Doel van de controle 8.9
Configuraties – of ze nu als een enkel configuratiebestand fungeren of als een groep aan elkaar gekoppelde configuraties – zijn de onderliggende parameters die bepalen hoe hardware, software en zelfs hele netwerken worden beheerd.
Het configuratiebestand van een firewall bevat bijvoorbeeld de basiskenmerken die het apparaat gebruikt om verkeer van en naar het netwerk van een organisatie te beheren, inclusief blokkeerlijsten, port forwarding, virtuele LAN's en VPN-informatie.
Configuratiemanagement is een integraal onderdeel van de bredere assetmanagementoperatie van een organisatie. Configuraties zijn van cruciaal belang om ervoor te zorgen dat een netwerk niet alleen naar behoren functioneert, maar ook om apparaten te beveiligen tegen ongeoorloofde wijzigingen of onjuiste wijzigingen door onderhoudspersoneel en/of leveranciers.
Attributen Controletabel 8.9
Controle 8.9 is een preventieve controleer dat houdt het risico in stand door een reeks beleidsregels vast te stellen die bepalen hoe een organisatie het gebruik van configuraties in het hele netwerk documenteert, implementeert, bewaakt en beoordeelt.
| controle Type | Eigenschappen voor informatiebeveiliging | Cyberbeveiligingsconcepten | Operationele mogelijkheden | Beveiligingsdomeinen |
|---|---|---|---|---|
| #Preventief | #Vertrouwelijkheid | #Beschermen | #Veilige configuratie | #Bescherming |
| #Integriteit | ||||
| #Beschikbaarheid |
Eigendom van zeggenschap 8.9
Configuratiebeheer is uitsluitend een administratieve taak die zich bezighoudt met het onderhoud en de bewaking van informatie en gegevens aan de assetzijde die zich op een breed scala aan apparaten en applicaties bevinden. Als zodanig moet het eigendom berusten bij het hoofd IT, of het equivalent van de organisatie.
Bevrijd jezelf van een berg spreadsheets
Integreer, breid uit en schaal uw compliance, zonder rommel. IO geeft u de veerkracht en het vertrouwen om veilig te groeien.
Algemene richtlijnen voor naleving
Over het geheel genomen is er de behoefte van organisaties om configuratiemanagementbeleid op te stellen en te implementeren voor zowel nieuwe systemen als hardware, en alle systemen die al in gebruik zijn. Interne controles moeten bedrijfskritische elementen omvatten, zoals beveiligingsconfiguraties, alle hardware die een configuratiebestand bevat en alle relevante softwareapplicaties of -systemen.
Control 8.9 vraagt organisaties om alle relevante rollen en verantwoordelijkheden in overweging te nemen bij het implementeren van een configuratiebeleid, inclusief het gedelegeerde eigendom van configuraties per apparaat of per applicatie.
Begeleiding – Standaardsjablonen
Waar mogelijk moeten organisaties gestandaardiseerde sjablonen gebruiken om alle hardware, software en systemen te beveiligen. Sjablonen moeten:
- Probeer gebruik te maken van openbaar beschikbare, leverancierspecifieke en/of open source-richtlijnen over de beste manier om hardware- en softwaremiddelen te configureren.
- Voldoe aan de minimale beveiligingsvereisten voor het apparaat, de applicatie of het systeem waarop ze van toepassing zijn.
- Werk in harmonie met de bredere informatiebeveiligingsinspanningen van de organisatie, inclusief alle relevante ISO-controles.
- Houd rekening met de unieke bedrijfsvereisten van de organisatie – vooral als het om beveiligingsconfiguraties gaat – inclusief hoe haalbaar het is om op een bepaald moment een sjabloon toe te passen of te beheren.
- Worden met passende tussenpozen beoordeeld om tegemoet te komen aan systeem- en/of hardware-updates of heersende beveiligingsbedreigingen.
Begeleiding – Veiligheidscontroles
Beveiliging is van het grootste belang bij het toepassen van configuratiesjablonen of het wijzigen van bestaande sjablonen in overeenstemming met de bovenstaande richtlijnen.
Bij het overwegen van standaardsjablonen voor gebruik in de hele organisatie moeten organisaties, om eventuele informatiebeveiligingsrisico's te minimaliseren:
- Beperk het aantal gebruikers met beheerdersrechten tot een minimum.
- Schakel alle ongebruikte of onnodige identiteiten uit.
- Houd de toegang tot onderhoudsprogramma's, hulpprogramma's en interne instellingen nauwlettend in de gaten.
- Zorg ervoor dat klokken worden gesynchroniseerd om de configuratie correct te kunnen registreren en om te helpen bij eventuele toekomstige onderzoeken.
- Wijzig onmiddellijk alle standaardwachtwoorden of standaardbeveiligingsinstellingen die bij elk apparaat, dienst of applicatie worden geleverd.
- Implementeer een standaard uitlogperiode voor alle apparaten, systemen of applicaties die gedurende een bepaalde periode inactief zijn geweest.
- Zorg ervoor dat aan alle licentievereisten is voldaan (zie Controle 5.32).
ISO 27001 eenvoudig gemaakt
Een voorsprong van 81% vanaf dag één
Wij hebben het harde werk voor u gedaan, waardoor u vanaf het moment dat u inlogt een voorsprong van 81% heeft. U hoeft alleen nog maar de lege plekken in te vullen.
