Configuraties – of ze nu als een enkel configuratiebestand fungeren of als een groep aan elkaar gekoppelde configuraties – zijn de onderliggende parameters die bepalen hoe hardware, software en zelfs hele netwerken worden beheerd.
Het configuratiebestand van een firewall bevat bijvoorbeeld de basiskenmerken die het apparaat gebruikt om verkeer van en naar het netwerk van een organisatie te beheren, inclusief blokkeerlijsten, port forwarding, virtuele LAN's en VPN-informatie.
Configuratiemanagement is een integraal onderdeel van de bredere assetmanagementoperatie van een organisatie. Configuraties zijn van cruciaal belang om ervoor te zorgen dat een netwerk niet alleen naar behoren functioneert, maar ook om apparaten te beveiligen tegen ongeoorloofde wijzigingen of onjuiste wijzigingen door onderhoudspersoneel en/of leveranciers.
Controle 8.9 is een preventieve controleer dat houdt het risico in stand door een reeks beleidsregels vast te stellen die bepalen hoe een organisatie het gebruik van configuraties in het hele netwerk documenteert, implementeert, bewaakt en beoordeelt.
Configuratiebeheer is uitsluitend een administratieve taak die zich bezighoudt met het onderhoud en de bewaking van informatie en gegevens aan de assetzijde die zich op een breed scala aan apparaten en applicaties bevinden. Als zodanig moet het eigendom berusten bij het hoofd IT, of het equivalent van de organisatie.
| controle Type | Eigenschappen voor informatiebeveiliging | Cyberbeveiligingsconcepten | Operationele mogelijkheden | Beveiligingsdomeinen |
|---|---|---|---|---|
| #Preventief | #Vertrouwelijkheid #Integriteit #Beschikbaarheid | #Beschermen | #Veilige configuratie | #Bescherming |
Over het geheel genomen is er de behoefte van organisaties om configuratiemanagementbeleid op te stellen en te implementeren voor zowel nieuwe systemen als hardware, en alle systemen die al in gebruik zijn. Interne controles moeten bedrijfskritische elementen omvatten, zoals beveiligingsconfiguraties, alle hardware die een configuratiebestand bevat en alle relevante softwareapplicaties of -systemen.
Control 8.9 vraagt organisaties om alle relevante rollen en verantwoordelijkheden in overweging te nemen bij het implementeren van een configuratiebeleid, inclusief het gedelegeerde eigendom van configuraties per apparaat of per applicatie.
Waar mogelijk moeten organisaties gestandaardiseerde sjablonen gebruiken om alle hardware, software en systemen te beveiligen. Sjablonen moeten:
Beveiliging is van het grootste belang bij het toepassen van configuratiesjablonen of het wijzigen van bestaande sjablonen in overeenstemming met de bovenstaande richtlijnen.
Bij het overwegen van standaardsjablonen voor gebruik in de hele organisatie moeten organisaties, om eventuele informatiebeveiligingsrisico's te minimaliseren:
Een organisatie heeft de verantwoordelijkheid om configuraties te onderhouden en op te slaan, inclusief het bijhouden van een audittrail van eventuele wijzigingen of nieuwe installaties, in overeenstemming met een gepubliceerd wijzigingsbeheerproces (zie Controle 8.32).
Logboeken moeten informatie bevatten die het volgende beschrijft:
Organisaties moeten een breed scala aan technieken inzetten om de werking van configuratiebestanden in hun netwerk te monitoren, waaronder:
Organisaties moeten gespecialiseerde software configureren om eventuele wijzigingen in de configuratie van een apparaat bij te houden en passende actie ondernemen om de wijziging zo snel mogelijk aan te pakken, hetzij door de wijziging te valideren, hetzij door de configuratie terug te zetten naar de oorspronkelijke staat.
Geen. Controle 8.9 heeft geen precedent in ISO 27002:2013 omdat het nieuw is.
ISMS.Online is een complete oplossing voor ISO 27002-implementatie.
Het is een webgebaseerd systeem waarmee u met behulp van doordachte processen, procedures en checklists kunt aantonen dat uw Information Security Management System (ISMS) voldoet aan de goedgekeurde normen.
Neem vandaag nog contact op met boek een demo.
Wij geven u een voorsprong van 81%
vanaf het moment dat u inlogt
Boek uw demo
| ISO/IEC 27002:2022 Controle-identificatie | ISO/IEC 27002:2013 Controle-identificatie | Controle naam |
|---|---|---|
| 5.7 | New | Bedreigingsintelligentie |
| 5.23 | New | Informatiebeveiliging voor gebruik van clouddiensten |
| 5.30 | New | ICT gereed voor bedrijfscontinuïteit |
| 7.4 | New | Fysieke beveiligingsmonitoring |
| 8.9 | New | Configuratiebeheer |
| 8.10 | New | Verwijdering van informatie |
| 8.11 | New | Gegevensmaskering |
| 8.12 | New | Preventie van gegevenslekken |
| 8.16 | New | Monitoring activiteiten |
| 8.23 | New | Web filtering |
| 8.28 | New | Veilige codering |
| ISO/IEC 27002:2022 Controle-identificatie | ISO/IEC 27002:2013 Controle-identificatie | Controle naam |
|---|---|---|
| 6.1 | 07.1.1 | Doorlichting |
| 6.2 | 07.1.2 | Arbeidsvoorwaarden |
| 6.3 | 07.2.2 | Bewustzijn, opleiding en training op het gebied van informatiebeveiliging |
| 6.4 | 07.2.3 | Disciplinair proces |
| 6.5 | 07.3.1 | Verantwoordelijkheden na beëindiging of verandering van dienstverband |
| 6.6 | 13.2.4 | Vertrouwelijkheids- of geheimhoudingsovereenkomsten |
| 6.7 | 06.2.2 | Werken op afstand |
| 6.8 | 16.1.2, 16.1.3 | Rapportage van informatiebeveiligingsgebeurtenissen |
| ISO/IEC 27002:2022 Controle-identificatie | ISO/IEC 27002:2013 Controle-identificatie | Controle naam |
|---|---|---|
| 7.1 | 11.1.1 | Fysieke veiligheidsperimeters |
| 7.2 | 11.1.2, 11.1.6 | Fysieke toegang |
| 7.3 | 11.1.3 | Beveiligen van kantoren, kamers en faciliteiten |
| 7.4 | New | Fysieke beveiligingsmonitoring |
| 7.5 | 11.1.4 | Bescherming tegen fysieke en ecologische bedreigingen |
| 7.6 | 11.1.5 | Werken in beveiligde ruimtes |
| 7.7 | 11.2.9 | Overzichtelijk bureau en helder scherm |
| 7.8 | 11.2.1 | Locatie en bescherming van apparatuur |
| 7.9 | 11.2.6 | Beveiliging van activa buiten het terrein |
| 7.10 | 08.3.1, 08.3.2, 08.3.3, 11.2.5 | Opslag media |
| 7.11 | 11.2.2 | Ondersteunende nutsvoorzieningen |
| 7.12 | 11.2.3 | Beveiliging van de bekabeling |
| 7.13 | 11.2.4 | Apparatuuronderhoud |
| 7.14 | 11.2.7 | Veilige verwijdering of hergebruik van apparatuur |
