervoor dat de klokken op elkaar zijn afgestemd om de configuratie nauwkeurig vast te leggen en eventuele toekomstige sondes te ondersteunen.
• Wijzig onmiddellijk alle standaardwachtwoorden of veiligheidsinstellingen die bij elk apparaat, dienst of programma worden geleverd.
• Implementeer een vooraf ingestelde uitlogperiode voor alle apparaten, systemen of applicaties die gedurende een vooraf bepaald tijdsbestek inactief zijn geweest.
• Zorg voor naleving van ISO 27001:2022 bijlage A 5.32 om te garanderen dat aan alle licentievereisten is voldaan.

Richtlijnen voor het beheren en bewaken van configuraties

De organisatie is verplicht configuraties te bewaren en vast te leggen, samen met een historie van eventuele wijzigingen of nieuwe opstellingen, in lijn met het ISO 27001:2022 Annex A 8.32 Change Management proces.

Logboeken moeten informatie bevatten met details over:

• Wie houdt het bezit.
• Registreer het tijdstip van de laatste configuratiewijziging.
• Deze versie van de configuratiesjabloon die van kracht is.
• Verklaar alle gegevens die relevant zijn voor de associatie van het asset met configuraties op andere gadgets/systemen.

Organisaties moeten een breed scala aan methoden gebruiken om de werking van configuratiebestanden in hun netwerk in de gaten te houden, zoals:

• Automatisering.
• Er zijn gespecialiseerde configuratieonderhoudsprogramma's beschikbaar voor gebruik. Deze programma's maken een efficiënt en effectief beheer van instellingen mogelijk.
• Tools voor ondersteuning op afstand die automatisch configuratiegegevens voor elk apparaat invullen.
• Hulpprogramma's voor bedrijfsapparaat- en softwarebeheer zijn gemaakt om grote hoeveelheden configuratiegegevens tegelijkertijd te observeren.
• De BUDR-software biedt geautomatiseerde back-ups van configuraties naar een veilige plaats en kan op afstand of ter plaatse sjablonen herstellen naar defecte of gecompromitteerde apparaten.

Organisaties moeten gespecialiseerde software gebruiken om eventuele wijzigingen in de configuratie van een apparaat te monitoren en snel actie te ondernemen om de transformatie goed te keuren of terug te zetten naar de oorspronkelijke status.

Bijbehorende bijlage A-controles

• ISO 27001:2022 Bijlage A 5.32
• ISO 27001:2022 Bijlage A 8.32

Wijzigingen en verschillen ten opzichte van ISO 27001:2013

ISO 27001:2022 Bijlage A 8.9 is niet aanwezig in ISO 27001:2013, aangezien het een nieuwe toevoeging is in de herziening van 2022.

Tabel met alle ISO 27001:2022 bijlage A-controles

In onderstaande tabel vindt u meer informatie over elke afzonderlijke ISO 27001:2022 bijlage A Controle.

Hoe ISMS.online helpt

ISMS.Online biedt een integrale aanpak ISO 27001 implementatie. Het biedt een fullservicepakket, waardoor het hele proces snel en efficiënt wordt afgehandeld. Het biedt alle benodigde tools, middelen en begeleiding om organisaties in staat te stellen de standaard met vertrouwen te implementeren.

Met dit webgebaseerde systeem kunt u aantonen dat uw Informatiebeveiligingsbeheersysteem (ISMS) voldoet aan de geaccepteerde normen, met doordachte processen, procedures en checklists.

Neem nu contact met ons op een demonstratie organiseren.