ISO 27002:2022 – Controle 8.1 – Gebruikerseindpuntapparaten

Het beveiligen van gebruikers-eindpuntapparaten: ISO 27002 Control 8.1 uitgelegd

Terwijl de verschuiving naar werken op afstand en het toenemende gebruik van mobiele apparaten de productiviteit van werknemers verhogen en organisaties geld besparen, zijn eindpuntapparaten van gebruikers, zoals laptops, mobiele telefoons en tablets, kwetsbaar voor cyberdreigingen. Dit komt omdat cybercriminelen deze apparaten vaak misbruiken om winst te maken ongeoorloofde toegang tot bedrijfsnetwerken en het in gevaar brengen van informatiemiddelen.

Cybercriminelen kunnen bijvoorbeeld werknemers aanvallen met een phishing-aanval, werknemers overhalen om een ​​malwarebijlage te downloaden en vervolgens dit met malware geïnfecteerde gebruikerseindpuntapparaat gebruiken om de malware over het hele bedrijfsnetwerk te verspreiden. Deze aanval kan resulteren in het verlies van beschikbaarheid, integriteit of vertrouwelijkheid van informatiemiddelen.

Volgens een klanttevredenheid Uit het onderzoek onder 700 IT-professionals bleek dat ongeveer 70% van de organisaties in 2020 te maken kreeg met het in gevaar brengen van informatiemiddelen en de IT-infrastructuur als gevolg van een apparaatgerelateerde aanval op eindpuntgebruikers.

Controle 8.1 behandelt hoe organisaties onderwerpspecifiek beleid, procedures en technische maatregelen kunnen vaststellen, onderhouden en implementeren om ervoor te zorgen dat informatiemiddelen die op eindpuntapparaten van gebruikers worden gehost of verwerkt, niet in gevaar komen, verloren gaan of worden gestolen.

Doel van de controle 8.1

Controle 8.1 stelt organisaties in staat de veiligheid, vertrouwelijkheid, integriteit en beschikbaarheid van informatiemiddelen die zich bevinden op of toegankelijk zijn via apparaten van eindpuntgebruikers te beschermen en te behouden door het invoeren van geschikt beleid, procedures en controles.

Attributen Controletabel 8.1

Controle 8.1 heeft een preventief karakter. Het vereist dat organisaties beleid, procedures en technische maatregelen implementeren die van toepassing zijn op alle gebruikerseindpuntapparaten die informatiemiddelen hosten of verwerken, zodat deze niet worden aangetast, verloren gaan of worden gestolen.

Eigendom van zeggenschap 8.1

Gezien het feit dat de naleving van Controle 8.1 het opstellen, onderhouden en naleven van organisatiebreed onderwerpspecifiek beleid, procedures en technische maatregelen inhoudt, is de chef De informatiebeveiligingsfunctionaris moet de verantwoordelijkheid dragen voor de naleving ervan met de vereisten van Controle 8.1.

Algemene richtlijnen voor naleving

Controle 8.1 vereist dat organisaties een onderwerpspecifiek beleid opstellen dat bepaalt hoe gebruikerseindpuntapparaten veilig moeten worden geconfigureerd en hoe deze apparaten door gebruikers moeten worden behandeld.

Al het personeel moet over dit beleid worden geïnformeerd en het beleid moet het volgende omvatten:

• Welk type informatie, met name op welk classificatieniveau, kan worden verwerkt, opgeslagen of gebruikt op eindpuntapparaten van gebruikers.
• Hoe de apparaten moeten worden geregistreerd.
• Vereisten voor de fysieke bescherming van apparaten.
• Beperkingen op de installatie van softwareprogramma's op apparaten.
• Regels over de installatie van software op de apparaten en over software-updates.
• Regels over hoe de eindpuntapparaten van de gebruiker kunnen worden verbonden met openbare netwerken of met netwerken op andere externe locaties.
• Toegangscontroles.
• Versleuteling van de opslagmedia die informatiemiddelen hosten.
• Hoe apparaten worden beschermd tegen malware-aanvallen.
• Hoe apparaten kunnen worden uitgeschakeld of vergrendeld. Hoe informatie op de apparaten op afstand kan worden gewist.
• Back-upmethoden en -procedures.
• Regels over het gebruik van webapplicaties en diensten.
• Analyse van het gedrag van eindgebruikers.
• Hoe verwijderbare opslagmedia zoals USB-drives kunnen worden gebruikt en hoe fysieke poorten zoals USB-poorten kunnen worden uitgeschakeld.
• Hoe Segregatiemogelijkheden kunnen worden gebruikt om de informatie van de organisatie te scheiden activa van andere activa die op het gebruikersapparaat zijn opgeslagen.