Begeleiding – Configuraties beheren en bewaken
Een organisatie heeft de verantwoordelijkheid om configuraties te onderhouden en op te slaan, inclusief het bijhouden van een audittrail van eventuele wijzigingen of nieuwe installaties, in overeenstemming met een gepubliceerd wijzigingsbeheerproces (zie Controle 8.32).
Logboeken moeten informatie bevatten die het volgende beschrijft:
- Wie is eigenaar van het actief.
- Een tijdstempel voor de laatste configuratiewijziging.
- De huidige versie van de configuratiesjabloon.
- Alle relevante informatie die de relatie tussen activa en configuraties op andere apparaten of systemen verklaart.
Organisaties moeten een breed scala aan technieken inzetten om de werking van configuratiebestanden in hun netwerk te monitoren, waaronder:
- Automatisering.
- Gespecialiseerde configuratieonderhoudsprogramma's.
- Tools voor ondersteuning op afstand die configuratie-informatie automatisch per apparaat invullen.
- Hulpprogramma's voor bedrijfsapparaat- en softwarebeheer die zijn ontworpen om grote hoeveelheden configuratiegegevens tegelijk te bewaken.
- BUDR-software die automatisch een back-up maakt van configuraties naar een veilige locatie en sjablonen op afstand of ter plaatse herstelt op aangetaste en/of defecte apparaten.
Organisaties moeten gespecialiseerde software configureren om eventuele wijzigingen in de configuratie van een apparaat bij te houden en passende actie ondernemen om de wijziging zo snel mogelijk aan te pakken, hetzij door de wijziging te valideren, hetzij door de configuratie terug te zetten naar de oorspronkelijke staat.
Ondersteunende richtlijnen
- 5.32
- 8.32
Beheer al uw compliance op één plek
ISMS.online ondersteunt meer dan 100 normen en voorschriften, waardoor u één platform krijgt voor al uw compliancebehoeften.
Wijzigingen en verschillen ten opzichte van ISO 27002:2013
Geen. Controle 8.9 heeft geen precedent in ISO 27002:2013 omdat het nieuw is.
Nieuwe ISO 27002-controles
| ISO/IEC 27002:2022 Controle-identificatie | ISO/IEC 27002:2013 Controle-identificatie | Controle naam |
|---|---|---|
| 5.7 | NIEUW | Bedreigingsintelligentie |
| 5.23 | NIEUW | Informatiebeveiliging voor gebruik van clouddiensten |
| 5.30 | NIEUW | ICT gereed voor bedrijfscontinuïteit |
| 7.4 | NIEUW | Fysieke beveiligingsmonitoring |
| 8.9 | NIEUW | Configuratiebeheer |
| 8.10 | NIEUW | Verwijdering van informatie |
| 8.11 | NIEUW | Gegevensmaskering |
| 8.12 | NIEUW | Preventie van gegevenslekken |
| 8.16 | NIEUW | Monitoring activiteiten |
| 8.23 | NIEUW | Web filtering |
| 8.28 | NIEUW | Veilige codering |
| ISO/IEC 27002:2022 Controle-identificatie | ISO/IEC 27002:2013 Controle-identificatie | Controle naam |
|---|---|---|
| 6.1 | 07.1.1 | Doorlichting |
| 6.2 | 07.1.2 | Arbeidsvoorwaarden |
| 6.3 | 07.2.2 | Bewustzijn, opleiding en training op het gebied van informatiebeveiliging |
| 6.4 | 07.2.3 | Disciplinair proces |
| 6.5 | 07.3.1 | Verantwoordelijkheden na beëindiging of verandering van dienstverband |
| 6.6 | 13.2.4 | Vertrouwelijkheids- of geheimhoudingsovereenkomsten |
| 6.7 | 06.2.2 | Werken op afstand |
| 6.8 | 16.1.2, 16.1.3 | Rapportage van informatiebeveiligingsgebeurtenissen |
| ISO/IEC 27002:2022 Controle-identificatie | ISO/IEC 27002:2013 Controle-identificatie | Controle naam |
|---|---|---|
| 7.1 | 11.1.1 | Fysieke veiligheidsperimeters |
| 7.2 | 11.1.2, 11.1.6 | Fysieke toegang |
| 7.3 | 11.1.3 | Beveiligen van kantoren, kamers en faciliteiten |
| 7.4 | NIEUW | Fysieke beveiligingsmonitoring |
| 7.5 | 11.1.4 | Bescherming tegen fysieke en ecologische bedreigingen |
| 7.6 | 11.1.5 | Werken in beveiligde ruimtes |
| 7.7 | 11.2.9 | Overzichtelijk bureau en helder scherm |
| 7.8 | 11.2.1 | Locatie en bescherming van apparatuur |
| 7.9 | 11.2.6 | Beveiliging van activa buiten het terrein |
| 7.10 | 08.3.1, 08.3.2, 08.3.3, 11.2.5 | Opslag media |
| 7.11 | 11.2.2 | Ondersteunende nutsvoorzieningen |
| 7.12 | 11.2.3 | Beveiliging van de bekabeling |
| 7.13 | 11.2.4 | Apparatuuronderhoud |
| 7.14 | 11.2.7 | Veilige verwijdering of hergebruik van apparatuur |
Hoe ISMS.online helpt
ISMS.Online is een complete oplossing voor ISO 27002-implementatie.
Het is een webgebaseerd systeem waarmee u met behulp van doordachte processen, procedures en checklists kunt aantonen dat uw Information Security Management System (ISMS) voldoet aan de goedgekeurde normen.
Neem vandaag nog contact op met boek een demo.
