ISO 27001:2022 Bylae A Beheer 8.8

Riglyne oor die identifisering van kwesbaarhede

Voordat kwesbaarheidskontroles uitgevoer word, is dit noodsaaklik om 'n omvattende en huidige lys van fisiese en digitale bates (verwys na Bylae A 5.9 en 5.14) wat deur die organisasie besit en bedryf word, te bekom.

Sagtewarebatedata moet bestaan ​​uit:

• Weergawenommers tans in werking.
• Waar die sagteware oor die landgoed ontplooi word.
• Naam van die verkoper.
• Aansoeknaam.

Organisasies moet daarna streef om tegniese kwesbaarhede te identifiseer deur:

• Dit is noodsaaklik om duidelik te definieer vir wie in die organisasie aanspreeklik is kwesbaarheid bestuur van 'n tegniese oogpunt, wat sy verskillende funksies vervul, wat insluit (maar nie beperk is nie tot):
• Monitering.
• Dateer tans op.
• Batebestuur.
• Risikobepaling.
• Binne die organisasie, wie is verantwoordelik vir die sagteware.
• Hou rekord van toepassings en gereedskap om tegniese swakhede te identifiseer.
• Versoek verskaffers en verkopers om enige vatbaarheid met nuwe stelsels en hardeware bekend te maak wanneer hulle dit verskaf (soos bylaag A 5.20 van ISO 27001:2022), en spesifiseer dit duidelik in alle toepaslike kontrakte en diensooreenkomste.
• Gebruik kwesbaarheidskanderingsinstrumente en pleisterfasiliteite.
• Voer periodieke, gedokumenteerde penetrasietoetse uit, hetsy deur interne personeel of deur 'n geverifieerde derdeparty.
• Wees bewus van die potensiaal vir onderliggende programmatiese kwesbaarhede wanneer derdeparty-kodebiblioteke of bronkode gebruik word (verwys na ISO 27001:2022 Bylae A 8.28).

Leiding oor openbare aktiwiteite

Organisasies moet beleide en prosedures skep wat kwesbaarhede in al hul produkte en dienste opspoor en assesserings kry van hierdie kwesbaarhede wat verband hou met hul verskaffing.

ISO raai organisasies aan om aksie te neem om enige kwesbaarhede te identifiseer, en om derde partye te motiveer om deel te neem aan kwesbaarheidsbestuuraktiwiteite deur beloningsprogramme aan te bied (waar potensiële uitbuitings gesoek word en aan die organisasie gerapporteer word in ruil vir 'n beloning).

Organisasies moet hulself toeganklik maak vir die publiek deur middel van forums, openbare e-posadresse en navorsing sodat hulle die kollektiewe kennis van die publiek kan benut om hul produkte en dienste te beskerm.

Organisasies moet enige regstellende stappe wat geneem is, hersien en dit oorweeg om relevante inligting aan geaffekteerde individue of organisasies vry te stel. Boonop moet hulle met spesialis-sekuriteitsorganisasies skakel om kennis van kwesbaarhede en aanvalsvektore te versprei.

Organisasies moet daaraan dink om 'n opsionele outomatiese opdateringstelsel te verskaf wat kliënte kan kies om te gebruik of nie, volgens hul besigheidsvereistes.

Riglyne oor die evaluering van kwesbaarhede

Akkurate verslagdoening is noodsaaklik om vinnige en doeltreffende regstellende aksie te verseker wanneer sekuriteitsrisiko's opgespoor word.

Organisasies moet kwesbaarhede assesseer deur:

• Ondersoek die verslae deeglik en bepaal watter aksie nodig is, soos verandering, opdatering of uitskakeling van geaffekteerde stelsels en/of toerusting.
• Bereik 'n resolusie wat ander ISO-kontroles (veral dié wat met ISO 27001:2022 verband hou) in ag neem en die vlak van risiko's erken.

Riglyne oor die bekamping van sagteware-kwesbaarhede

Sagteware-kwesbaarhede kan doeltreffend aangepak word deur 'n proaktiewe benadering tot sagteware-opdaterings en pleisterbestuur te gebruik. Om gereelde opdaterings en regstellings te verseker, kan help om jou stelsel teen potensiële bedreigings te beskerm.

Organisasies moet sorg dat bestaande sagteware-weergawes behou word voordat enige wysigings aangebring word, deeglike toetse op alle wysigings uitvoer en dit op 'n aangewese kopie van die sagteware toepas.

