Doel van de controle 8.15
Logs – of het nu in de vorm is van applicatielogboeken, gebeurtenislogboeken of algemene systeeminformatie – vormen een belangrijk onderdeel van het verkrijgen van een top-down beeld van ICT-gebeurtenissen en werknemersacties. Met logboeken kunnen organisaties een tijdlijn van gebeurtenissen opstellen en zowel logische als fysieke patronen in hun hele netwerk nauwkeurig onderzoeken.
Het produceren van duidelijke en gemakkelijk verkrijgbare loginformatie is een belangrijk onderdeel van de algehele ICT-strategie van een organisatie en begeleidt talloze belangrijke informatiebeveiligingscontroles in ISO 27002:2002.
Logboeken moeten:
- Gebeurtenissen opnemen.
- Verzamel bewijs.
- Bescherm hun eigen integriteit.
- Beveilig loggegevens tegen ongeautoriseerde toegang.
- Identificeer acties en gebeurtenissen die kunnen leiden tot een inbreuk op de informatie/beveiliging.
- Fungeren als hulpmiddel ter ondersteuning van interne en externe onderzoeken.
Attributen Controletabel 8.15
Controle 8.15 is een detective controleer dat wijzigt het risico door een aanpak van houtkap te hanteren die aan de bovenstaande doelstellingen voldoet.
| controle Type | Eigenschappen voor informatiebeveiliging | Cyberbeveiligingsconcepten | Operationele mogelijkheden | Beveiligingsdomeinen |
|---|---|---|---|---|
| #Detective | #Vertrouwelijkheid | #Detecteer | #Informatiebeveiliging Gebeurtenisbeheer | #Bescherming |
| #Integriteit | #Verdediging | |||
| #Beschikbaarheid |
Eigendom van zeggenschap 8.15
Controle 8.15 gaat over ICT-bewerkingen die worden uitgevoerd met behulp van systeembeheerderstoegang en vallen onder de paraplu van netwerkbeheer en -onderhoud. Als zodanig moet het eigendom van Controle 8.15 berusten bij het hoofd IT, of het equivalent van de organisatie.
ISO 27001 eenvoudig gemaakt
Een voorsprong van 81% vanaf dag één
Wij hebben het harde werk voor u gedaan, waardoor u vanaf het moment dat u inlogt een voorsprong van 81% heeft. U hoeft alleen nog maar de lege plekken in te vullen.
Begeleiding – Gebeurtenislogboekinformatie
Een 'gebeurtenis' is elke actie die wordt uitgevoerd door een logische of fysieke aanwezigheid op een computersysteem – bijvoorbeeld een verzoek om gegevens, inloggen op afstand, het automatisch afsluiten van het systeem, het verwijderen van bestanden.
Controle 8.15 specificeert dat elk individueel gebeurtenislogboek 5 hoofdcomponenten moet bevatten, zodat het zijn operationele doel kan vervullen:
- Gebruikers-ID – Wie of welk account de acties heeft uitgevoerd.
- Systeemactiviteit – Wat er is gebeurd
- Tijdstempels – Datum en tijd van de genoemde gebeurtenis
- Apparaat- en systeem-ID's en locatie: op welk asset de gebeurtenis heeft plaatsgevonden
- Netwerkadressen en protocollen – IP-informatie
Begeleiding – Typen gebeurtenissen
Voor praktische doeleinden is het wellicht niet haalbaar om elke afzonderlijke gebeurtenis die zich op een bepaald netwerk voordoet, te loggen.
Met dat in gedachten identificeert Control 8.15 de onderstaande tien gebeurtenissen als bijzonder belangrijk voor logdoeleinden, gezien hun vermogen om risico's te wijzigen en de rol die ze spelen bij het handhaven van adequate niveaus van informatiebeveiliging:
- Pogingen tot systeemtoegang.
- Pogingen tot toegang tot gegevens en/of bronnen.
- Systeem-/OS-configuratiewijzigingen.
- Gebruik van verhoogde rechten.
- Gebruik van hulpprogramma's of onderhoudsfaciliteiten (zie Controle 8.18).
- Verzoeken om toegang tot bestanden en wat er is gebeurd (verwijdering, migratie, enz.).
- Toegangscontrolealarmen en kritische onderbrekingen.
- Activering en/of deactivering van front-end en back-end beveiligingssystemen, zoals antivirussoftware aan de clientzijde of firewallbeschermingssystemen.
- Identiteitsbeheerwerk (zowel fysiek als logisch).
- Bepaalde acties of systeem-/gegevenswijzigingen die worden uitgevoerd als onderdeel van een sessie binnen een applicatie.
Zoals uitgelegd in Controle 8.17 is het van cruciaal belang dat alle logboeken zijn gekoppeld aan dezelfde gesynchroniseerde tijdbron (of reeks cursussen), en dat in het geval van toepassingslogboeken van derden rekening wordt gehouden met eventuele tijdsverschillen en deze worden vastgelegd.
