ISO 27002:2022, Controle 8.8 – Beheer van technische kwetsbaarheden

Eigendom van zeggenschap 8.8

Controle 8.8 gaat over het technisch en administratief beheer van software, systemen en ICT-middelen. Sommige van de richtlijnen omvatten het implementeren van een zeer gedetailleerde benadering van softwarebeheer, activabeheer en auditing van netwerkbeveiliging.

Als zodanig moet het eigendom van Controle 8.8 berusten bij de persoon die de algehele verantwoordelijkheid heeft voor het onderhoud van de ICT-infrastructuur van de organisatie, zoals het hoofd IT, of een equivalent van de organisatie.

Begeleiding – Identificatie van kwetsbaarheden

Voordat er kwetsbaarheidscontroles worden geïmplementeerd, is het essentieel om een ​​volledige en actuele lijst te verkrijgen van fysieke en digitale activa (zie Controles 5.9 en 5.14) die eigendom zijn van en beheerd worden door de organisatie.

Informatie over softwaremiddelen moet het volgende omvatten:

• Naam van de leverancier
• Naam van de toepassing
• Versienummers die momenteel in gebruik zijn
• Waar de software over het hele landgoed wordt ingezet

Wanneer organisaties proberen technische kwetsbaarheden op te sporen, moeten ze:

1. Geef duidelijk aan wie (binnen de organisatie) verantwoordelijk is voor het kwetsbaarheidsbeheer vanuit technisch perspectief, in overeenstemming met de verschillende functies ervan, waaronder (maar niet beperkt tot):
• Asset management
• Risicobeoordeling
• Monitoren
• Bijwerken
2. Wie is verantwoordelijk voor de software binnen de organisatie
3. Houd een inventaris bij van applicaties en bronnen die zullen worden gebruikt om technische kwetsbaarheden te identificeren.
   

4. Vraag leveranciers en verkopers om kwetsbaarheden bekend te maken bij de levering van nieuwe systemen en hardware (zie Controle 5.20), en specificeer dit in alle relevante contracten en serviceovereenkomsten.
5. Maak gebruik van tools voor het scannen op kwetsbaarheden, inclusief patchfaciliteiten.
6. Voer regelmatig gedocumenteerde penetratietests uit – intern of via een gecertificeerde derde partij.
7. Houd rekening met het gebruik van codebibliotheken en/of broncode van derden voor onderliggende programmatische kwetsbaarheden (zie Controle 8.28).

Begeleiding – Publieke activiteiten

Naast interne systemen moeten organisaties beleid en procedures ontwikkelen die kwetsbaarheden in al hun producten en diensten detecteren, en kwetsbaarheidsbeoordelingen ontvangen met betrekking tot de levering van genoemde producten en diensten.

ISO adviseert organisaties om zich publiekelijk in te spannen om eventuele kwetsbaarheden op te sporen en derde partijen aan te moedigen deel te nemen aan inspanningen op het gebied van kwetsbaarheidsbeheer door het gebruik van premieprogramma's (waarbij exploits worden opgezocht en tegen beloning aan de organisatie worden gerapporteerd).

Organisaties moeten zichzelf beschikbaar maken voor het grote publiek via forums, openbare e-mailadressen en onderzoeksactiviteiten, zodat de collectieve kennis van het bredere publiek kan worden gebruikt om producten en diensten bij de bron te beschermen.

Als er corrigerende maatregelen zijn genomen die gevolgen hebben voor gebruikers of klanten, moeten organisaties overwegen om relevante informatie vrij te geven aan de getroffen personen of organisaties, en contact op te nemen met gespecialiseerde beveiligingsorganisaties om informatie over kwetsbaarheden en aanvalsvectoren te verspreiden.

Daarnaast zouden organisaties moeten overwegen om een ​​automatische updateprocedure aan te bieden waar klanten zich voor kunnen aan- of afmelden, op basis van hun zakelijke behoeften.

Begeleiding – Kwetsbaarheden evalueren

Adequate rapportage is van cruciaal belang om te zorgen voor snelle en effectieve herstelmaatregelen wanneer kwetsbaarheden worden ontdekt.

Bij het evalueren van kwetsbaarheden moeten organisaties:

1. Analyseer eventuele meldingen zorgvuldig en beslis welke actie moet worden ondernomen, inclusief (maar niet beperkt tot) het wijzigen, updaten of verwijderen van getroffen systemen en/of hardware.
2. Kom tot overeenstemming over een resolutie die rekening houdt met andere ISO-controles (met name die gerelateerd aan ISO 27002:2022) en die het risiconiveau erkent.

Begeleiding – Het tegengaan van softwarekwetsbaarheden

Softwarekwetsbaarheden kunnen het beste worden bestreden met een proactieve benadering van software-updates en patchbeheer.

Voordat wijzigingen worden geïmplementeerd, moeten organisaties ervoor zorgen dat de bestaande softwareversies behouden blijven, dat alle wijzigingen volledig worden getest en toegepast op een aangewezen exemplaar van de software.

