ISO 27002:2022 – Beheer 8.27 – Veilige stelselargitektuur en ingenieursbeginsels

Implementering van ISO 27002 Beheer 8.27 vir sterker sekuriteit

Komplekse samestellings van moderne inligtingstelsels, en die voortdurend veranderende kubersekuriteitsbedreigingslandskap maak inligtingstelsels meer kwesbaar vir bekende en potensiële sekuriteitsbedreigings.

Beheer 8.27, spreek aan hoe organisasies kan uitskakel sekuriteitsbedreigings vir inligtingstelsels deur veilige stelselingenieursbeginsels te skep wat toegepas word op alle fases van die inligtingstelsel lewensiklus.

Doel van beheer 8.27

Beheer 8.27 stel organisasies in staat om die sekuriteit van inligtingstelsels tydens die ontwerp, ontplooiing, bedryfsfases deur die vestiging en implementering van veilige stelselingenieursbeginsels waaraan stelselingenieurs voldoen.

Eienskappe Tabel van beheer 8.27

Beheer 8.27 is 'n voorkomende tipe beheer wat vereis dat organisasies bekende en potensiële bedreigings vir die vertroulikheid, integriteit en beskikbaarheid van inligtingsbates gestoor op of verwerk word deur inligtingstelsels soos bergingsmedia, databasisse en toepassings deur die daarstelling van beginsels vir veilige stelselingenieurswese.

Eienaarskap van beheer 8.27

hoof Inligtingssekerheidsbeampte moet verantwoordelik gehou word vir die vestiging, instandhouding en implementering van beginsels wat veilige ingenieurswese van inligtingstelsels beheer.

Algemene riglyne oor nakoming

Beheer 8.27 beklemtoon dit organisasies moet sekuriteit in alle lae van inligtingstelsels insluit, insluitend besigheidsprosesse, toepassings en data-argitektuur.

Verder, veilige ingenieursbeginsels moet geld vir alle aktiwiteite wat met inligtingstelsels verband hou en moet onderhewig wees aan gereelde hersiening en opdaterings met inagneming van opkomende bedreigings en aanvalspatrone.

Benewens inligtingstelsels wat intern ontwikkel en bedryf word, is Beheer 8.27 ook van toepassing op inligtingstelsels wat deur eksterne diensverskaffers geskep is.

Daarom moet organisasies verseker dat diensverskaffers se praktyke en standaarde aan hul eie veilige ingenieursbeginsels voldoen.

Beheer 8.27 vereis veilige stelselingenieursbeginsels om die agt volgende kwessies te dek:

• Leiding oor gebruikersverifikasiemetodes.
• Voorligting oor veilige sessiebeheer.
• Leiding oor data-sanering en valideringsprosedures.
• Omvattende ontleding van alle veiligheidsmaatreëls nodig om inligtingsbates en -stelsels teen bekende bedreigings te beskerm.
• Omvattende ontleding van vermoëns van sekuriteitsmaatreëls om sekuriteitsbedreigings te identifiseer, uit te skakel en daarop te reageer.
• Ontleed sekuriteitsmaatreëls wat op spesifieke besigheidsaktiwiteite toegepas word soos enkripsie van inligting.
• Hoe sekuriteitsmaatreëls geïmplementeer sal word en waar. Dit kan die integrasie van 'n spesifieke sekuriteitsbeheer binne tegniese infrastruktuur insluit.
• Hoe verskillende sekuriteitsmaatreëls saamwerk en werk as 'n gekombineerde stel kontroles.

Leiding oor Zero Trust-beginsel

Organisasies moet die volgende nul-trustbeginsels oorweeg:

• Begin met die aanname dat die organisasie se stelsels reeds gekompromitteer is en die gedefinieerde netwerkomtreksekuriteit nie meer effektief is nie.
• Die aanvaarding van 'n "vertrou nooit en verifieer altyd"-benadering vir die verskaffing van toegang tot inligtingstelsels.
• Verskaffing van versekering dat versoeke wat aan inligtingstelsels gerig word, met end-tot-end-enkripsie beskerm word.
• Implementering van verifikasie meganisme wat veronderstel toegangsversoeke tot inligting stelsels word gemaak van eksterne, oop netwerke.
• Die instel van "minste bevoorregting" en dinamies toegangsbeheer tegnieke ooreenkomstig Beheer 5.15, 5,18 en 8.2. Dit dek die verifikasie en magtiging van toegangsversoeke vir sensitiewe inligting en inligtingstelsels met inagneming van kontekstuele inligting soos gebruikersidentiteite soos omskryf in Beheer 5.16 en inligtingklassifikasie soos voorgeskryf in Beheer 5.12.
• Verifieer altyd die identiteit van die versoeker en verifieer magtigingsversoeke om toegang tot inligtingstelsels te verkry. Hierdie verifikasie- en verifikasieprosedures moet uitgevoer word in ooreenstemming met verifikasie-inligting in Beheer 5.17, Gebruikersidentiteite in Beheer 5.16 en Multi-faktor in Beheer 8.5.

