ISO 27002:2022, Beheer 8.1 – Gebruikerseindpunttoestelle

Eienaarskap van beheer 8.1

Aangesien voldoening aan Beheer 8.1 die skepping, instandhouding van en nakoming van organisasiewye onderwerpspesifieke beleid, prosedures en tegniese maatreëls behels, het die hoof inligtingsekuriteitsbeampte moet verantwoordelikheid dra vir voldoening met die vereistes van Beheer 8.1.

Algemene riglyne oor nakoming

Beheer 8.1 vereis van organisasies om 'n onderwerpspesifieke beleid te skep wat aanspreek hoe gebruikerseindpunttoestelle veilig gekonfigureer moet word en hoe hierdie toestelle deur gebruikers hanteer moet word.

Alle personeel moet oor hierdie Polis ingelig word en die Polis moet die volgende dek:

• Watter tipe inligting, veral op watter vlak van klassifikasie, kan in gebruikerseindpunttoestelle verwerk, gestoor of gebruik word.
• Hoe die toestelle geregistreer moet word.
• Vereistes vir die fisiese beskerming van toestelle.
• Beperkings op die installering van sagtewareprogramme op toestelle.
• Reëls oor die paaiement van sagteware op die toestelle en oor sagteware-opdaterings.
• Reëls oor hoe die gebruiker se eindpunttoestelle aan publieke netwerke of aan netwerke op ander perseel buite die perseel gekoppel kan word.
• Toegangskontroles.
• Enkripsie van die stoormedia wat inligtingbates huisves.
• Hoe toestelle teen wanware-aanvalle beskerm sal word.
• Hoe toestelle gedeaktiveer of uitgesluit kan word. Hoe inligting vervat in die toestelle op afstand uitgevee kan word.
• Rugsteunmetodes en -prosedures.
• Reëls oor die gebruik van webtoepassings en dienste.
• Ontleding van eindgebruikersgedrag.
• Hoe verwyderbare bergingsmedia soos USB-aandrywers gebruik kan word en hoe fisiese poorte soos USB-poorte gedeaktiveer kan word.
• Hoe segregasievermoëns kan gebruik word om die organisasie se inligting te skei bates van ander bates wat op die gebruikertoestel gestoor is.

Verder merk die Algemene Riglyne op dat organisasies dit moet oorweeg om die berging van sensitiewe inligtingbates op gebruikereindpunttoestelle te verbied deur tegniese kontroles te implementeer.

Hierdie tegniese kontroles kan die deaktivering van plaaslike bergingsfunksies soos SD-kaarte insluit.

Om hierdie aanbevelings in die praktyk toe te pas, moet organisasies hul wend tot Konfigurasiebestuur soos uiteengesit in die Beheer 8.9 en geoutomatiseerde gereedskap gebruik.

Aanvullende leiding oor gebruikersverantwoordelikheid

Alle personeel moet ingelig word oor die sekuriteitsmaatreëls vir gebruikerseindpunttoestelle en prosedures waaraan hulle moet voldoen. Verder moet hulle wees bewus gemaak van hul verantwoordelikhede vir die toepassing van hierdie maatreëls en prosedures.

Organisasies moet personeel opdrag gee om aan die volgende reëls en prosedures te voldoen:

• Wanneer 'n diens nie meer benodig word nie of wanneer 'n sessie eindig, moet gebruikers uit sessie afmeld en dienste beëindig.
• Personeel moet nie hul toestelle sonder toesig los nie. Wanneer toestelle nie gebruik word nie, moet personeel die onderhou sekuriteit van die toestelle teen ongemagtigde toegang of gebruik deur fisiese kontroles toe te pas soos sleutelslotte en deur tegniese kontroles soos robuuste wagwoorde.
• Personeel moet met ekstra sorg optree wanneer hulle eindpunttoestelle wat sensitiewe inligting bevat in onveilige openbare areas gebruik.
• Gebruikerseindpunttoestelle moet teen diefstal beskerm word, veral in riskante areas soos hotelkamers, konferensiekamers of openbare vervoer.

Verder word organisasies ook aangeraai om 'n spesiale prosedure in te stel vir die verlies of diefstal van gebruikerseindpunttoestelle. Hierdie prosedure moet geskep word met inagneming van wetlike, kontraktuele en sekuriteitsvereistes.

Aanvullende leiding oor die gebruik van persoonlike toestelle (BYOD)

Terwyl personeel toe te laat om hul eie persoonlike toestelle vir werkverwante doeleindes te gebruik, organisasies geld bespaar, stel dit sensitiewe inligtingbates aan nuwe risiko's bloot.