Begeleiding – Logbescherming
Logboeken zijn de kleinste gemene deler voor het vaststellen van gebruikers-, systeem- en applicatiegedrag op een bepaald netwerk, vooral wanneer ze worden geconfronteerd met een onderzoek.
Het is daarom van cruciaal belang voor organisaties om ervoor te zorgen dat gebruikers – ongeacht hun machtigingsniveau – niet de mogelijkheid behouden om hun eigen gebeurtenislogboeken te verwijderen of aan te passen.
Individuele logboeken moeten compleet en nauwkeurig zijn en beschermd tegen ongeoorloofde wijzigingen of operationele problemen, waaronder:
- Wijzigingen in berichttype.
- Logbestanden verwijderd of bewerkt.
- Het niet genereren van een logbestand of het onnodig overschrijven van logbestanden als gevolg van heersende problemen met opslagmedia of netwerkprestaties.
ISO beveelt aan dat, om de informatiebeveiliging te verbeteren, logs moeten worden beschermd met behulp van de volgende methoden:
- Cryptografische hashing.
- Alleen-toevoegen-opname.
- Alleen-lezen opname.
- Gebruik van openbare transparantiebestanden.
Organisaties moeten mogelijk logboeken naar leveranciers sturen om incidenten en fouten op te lossen. Mocht dit nodig zijn, dan moeten logs worden 'geanonimiseerd' (zie Controle 8.11) en de volgende informatie moet worden gemaskeerd:
- gebruikersnamen
- IP adressen
- Hostnamen
Daarnaast moeten er maatregelen worden genomen om persoonlijk identificeerbare informatie (PII) te beschermen in overeenstemming met de eigen dataprivacyprotocollen van de organisatie en de geldende wetgeving (zie Controle 5.34).
Beheer al uw compliance op één plek
ISMS.online ondersteunt meer dan 100 normen en voorschriften, waardoor u één platform krijgt voor al uw compliancebehoeften.
Begeleiding – Loganalyse
Bij het analyseren van logboeken met het oog op het identificeren, oplossen en analyseren van informatiebeveiligingsgebeurtenissen – met als einddoel het voorkomen van toekomstige gebeurtenissen – moet rekening worden gehouden met de volgende factoren:
- De expertise van het personeel dat de analyse uitvoert.
- Hoe logboeken worden geanalyseerd, in overeenstemming met de bedrijfsprocedure.
- Het type, de categorie en de kenmerken van elke gebeurtenis die analyse vereist.
- Eventuele uitzonderingen die worden toegepast via netwerkregels die afkomstig zijn van hardware en platforms voor beveiligingssoftware.
- De standaardstroom van netwerkverkeer, vergeleken met onverklaarbare patronen.
- Trends die worden geïdentificeerd als resultaat van gespecialiseerde data-analyse.
- Bedreigingsinformatie.
Begeleiding – Logboekbewaking
Loganalyse mag niet op zichzelf worden uitgevoerd, maar moet worden uitgevoerd in combinatie met rigoureuze monitoringactiviteiten die belangrijke patronen en afwijkend gedrag opsporen.
Om een tweeledige aanpak te bereiken, moeten organisaties:
- Beoordeel alle pogingen om toegang te krijgen tot beveiligde en/of bedrijfskritische bronnen, waaronder domeinservers, webportals en platforms voor het delen van bestanden.
- Onderzoek DNS-logboeken nauwkeurig om uitgaand verkeer te ontdekken dat is gekoppeld aan kwaadaardige bronnen en schadelijke serveractiviteiten.
- Verzamel gegevensgebruiksrapporten van serviceproviders of interne platforms om kwaadwillende activiteiten te identificeren.
- Verzamel logboeken van fysieke toegangspunten, zoals sleutelkaart-/fob-logboeken en informatie over kamertoegang.
Aanvullende informatie
Organisaties zouden moeten overwegen om gespecialiseerde hulpprogramma's te gebruiken die hen helpen de enorme hoeveelheden informatie te doorzoeken die systeemlogboeken genereren, om tijd en middelen te besparen bij het onderzoeken van beveiligingsincidenten, zoals een SIEM-tool.
Als een organisatie een cloudgebaseerd platform gebruikt om een deel van haar activiteiten uit te voeren, moet logbeheer worden beschouwd als een gedeelde verantwoordelijkheid tussen de serviceprovider en de organisatie zelf.
Ondersteunende controles
- 5.34
- 8.11
- 8.17
- 8.18
Bevrijd jezelf van een berg spreadsheets
Integreer, breid uit en schaal uw compliance, zonder rommel. IO geeft u de veerkracht en het vertrouwen om veilig te groeien.
