ISO 27002:2022 – Controle 8.27 – Veilige systeemarchitectuur en technische principes

Implementatie van ISO 27002 Control 8.27 voor sterkere beveiliging

De complexe samenstelling van moderne informatiesystemen en het steeds veranderende landschap van cyberveiligheidsdreigingen maken informatiesystemen kwetsbaarder voor bekende en potentiële veiligheidsdreigingen.

Controle 8.27 gaat in op de manier waarop organisaties kunnen elimineren veiligheidsbedreigingen voor informatiesystemen door het creëren van veilige systeemtechniekprincipes die worden toegepast op alle fasen van de levenscyclus van informatiesystemen.

Doel van de controle 8.27

Controle 8.27 stelt organisaties in staat om de beveiliging van informatiesystemen tijdens de ontwerp-, implementatie- en exploitatiefasen door het vaststellen en implementeren van veilige systeemtechnische principes waaraan systeemingenieurs voldoen.

Attributen Controletabel 8.27

Controle 8.27 is een preventieve vorm van controle waarbij organisaties bekende en potentiële bedreigingen voor de omgeving moeten elimineren vertrouwelijkheid, integriteit en beschikbaarheid van informatiemiddelen opgeslagen op of verwerkt via informatiesystemen zoals opslagmedia, databases en applicaties via het vaststellen van principes voor veilige systeemtechniek.

Eigendom van zeggenschap 8.27

chef De Information Security Officer moet verantwoordelijk worden gehouden voor het opzetten, onderhouden en implementeren van principes die de veilige engineering van informatiesystemen regelen.

Algemene richtlijnen voor naleving

Controle 8.27 benadrukt dat Organisaties moeten beveiliging in alle lagen van informatiesystemen verankeren, inclusief bedrijfsprocessen, applicaties en data-architectuur.

Voorts De beginselen van veilige engineering moeten van toepassing zijn op alle activiteiten die verband houden met informatiesystemen en moeten regelmatig worden herzien en bijgewerkt, waarbij rekening wordt gehouden met opkomende dreigingen en aanvalspatronen.

Naast informatiesystemen die intern zijn ontwikkeld en geëxploiteerd, is Controle 8.27 ook van toepassing op informatiesystemen die zijn gecreëerd door externe dienstverleners.

Daarom moeten organisaties ervoor zorgen dat de praktijken en normen van dienstverleners in overeenstemming zijn met hun eigen veilige engineeringprincipes.

Controle 8.27 vereist veilige systeemtechniekprincipes om de acht volgende kwesties te behandelen:

• Richtlijnen voor gebruikersauthenticatiemethoden.
• Leidraad voor veilige sessiecontrole.
• Begeleiding bij procedures voor het opschonen en valideren van gegevens.
• Voor informatie over passend onderwijs, zie: www.passendonderwijs.nl analyse van alle beveiligingsmaatregelen nodig om informatiemiddelen en -systemen te beschermen tegen bekende bedreigingen.
• Uitgebreide analyse van de mogelijkheden van beveiligingsmaatregelen om beveiligingsbedreigingen te identificeren, te elimineren en erop te reageren.
• Analyseren beveiligingsmaatregelen toegepast op specifieke bedrijfsactiviteiten zoals het versleutelen van informatie.
• Hoe beveiligingsmaatregelen zullen worden geïmplementeerd en waar. Dit kan de integratie van een specifieke beveiligingscontrole binnen de technische infrastructuur omvatten.
• Hoe verschillende beveiligingsmaatregelen samenwerken en functioneren als een gecombineerde reeks controles.

Richtlijnen voor het Zero Trust-principe

Organisaties moeten de volgende zero-trust-principes in overweging nemen:

• Te beginnen met de veronderstelling dat de systemen van de organisatie al zijn gecompromitteerd en dat de gedefinieerde netwerkperimeterbeveiliging niet langer effectief is.
• Het hanteren van een ‘nooit vertrouwen en altijd verifiëren’-aanpak voor het verlenen van toegang tot informatiesystemen.
• Het bieden van zekerheid dat verzoeken aan informatiesystemen worden beschermd met end-to-end-codering.
• Implementatie van een verificatiemechanisme dat ervan uitgaat verzoeken om toegang tot informatie systemen zijn gemaakt van externe, open netwerken.
• Het invoeren van “least privilege” en dynamiek technieken voor toegangscontrole in overeenstemming met Controle 5.15, 5,18 en 8.2. Dit omvat de authenticatie en autorisatie van toegangsverzoeken voor gevoelige informatie en informatiesystemen, rekening houdend met contextuele informatie zoals gebruikersidentiteiten zoals gedefinieerd in Controle 5.16 en informatieclassificatie zoals voorgeschreven in Controle 5.12.
• Altijd de identiteit van de aanvrager verifiëren en autorisatieverzoeken voor toegang tot informatiesystemen verifiëren. Deze authenticatie- en verificatieprocedures moeten worden uitgevoerd in overeenstemming met de authenticatie-informatie in Control 5.17, Gebruikersidentiteiten in Control 5.16 en Multi-Factor in Control 8.5.