Bovendien merkt de Algemene Richtlijn op dat organisaties moeten overwegen om de opslag van gevoelige informatie op eindpuntapparaten van gebruikers te verbieden door technische controles te implementeren.

Deze technische controles kunnen het uitschakelen van lokale opslagfuncties zoals SD-kaarten omvatten.

Bij het in de praktijk brengen van deze aanbevelingen moeten organisaties hun toevlucht nemen tot Configuratiemanagement zoals uiteengezet in Controle 8.9 en gebruik maken van geautomatiseerde tools.

Aanvullend richtsnoer over de verantwoordelijkheid van gebruikers

Al het personeel moet worden geïnformeerd over de beveiligingsmaatregelen voor eindpuntapparaten van gebruikers en de procedures waaraan zij zich moeten houden. Bovendien zouden ze dat ook moeten zijn bewust gemaakt van hun verantwoordelijkheden voor het toepassen van deze maatregelen en procedures.

Organisaties moeten hun personeel instrueren om de volgende regels en procedures na te leven:

• Wanneer een dienst niet langer nodig is of wanneer een sessie eindigt, moeten gebruikers zich afmelden bij de sessie en de diensten beëindigen.
• Personeel mag hun apparaten niet onbeheerd achterlaten. Wanneer apparaten niet in gebruik zijn, moet het personeel de apparaten onderhouden beveiliging van de apparaten tegen ongeoorloofde toegang of gebruik door fysieke controles uit te voeren zoals sleutelsloten en door technische controles zoals robuuste wachtwoorden.
• Personeel moet extra voorzichtig zijn wanneer zij eindpuntapparaten gebruiken die gevoelige informatie bevatten in onveilige openbare ruimtes.
• Eindpuntapparaten van gebruikers moeten worden beschermd tegen diefstal, vooral in risicovolle ruimtes zoals hotelkamers, vergaderzalen of openbaar vervoer.

Bovendien wordt organisaties geadviseerd om een ​​speciale procedure in te stellen voor verlies of diefstal van eindpuntapparaten van gebruikers. Bij het opstellen van deze procedure moet rekening worden gehouden met wettelijke, contractuele en veiligheidseisen.

Aanvullende richtlijnen voor het gebruik van persoonlijke apparaten (BYOD)

Hoewel het toestaan ​​van personeel om hun eigen persoonlijke apparaten te gebruiken voor werkgerelateerde doeleinden organisaties geld bespaart, stelt het gevoelige informatiemiddelen bloot aan nieuwe risico's.

Controle 8.1 somt vijf aanbevelingen op die organisaties in overweging moeten nemen als ze werknemers toestaan ​​hun eigen apparaten te gebruiken voor werkgerelateerde taken:

1. Er moeten technische maatregelen worden genomen, zoals softwaretools, om het persoonlijke en zakelijke gebruik van de apparaten te scheiden, zodat de informatie van de organisatie wordt beschermd.
2. Het personeel mag hun eigen apparaat alleen gebruiken nadat zij akkoord zijn gegaan met het volgende:
• Het personeel erkent zijn plicht om apparaten fysiek te beschermen en de noodzakelijke software-updates uit te voeren.
• Het personeel gaat ermee akkoord geen enkel eigendom van de informatiemiddelen van de organisatie te claimen.
• Het personeel gaat ermee akkoord dat de informatie op het apparaat op afstand kan worden verwijderd als het apparaat verloren of gestolen is, onder voorbehoud van: wettelijke vereisten voor persoonsgegevens.
3. Vaststelling van beleid inzake de eigendom van intellectuele-eigendomsrechten die zijn gecreëerd via het gebruik van eindpuntapparaten van gebruikers.
4. Hoe toegang wordt verkregen tot de privé-apparaten van personeel, rekening houdend met de wettelijke beperkingen op dergelijke toegang.
5. Het toestaan ​​van personeel om hun privé-apparaten te gebruiken kan leiden tot wettelijke aansprakelijkheid als gevolg van het gebruik van software van derden op deze apparaten. Organisaties moeten rekening houden met de softwarelicentieovereenkomsten die zij met hun leveranciers hebben.