Beheer 8.1 lys vyf aanbevelings wat organisasies moet oorweeg wanneer hulle werknemers toelaat om hul eie toestelle vir werkverwante take te gebruik:

1. Daar moet tegniese maatreëls soos sagteware-instrumente in plek wees om die persoonlike en besigheidsgebruik van die toestelle te skei sodat die organisasie se inligting beskerm word.
2. Personeel moet slegs toegelaat word om hul eie toestel te gebruik nadat hulle tot die volgende ingestem het:
• Personeel erken hul pligte om toestelle fisies te beskerm en nodige sagteware-opdaterings uit te voer.
• Personeel stem in om geen eienaarskap van die organisasie se inligtingsbates op te eis nie.
• Personeel stem in dat inligting vervat in die toestel oor 'n afstand uitgevee kan word wanneer die toestel verlore of gesteel word, onderhewig aan wetlike vereistes vir persoonlike data.
3. Vestiging van beleide oor die eienaarskap van intellektuele eiendomsregte wat geskep word deur die gebruik van gebruikerseindpunttoestelle.
4. Hoe toegang tot die privaat toestelle van personeel verkry sal word, met inagneming van die statutêre beperkings op sodanige toegang.
5. Om personeel toe te laat om hul private toestelle te gebruik, kan lei tot wetlike aanspreeklikheid as gevolg van die gebruik van derdeparty-sagteware op hierdie toestelle. Organisasies moet die sagteware-lisensiëringsooreenkomste wat hulle met hul verskaffers het, oorweeg.

Aanvullende leiding oor draadlose verbindings

Organisasies moet prosedures ontwikkel en in stand hou vir:

• Hoe draadlose verbindings op die toestelle opgestel moet word.
• Hoe draadlose of bedrade verbindings met voldoende bandwydte gebruik sal word in nakoming van onderwerpspesifieke beleide.

Bykomende leiding oor beheer 8.1

Wanneer gebruikerseindpunttoestelle uit die organisasie se perseel geneem word, kan inligtingsbates aan verhoogde risiko's van kompromie blootgestel word. Daarom sal organisasies dalk verskillende kontroles moet instel vir toestelle wat buite die perseel gebruik word.

Verder waarsku Control 8.1 organisasies teen verlies van inligting as gevolg van twee risiko's wat verband hou met draadlose verbindings:

• Draadlose verbindings met lae bandwydte kan lei tot mislukking van data-rugsteun.
• Gebruikerseindpunttoestelle kan soms van die draadlose netwerk ontkoppel word en geskeduleerde rugsteune kan misluk.

Veranderinge en verskille vanaf ISO 27002:2013

27002:2022/8.1 vervang 27002:2013/(6.2.1 en 12.2.8)

Strukturele verskille

In in teenstelling met die 2022-weergawe wat gebruikerseindpunttoestelle onder een beheer (8.1) aanspreek, het die 2013-weergawe twee afsonderlike kontroles ingesluit: Mobiele toestelbeleid in beheer 6.2.1 en onbewaakte gebruikertoerusting in beheer 11.2.8.

Verder, terwyl die Beheer 8.1 in die 2022-weergawe van toepassing is op alle gebruiker-eindpunttoestelle soos skootrekenaars, tablette en selfone, het die 2013-weergawe slegs na die mobiele toestelle verwys.

2022-weergawe skryf bykomende vereistes vir gebruikersverantwoordelikheid voor

Alhoewel beide weergawes grootliks soortgelyk is in terme van die vereistes vir gebruikersverantwoordelikheid, bevat die 2022-weergawe een bykomende vereiste:

• Personeel moet met ekstra sorg optree wanneer hulle eindpunttoestelle wat sensitiewe inligting bevat in onveilige openbare areas gebruik.

2022-weergawe is meer omvattend in terme van BYOD

In vergelyking met die 2013-weergawe stel beheer 8.1 in die 2022-weergawe drie nuwe vereistes vir die gebruik van personeel se private toestelle (BYOD):

• Vestiging van beleide oor die eienaarskap van intellektuele eiendomsregte wat geskep word deur die gebruik van gebruikerseindpunttoestelle.
• Hoe toegang tot die privaat toestelle van personeel verkry sal word, met inagneming van die statutêre beperkings op sodanige toegang.
• Om personeel toe te laat om hul private toestelle te gebruik, kan lei tot wetlike aanspreeklikheid as gevolg van die gebruik van derdeparty-sagteware op hierdie toestelle. Organisasies moet die sagteware-lisensiëringsooreenkomste wat hulle met hul verskaffers het, oorweeg.

2022-weergawe vereis 'n meer gedetailleerde onderwerpspesifieke beleid

Soortgelyk aan die 2013-weergawe, vereis die 2022-weergawe ook van organisasies om 'n onderwerpspesifieke beleid op gebruikereindpunttoestelle aan te neem.

Die beheer 8.1 in die 2022-weergawe is egter meer omvattend aangesien dit drie nuwe elemente bevat wat ingesluit moet word:

1. Ontleding van eindgebruikersgedrag.
2. Hoe verwyderbare toestelle soos USB-aandrywers gebruik kan word en hoe fisiese poorte soos USB-poorte gedeaktiveer kan word.
3. Hoe segregasievermoëns kan gebruik word om die organisasie se inligting te skei bates van ander bates wat op die gebruikertoestel gestoor is.

Hoe ISMS.online help

ISMS.Online is die toonaangewende ISO 27002-bestuurstelselsagteware wat voldoening aan ISO 27002, en help maatskappye om hul sekuriteitsbeleide in lyn te bring en prosedures met die standaard.

Die wolk-gebaseerde platform bied 'n volledige stel gereedskap om organisasies te help met die opstel van 'n inligtingsekuriteitbestuurstelsel (ISMS) volgens ISO 27002.

Kontak vandag nog om bespreek 'n demo.