Wat moet veilige stelselingenieurswese-tegnieke dek?

• Die aanvaarding en implementering van veilige argitektuurbeginsels, insluitend "veiligheid deur ontwerp", "verdediging in diepte", "veilig misluk", "wantrou insette van eksterne toepassings", "aanvaar skending", "minste voorreg", "bruikbaarheid en hanteerbaarheid" en " minste funksionaliteit”.
• Die aanvaarding en toepassing van 'n sekuriteitsgerigte ontwerphersieningsproses op inligtingsekuriteit op te spoor kwesbaarhede en waarborg dat sekuriteitsmaatreëls geïdentifiseer word en aan sekuriteitsvereistes voldoen.
• Dokumentering en erkenning van die sekuriteitsmaatreëls wat nie aan vereistes voldoen nie.
• Stelsel verharding.

Watter kriteria om te oorweeg wanneer veilige ingenieursbeginsels ontwerp word?

Organisasies moet die volgende in ag neem wanneer hulle veilige stelselingenieursbeginsels daarstel:

• Die behoefte om kontroles met spesifieke sekuriteitsargitektuur te integreer.
• Bestaande tegniese sekuriteitsinfrastruktuur, insluitend publieke sleutelinfrastruktuur, identiteitsbestuur en voorkoming van datalekkasie.
• Of die organisasie in staat is om die geselekteerde tegnologie te bou en in stand te hou.
• Koste en tyd wat benodig word om aan sekuriteitsvereistes en kompleksiteit van sulke vereistes te voldoen.
• Bestaande beste praktyke.

Praktiese leiding oor toepassing van veilige stelselingenieurswese-beginsels

Beheer 8.27 wys daarop dat organisasies veilige ingenieursbeginsels in die praktyk kan toepas wanneer die volgende gekonfigureer word:

• Foutverdraagsaamheid en soortgelyke veerkragtigheidsmetodes.
• Segregasietegnieke soos virtualisering.
• Peuter weerstand.

Verder is die gebruik van veilige virtualisasietegnologie kan help om die risiko uit te skakel van onderskepping tussen twee toepassings wat op dieselfde toestel loop.

Laastens word daarop gewys dat die gebruik van peuterweerstandstelsels kan help om beide die logiese en fisiese gepeuter met inligtingstelsels te identifiseer en ongemagtigde onttrekking van inligting te voorkom.

Veranderinge en verskille vanaf ISO 27002:2013

27002:2022/8.27 replaces 27002:2013/(14.2.5)

2022-weergawe stel meer omvattende vereistes in vergelyking met die 2013-weergawe:

1. In teenstelling met die 2013-weergawe, verskaf die 2022-weergawe leiding oor wat veilige ingenieursbeginsels moet dek.
2. Anders as die 2013-weergawe, spreek die 2022-weergawe aan watter kriteria organisasies moet oorweeg wanneer hulle veilige stelselingenieursbeginsels ontwerp.
3. Die 2022-weergawe bevat leiding oor die nultrustbeginsel. 2013-weergawe, aan die ander kant, het dit nie gedek nie.
4. Die 2022-weergawe bevat aanbevelings oor watter veilige ingenieurstegnieke toegepas moet word, soos “sekuriteit deur ontwerp”. Anders as die 2022-weergawe, het die 2013-weergawe nie na sulke tegnieke verwys nie.

Nuwe ISO 27002-kontroles

Hoe ISMS.online help

ISO 27002-implementering is eenvoudiger met ons stap-vir-stap kontrolelys wat jou deur die hele proses lei. Jou volledige voldoeningsoplossing vir ISO / IEC 27002: 2022.

• Tot 81% vorder vanaf wanneer jy aanmeld.
• Eenvoudige en totale voldoeningsoplossing.

Kontak vandag nog om bespreek 'n demo.