Aanvullende richtlijnen voor draadloze verbindingen

Organisaties moeten procedures ontwikkelen en onderhouden voor:

• Hoe draadloze verbindingen op de apparaten moeten worden geconfigureerd.
• Hoe draadloze of bekabelde verbindingen met voldoende bandbreedte zullen worden gebruikt naleving van onderwerpspecifiek beleid.

Aanvullend richtsnoer voor controle 8.1

Wanneer eindpuntapparaten van gebruikers buiten de bedrijfsruimten van de organisatie worden verwijderd, kunnen informatiemiddelen worden blootgesteld aan verhoogde risico's op compromittering. Daarom moeten organisaties mogelijk verschillende controles instellen voor apparaten die buiten gebouwen worden gebruikt.

Bovendien waarschuwt Control 8.1 organisaties voor verlies van informatie als gevolg van twee risico's die verband houden met draadloze verbindingen:

• Draadloze verbindingen met een lage bandbreedte kunnen leiden tot het mislukken van de gegevensback-up.
• Eindpuntapparaten van gebruikers kunnen af ​​en toe de verbinding met het draadloze netwerk verliezen en geplande back-ups kunnen mislukken.

Wijzigingen en verschillen ten opzichte van ISO 27002:2013

27002:2022/8.1 vervangt 27002:2013/(6.2.1 en 12.2.8)

Structurele verschillen

In tegenstelling tot de 2022-versie die gebruikerseindpuntapparaten onder één Control (8.1) adresseert, bevatte de 2013-versie twee afzonderlijke bedieningselementen: Beleid voor mobiele apparaten in Control 6.2.1 en Onbeheerde gebruikersapparatuur in Control 11.2.8.

Bovendien, terwijl Controle 8.1 in de versie van 2022 van toepassing is op alle eindpuntapparaten van gebruikers, zoals laptops, tablets en mobiele telefoons, verwees de versie van 2013 alleen naar de mobiele apparaten.

Versie 2022 schrijft aanvullende vereisten voor gebruikersverantwoordelijkheid voor

Hoewel beide versies grotendeels vergelijkbaar zijn wat betreft de vereisten voor gebruikersverantwoordelijkheid, bevat de versie 2022 één aanvullende vereiste:

• Personeel moet extra voorzichtig zijn wanneer zij eindpuntapparaten gebruiken die gevoelige informatie bevatten in onveilige openbare ruimtes.

De versie van 2022 is uitgebreider op het gebied van BYOD

Vergeleken met de versie 2013 introduceert control 8.1 in de versie 2022 drie nieuwe vereisten voor het gebruik van privé-apparaten van personeel (BYOD):

• Vaststelling van beleid inzake de eigendom van intellectuele-eigendomsrechten die zijn gecreëerd via het gebruik van eindpuntapparaten van gebruikers.
• Hoe toegang wordt verkregen tot de privé-apparaten van personeel, rekening houdend met de wettelijke beperkingen op dergelijke toegang.
• Het toestaan ​​van personeel om hun privé-apparaten te gebruiken kan leiden tot wettelijke aansprakelijkheid als gevolg van het gebruik van software van derden op deze apparaten. Organisaties moeten rekening houden met de softwarelicentieovereenkomsten die zij met hun leveranciers hebben.

Versie 2022 vereist een gedetailleerder onderwerpspecifiek beleid

Net als bij de versie van 2013 vereist de versie van 2022 ook dat organisaties een onderwerpspecifiek beleid hanteren op eindpuntapparaten van gebruikers.

De besturing 8.1 in de 2022-versie is echter uitgebreider omdat deze drie nieuwe elementen bevat die moeten worden opgenomen:

1. Analyse van het gedrag van eindgebruikers.
2. Hoe verwijderbare apparaten zoals USB-drives kunnen worden gebruikt en hoe fysieke poorten zoals USB-poorten kunnen worden uitgeschakeld.
3. Hoe Segregatiemogelijkheden kunnen worden gebruikt om de informatie van de organisatie te scheiden activa van andere activa die op het gebruikersapparaat zijn opgeslagen.

Nieuwe ISO 27002-controles

Hoe ISMS.online helpt

ISMS.Online is de toonaangevende ISO 27002-managementsysteemsoftware die de naleving ervan ondersteunt ISO 27002 en helpt bedrijven hun beveiligingsbeleid op elkaar af te stemmen en procedures met de standaard.

Het cloudgebaseerde platform biedt een complete set tools om organisaties te helpen bij het opzetten van een informatiebeveiligingsbeheersysteem (ISMS) volgens ISO 27002.

Neem vandaag nog contact op met boek een demo.