Sodra kwesbaarhede geïdentifiseer is, moet organisasies stappe doen om dit aan te spreek:

• Doel om alle sekuriteitsprobleme vinnig en doeltreffend op te los.
• Waar moontlik, neem die organisatoriese protokolle oor Veranderingsbestuur (sien ISO 27001:2022 Bylae A 8.32) en Voorvalhantering (sien ISO 27001:2022 Bylae A 5.26) waar.
• Pas slegs pleisters en opdaterings van betroubare, gesertifiseerde bronne toe, veral vir sagteware en toerusting van derdeparty-verskaffers:
• Organisasies moet die data byderhand evalueer om te besluit of dit noodsaaklik is om outomatiese opdaterings (of komponente daarvan) op aangekoopte sagteware en hardeware toe te pas.
• Voordat jy installeer, toets enige opdaterings om enige onverwagte probleme in 'n lewendige omgewing te voorkom.
• Gee topprioriteit aan die aanpak van hoërisiko- en lewensbelangrike besigheidstelsels.
• Maak seker dat regstellende aksies suksesvol en eg is.

In die geval waar geen opdatering beskikbaar is nie, of enige hindernisse om een ​​te installeer (bv. kosteverwant), behoort organisasies ander metodes te oorweeg, soos:

• Versoek om leiding van die verkoper oor 'n tydelike oplossing terwyl regstellende pogings verskerp word.
• Skakel enige netwerkdienste af wat deur die kwesbaarheid geraak word.
• Implementering van sekuriteitskontroles by sleutelpoorte, soos verkeersregulasies en filters, om die netwerk te beskerm.
• Verhoog toesig in verhouding tot die gepaardgaande risiko.
• Maak seker dat alle betrokke partye bewus is van die fout, insluitend verkopers en kopers.
• Vertraag die opdatering en evalueer die risiko's, veral let op enige potensiële bedryfskoste.

Bygaande Bylae A Kontroles

• ISO 27001:2022 Bylae A 5.14
• ISO 27001:2022 Bylae A 5.20
• ISO 27001:2022 Bylae A 5.9
• ISO 27001:2022 Bylae A 8.20
• ISO 27001:2022 Bylae A 8.22
• ISO 27001:2022 Bylae A 8.28

Aanvullende leiding oor aanhangsel A 8.8

Organisasies moet 'n ouditspoor van alle tersaaklike kwesbaarheidsbestuuraktiwiteite om te help met regstellende aksie en protokolle te bevorder in die geval van 'n sekuriteitskending.

Om die hele kwesbaarheidsbestuursproses gereeld te assesseer en te hersien, is 'n uitstekende manier om prestasie te verbeter en enige kwesbaarhede proaktief te identifiseer.

As die organisasie 'n wolkdiensverskaffer in diens neem, moet hulle verseker dat die verskaffer se benadering tot kwesbaarheidsbestuur versoenbaar is met hul eie en ingesluit moet word in die bindende diensooreenkoms tussen beide partye, insluitend enige verslagdoeningsprosedures (sien ISO 27001:2022 Bylae A 5.32) .

Veranderinge en verskille vanaf ISO 27001:2013

ISO 27001:2022 Bylae A 8.8 vervang twee Bylae A-kontroles van ISO 27001:2013, hierdie is:

• 12.6.1 – Bestuur van tegniese kwesbaarhede
• 18.2.3 – Tegniese nakomingsoorsig

ISO 27001:2022 Bylae A 8.8 stel 'n nuwe, duidelike benadering tot kwesbaarheidsbestuur bekend as dié wat in ISO 27001:2013 gevind word. Dit is 'n noemenswaardige afwyking van die vorige standaard.

ISO 27001:2013 Bylae A 12.6.1 het hoofsaaklik daarop gefokus om regstellende maatreëls in plek te stel sodra 'n kwesbaarheid opgespoor is, terwyl Aanhangsel A 18.2.3 slegs van toepassing is op tegniese middele (grootliks penetrasietoetsing).

ISO 27001:2022 Bylae A 8.8 stel nuwe afdelings bekend wat handel oor 'n organisasie se openbare verantwoordelikhede, metodes om kwesbaarhede te herken, en die rol wat wolkverskaffers speel om kwesbaarhede tot 'n minimum te beperk.

ISO 27001:2022 plaas sterk klem op die rol van kwesbaarheidsbestuur in ander areas (soos veranderingsbestuur) en moedig die neem van 'n holistiese benadering aan, wat verskeie ander kontroles en inligtingsekuriteitsprosesse insluit.

Tabel van alle ISO 27001:2022 Bylae A-kontroles

In die tabel hieronder sal jy meer inligting oor elke individu vind ISO 27001:2022 Bylae A Beheer.

Hoe ISMS.online Help

ons platform is gebruikersvriendelik en reguit. Dit is bedoel vir almal in die organisasie, nie net tegnologie-vaardige mense nie. Ons beveel aan dat personeel van alle vlakke van die besigheid by betrek word die bou van jou ISMS aangesien dit help om 'n stelsel te skep wat sal hou.

Kontak nou om reël 'n demonstrasie.