Bij het direct aanpakken van kwetsbaarheden nadat deze zijn geïdentificeerd, moeten organisaties:

1. Probeer alle kwetsbaarheden tijdig en efficiënt op te lossen.
2. Volg waar mogelijk de organisatorische procedures op het gebied van verandermanagement (zie Controle 8.32) en incidentrespons (zie Controle 5.26).
3. Pas alleen updates en patches toe die afkomstig zijn van vertrouwde en/of gecertificeerde bronnen, vooral als het gaat om software en apparatuur van derden.
• Als het software van leveranciers betreft, moeten organisaties op basis van de beschikbare informatie een oordeel vellen over de vraag of het nodig is om automatische updates (of delen daarvan) toe te passen op aangeschafte software en hardware.
4. Test eventuele updates die nodig zijn voorafgaand aan de installatie, om onvoorziene incidenten in een operationele omgeving te voorkomen.
5. Probeer systemen met een hoog risico en bedrijfskritische systemen als prioriteit aan te pakken.
6. Zorg ervoor dat eventuele herstelmaatregelen effectief en authentiek zijn.

In het geval dat een update niet beschikbaar is, of als er problemen zijn die de installatie van een update verhinderen (zoals kostenproblemen), moeten organisaties andere maatregelen overwegen, zoals:

1. De leverancier om advies vragen over een tijdelijke oplossing of een “plamuuroplossing”, terwijl de herstelinspanningen worden opgevoerd.
2. Het uitschakelen of stoppen van netwerkdiensten die door het beveiligingslek worden getroffen.
3. Implementatie van netwerkbeveiligingscontroles op kritieke gatewaypunten, inclusief verkeersregels en filters.
4. Het verhogen van het algehele monitoringniveau in overeenstemming met het daarmee samenhangende risico.
5. Zorg ervoor dat alle betrokken partijen op de hoogte zijn van de kwetsbaarheid, inclusief leveranciers en klanten.
6. Het uitstellen van de update om de bijbehorende risico's beter te kunnen beoordelen, vooral als de operationele kosten een probleem kunnen zijn.

Ondersteunende controles

• 5.14
• 5.20
• 5.9
• 8.20
• 8.22
• 8.28

Aanvullend richtsnoer voor controle 8.8

• Organisaties moeten een auditlogboek bijhouden van alle relevante activiteiten op het gebied van kwetsbaarheidsbeheer, om de herstelinspanningen te ondersteunen en de procedures te verbeteren in het geval van een beveiligingsincident.
• Het hele proces voor kwetsbaarheidsbeheer moet periodiek worden herzien en geëvalueerd om de prestaties te verbeteren en meer kwetsbaarheden bij de bron te identificeren.
• Als de organisatie software gebruikt die wordt gehost door een cloudserviceprovider, moet de organisatie ervoor zorgen dat het standpunt van de serviceprovider ten aanzien van kwetsbaarheidsbeheer in lijn is met dat van haarzelf, en een belangrijk onderdeel moet vormen van elke bindende serviceovereenkomst tussen de twee partijen, inclusief eventuele rapportageprocedures. (zie Controle 5.32).

Wijzigingen en verschillen ten opzichte van ISO 27002:2013

ISO 27002:2022-8.8 vervangt twee controles uit ISO 27002:2013:

• 12.6.1 – Beheer van technische kwetsbaarheden
• 18.2.3 – Technische nalevingsbeoordeling

27002:2022-8.8 vertegenwoordigt een fundamenteel andere benadering van kwetsbaarheidsbeheer dan 27002:2013.

27002:2013-12.6.1 houdt zich grotendeels bezig met de implementatie van corrigerende maatregelen zodra een kwetsbaarheid is geïdentificeerd, terwijl 18.2.3 zich beperkt tot technische hulpmiddelen (meestal penetratietesten).

27002:2022-8.8 bevat geheel nieuwe paragrafen over onderwerpen als de publieke activiteiten van een organisatie, hoe kwetsbaarheden in de eerste plaats worden geïdentificeerd en de rol die cloudproviders spelen om ervoor te zorgen dat kwetsbaarheden tot een minimum worden beperkt.

Over het geheel genomen legt ISO een grotere nadruk op de rol die kwetsbaarheidsbeheer speelt op andere gebieden van 27002:2022 (met name verandermanagement), en pleit zij voor een holistische benadering die gebruik maakt van tal van andere controles en informatiebeveiligingsprocedures.

Hoe ISMS.online helpt

Ons platform is intuïtief en gemakkelijk te gebruiken. Het is niet alleen voor zeer technische mensen; het is voor iedereen in uw organisatie. We moedigen u aan om personeel op alle niveaus van uw bedrijf te betrekken bij het proces van het bouwen van uw ISMS, omdat dat u helpt een echt duurzaam systeem op te bouwen.

Neem vandaag nog contact op met boek een demo.