Wijzigingen en verschillen ten opzichte van ISO 27002:2013
ISO 27002:2002-8.15 vervangt drie controles uit ISO 27002:2003 die betrekking hebben op de opslag, het beheer en de analyse van logbestanden:
- 12.4.1 – Gebeurtenisregistratie
- 12.4.2 – Bescherming van loginformatie
- 12.4.3 – Beheerder- en operatorlogboeken
27002:2002-8.15 bevestigt grotendeels alle richtlijnen van de bovengenoemde drie controles in één duidelijk protocol dat zich bezighoudt met loggen, met een paar opmerkelijke uitbreidingen, waaronder (maar niet beperkt tot):
- Een uitgebreide reeks richtlijnen die betrekking hebben op de bescherming van loginformatie.
- Aanvullende richtlijnen over de verschillende typen gebeurtenissen die in aanmerking moeten worden genomen voor onderzoek.
- Richtlijnen over hoe logboeken zowel moeten worden gemonitord als geanalyseerd in een gezamenlijke inspanning om de informatiebeveiliging te verbeteren.
- Advies over het beheren van logboeken die zijn geproduceerd door cloudgebaseerde platforms.
Nieuwe ISO 27002-controles
| ISO/IEC 27002:2022 Controle-identificatie | ISO/IEC 27002:2013 Controle-identificatie | Controle naam |
|---|---|---|
| 5.7 | NIEUW | Bedreigingsintelligentie |
| 5.23 | NIEUW | Informatiebeveiliging voor gebruik van clouddiensten |
| 5.30 | NIEUW | ICT gereed voor bedrijfscontinuïteit |
| 7.4 | NIEUW | Fysieke beveiligingsmonitoring |
| 8.9 | NIEUW | Configuratiebeheer |
| 8.10 | NIEUW | Verwijdering van informatie |
| 8.11 | NIEUW | Gegevensmaskering |
| 8.12 | NIEUW | Preventie van gegevenslekken |
| 8.16 | NIEUW | Monitoring activiteiten |
| 8.23 | NIEUW | Web filtering |
| 8.28 | NIEUW | Veilige codering |
| ISO/IEC 27002:2022 Controle-identificatie | ISO/IEC 27002:2013 Controle-identificatie | Controle naam |
|---|---|---|
| 6.1 | 07.1.1 | Doorlichting |
| 6.2 | 07.1.2 | Arbeidsvoorwaarden |
| 6.3 | 07.2.2 | Bewustzijn, opleiding en training op het gebied van informatiebeveiliging |
| 6.4 | 07.2.3 | Disciplinair proces |
| 6.5 | 07.3.1 | Verantwoordelijkheden na beëindiging of verandering van dienstverband |
| 6.6 | 13.2.4 | Vertrouwelijkheids- of geheimhoudingsovereenkomsten |
| 6.7 | 06.2.2 | Werken op afstand |
| 6.8 | 16.1.2, 16.1.3 | Rapportage van informatiebeveiligingsgebeurtenissen |
| ISO/IEC 27002:2022 Controle-identificatie | ISO/IEC 27002:2013 Controle-identificatie | Controle naam |
|---|---|---|
| 7.1 | 11.1.1 | Fysieke veiligheidsperimeters |
| 7.2 | 11.1.2, 11.1.6 | Fysieke toegang |
| 7.3 | 11.1.3 | Beveiligen van kantoren, kamers en faciliteiten |
| 7.4 | NIEUW | Fysieke beveiligingsmonitoring |
| 7.5 | 11.1.4 | Bescherming tegen fysieke en ecologische bedreigingen |
| 7.6 | 11.1.5 | Werken in beveiligde ruimtes |
| 7.7 | 11.2.9 | Overzichtelijk bureau en helder scherm |
| 7.8 | 11.2.1 | Locatie en bescherming van apparatuur |
| 7.9 | 11.2.6 | Beveiliging van activa buiten het terrein |
| 7.10 | 08.3.1, 08.3.2, 08.3.3, 11.2.5 | Opslag media |
| 7.11 | 11.2.2 | Ondersteunende nutsvoorzieningen |
| 7.12 | 11.2.3 | Beveiliging van de bekabeling |
| 7.13 | 11.2.4 | Apparatuuronderhoud |
| 7.14 | 11.2.7 | Veilige verwijdering of hergebruik van apparatuur |
Hoe ISMS.online helpt
Het ISMS.Online-platform helpt bij alle aspecten van de implementatie van ISO 27002, van het beheren van risicobeoordelingsactiviteiten tot het ontwikkelen van beleid, procedures en richtlijnen voor het voldoen aan de vereisten van de norm.
Met de geautomatiseerde toolset maakt ISMS.Online het voor organisaties eenvoudig om naleving van de ISO 27002-norm aan te tonen.
Neem vandaag nog contact met ons op een demo plannen.
