ISO 27002:2022 – Controle 8.9 – Configuratiebeheer

Doel van de controle 8.9

Configuraties – of ze nu als een enkel configuratiebestand fungeren of als een groep aan elkaar gekoppelde configuraties – zijn de onderliggende parameters die bepalen hoe hardware, software en zelfs hele netwerken worden beheerd.

Het configuratiebestand van een firewall bevat bijvoorbeeld de basiskenmerken die het apparaat gebruikt om verkeer van en naar het netwerk van een organisatie te beheren, inclusief blokkeerlijsten, port forwarding, virtuele LAN's en VPN-informatie.

Configuratiemanagement is een integraal onderdeel van de bredere assetmanagementoperatie van een organisatie. Configuraties zijn van cruciaal belang om ervoor te zorgen dat een netwerk niet alleen naar behoren functioneert, maar ook om apparaten te beveiligen tegen ongeoorloofde wijzigingen of onjuiste wijzigingen door onderhoudspersoneel en/of leveranciers.

Attributen Controletabel 8.9

Controle 8.9 is een preventieve controleer dat houdt het risico in stand door een reeks beleidsregels vast te stellen die bepalen hoe een organisatie het gebruik van configuraties in het hele netwerk documenteert, implementeert, bewaakt en beoordeelt.

Eigendom van zeggenschap 8.9

Configuratiebeheer is uitsluitend een administratieve taak die zich bezighoudt met het onderhoud en de bewaking van informatie en gegevens aan de assetzijde die zich op een breed scala aan apparaten en applicaties bevinden. Als zodanig moet het eigendom berusten bij het hoofd IT, of het equivalent van de organisatie.

Algemene richtlijnen voor naleving

Over het geheel genomen is er de behoefte van organisaties om configuratiemanagementbeleid op te stellen en te implementeren voor zowel nieuwe systemen als hardware, en alle systemen die al in gebruik zijn. Interne controles moeten bedrijfskritische elementen omvatten, zoals beveiligingsconfiguraties, alle hardware die een configuratiebestand bevat en alle relevante softwareapplicaties of -systemen.

Control 8.9 vraagt ​​organisaties om alle relevante rollen en verantwoordelijkheden in overweging te nemen bij het implementeren van een configuratiebeleid, inclusief het gedelegeerde eigendom van configuraties per apparaat of per applicatie.

Begeleiding – Standaardsjablonen

Waar mogelijk moeten organisaties gestandaardiseerde sjablonen gebruiken om alle hardware, software en systemen te beveiligen. Sjablonen moeten:

1. Probeer gebruik te maken van openbaar beschikbare, leverancierspecifieke en/of open source-richtlijnen over de beste manier om hardware- en softwaremiddelen te configureren.
2. Voldoe aan de minimale beveiligingsvereisten voor het apparaat, de applicatie of het systeem waarop ze van toepassing zijn.
3. Werk in harmonie met de bredere informatiebeveiligingsinspanningen van de organisatie, inclusief alle relevante ISO-controles.
4. Houd rekening met de unieke bedrijfsvereisten van de organisatie – vooral als het om beveiligingsconfiguraties gaat – inclusief hoe haalbaar het is om op een bepaald moment een sjabloon toe te passen of te beheren.
5. Worden met passende tussenpozen beoordeeld om tegemoet te komen aan systeem- en/of hardware-updates of heersende beveiligingsbedreigingen.

Begeleiding – Veiligheidscontroles

Beveiliging is van het grootste belang bij het toepassen van configuratiesjablonen of het wijzigen van bestaande sjablonen in overeenstemming met de bovenstaande richtlijnen.

Bij het overwegen van standaardsjablonen voor gebruik in de hele organisatie moeten organisaties, om eventuele informatiebeveiligingsrisico's te minimaliseren:

1. Beperk het aantal gebruikers met beheerdersrechten tot een minimum.
2. Schakel alle ongebruikte of onnodige identiteiten uit.
3. Houd de toegang tot onderhoudsprogramma's, hulpprogramma's en interne instellingen nauwlettend in de gaten.
4. Zorg ervoor dat klokken worden gesynchroniseerd om de configuratie correct te kunnen registreren en om te helpen bij eventuele toekomstige onderzoeken.
5. Wijzig onmiddellijk alle standaardwachtwoorden of standaardbeveiligingsinstellingen die bij elk apparaat, dienst of applicatie worden geleverd.
6. Implementeer een standaard uitlogperiode voor alle apparaten, systemen of applicaties die gedurende een bepaalde periode inactief zijn geweest.
7. Zorg ervoor dat aan alle licentievereisten is voldaan (zie Controle 5.32).

Begeleiding – Configuraties beheren en bewaken

Een organisatie heeft de verantwoordelijkheid om configuraties te onderhouden en op te slaan, inclusief het bijhouden van een audittrail van eventuele wijzigingen of nieuwe installaties, in overeenstemming met een gepubliceerd wijzigingsbeheerproces (zie Controle 8.32).

Logboeken moeten informatie bevatten die het volgende beschrijft:

1. Wie is eigenaar van het actief.
2. Een tijdstempel voor de laatste configuratiewijziging.
3. De huidige versie van de configuratiesjabloon.
4. Alle relevante informatie die de relatie tussen activa en configuraties op andere apparaten of systemen verklaart.

Organisaties moeten een breed scala aan technieken inzetten om de werking van configuratiebestanden in hun netwerk te monitoren, waaronder:

1. Automatisering.
2. Gespecialiseerde configuratieonderhoudsprogramma's.
3. Tools voor ondersteuning op afstand die configuratie-informatie automatisch per apparaat invullen.
4. Hulpprogramma's voor bedrijfsapparaat- en softwarebeheer die zijn ontworpen om grote hoeveelheden configuratiegegevens tegelijk te bewaken.
5. BUDR-software die automatisch een back-up maakt van configuraties naar een veilige locatie en sjablonen op afstand of ter plaatse herstelt op aangetaste en/of defecte apparaten.

Organisaties moeten gespecialiseerde software configureren om eventuele wijzigingen in de configuratie van een apparaat bij te houden en passende actie ondernemen om de wijziging zo snel mogelijk aan te pakken, hetzij door de wijziging te valideren, hetzij door de configuratie terug te zetten naar de oorspronkelijke staat.

Ondersteunende richtlijnen

• 5.32
• 8.32

Wijzigingen en verschillen ten opzichte van ISO 27002:2013

Geen. Controle 8.9 heeft geen precedent in ISO 27002:2013 omdat het nieuw is.

Nieuwe ISO 27002-controles

Hoe ISMS.online helpt

ISMS.Online is een complete oplossing voor ISO 27002-implementatie.

Het is een webgebaseerd systeem waarmee u met behulp van doordachte processen, procedures en checklists kunt aantonen dat uw Information Security Management System (ISMS) voldoet aan de goedgekeurde normen.

Neem vandaag nog contact op met boek een demo.