Waar moeten veilige systeemtechniektechnieken aan voldoen?

• Het aannemen en implementeren van veilige architectuurprincipes, waaronder ‘security by design’, ‘defence in depth’, ‘fail secure’, ‘wantrouwen inbreng van externe applicaties’, ‘aanname van inbreuk’, ‘least privilege’, ‘bruikbaarheid en beheerbaarheid’ en ‘ minste functionaliteit”.
• Het aannemen en toepassen van een op beveiliging gericht ontwerpbeoordelingsproces informatiebeveiliging detecteren kwetsbaarheden en het garanderen dat beveiligingsmaatregelen worden geïdentificeerd en voldoen aan de beveiligingsvereisten.
• Het documenteren en erkennen van de beveiligingsmaatregelen die niet aan de eisen voldoen.
• Systeemverharding.

Met welke criteria moet rekening worden gehouden bij het ontwerpen van veilige engineeringprincipes?

Organisaties moeten het volgende in overweging nemen bij het vaststellen van principes voor veilige systeemtechniek:

• De noodzaak om controles te integreren met een specifieke beveiligingsarchitectuur.
• Bestaande technische beveiligingsinfrastructuur, inclusief infrastructuur voor openbare sleutels, identiteitsbeheer en preventie van gegevenslekken.
• Of de organisatie in staat is de geselecteerde technologie te bouwen en te onderhouden.
• Kosten en tijd die nodig zijn om te voldoen aan de beveiligingsvereisten en de complexiteit van dergelijke vereisten.
• Bestaande beste praktijken.

Praktische richtlijnen voor de toepassing van principes van veilige systeemtechniek

Control 8.27 merkt op dat organisaties veilige engineeringprincipes in de praktijk kunnen brengen bij het configureren van het volgende:

• Fouttolerantie en soortgelijke veerkrachtmethoden.
• Segregatietechnieken zoals virtualisatie.
• Sabotagebestendigheid.

Verder is het gebruik van veilige virtualisatietechnologie kan het risico helpen elimineren van onderschepping tussen twee applicaties die op hetzelfde apparaat draaien.

Ten slotte wordt erop gewezen dat het gebruik van sabotagebestendige systemen kan helpen bij het identificeren van zowel de logische als de fysieke manipulatie van informatiesystemen en het voorkomen van ongeoorloofde extractie van informatie.

Wijzigingen en verschillen ten opzichte van ISO 27002:2013

27002:2022/8.27 replaces 27002:2013/(14.2.5)

De versie van 2022 introduceert uitgebreidere vereisten vergeleken met de versie van 2013:

1. In tegenstelling tot de versie uit 2013 biedt de versie uit 2022 richtlijnen over wat veilige engineeringprincipes moeten omvatten.
2. In tegenstelling tot de versie van 2013 gaat de versie van 2022 in op de criteria die organisaties in overweging moeten nemen bij het ontwerpen van veilige systeemengineeringprincipes.
3. De versie van 2022 bevat richtlijnen over het zero trust-principe. De versie uit 2013 dekte dit echter niet.
4. De versie van 2022 bevat aanbevelingen over welke veilige engineeringtechnieken moeten worden toegepast, zoals ‘security by design’. In tegenstelling tot de versie uit 2022 werd in de versie uit 2013 niet naar dergelijke technieken verwezen.

Nieuwe ISO 27002-controles

Hoe ISMS.online helpt

De implementatie van ISO 27002 is eenvoudiger met onze stapsgewijze checklist die u door het hele proces leidt. Uw complete compliance-oplossing voor ISO / IEC 27002: 2022.

• Tot 81% voortgang vanaf het moment dat u inlogt.
• Eenvoudige en totale compliance-oplossing.

Neem vandaag nog contact op met boek een demo.