ISO 27002:2022, Beheer 8.9 – Konfigurasiebestuur

Algemene riglyne oor nakoming

Oor die algemeen, organisasie se behoefte om konfigurasiebestuurbeleide op te stel en te implementeer vir beide nuwe stelsels en hardeware, en enige wat reeds in gebruik is. Interne beheermaatreëls moet besigheidskritiese elemente soos sekuriteitkonfigurasies, alle hardeware wat 'n konfigurasielêer bevat en enige relevante sagtewaretoepassings of -stelsels insluit.

Beheer 8.9 vra organisasies om alle relevante rolle en verantwoordelikhede te oorweeg wanneer 'n konfigurasiebeleid geïmplementeer word, insluitend die gedelegeerde eienaarskap van konfigurasies op 'n toestel-vir-toestel, of toepassing-vir-toepassing basis.

Leiding – Standaard Sjablone

Waar moontlik, moet organisasies gestandaardiseerde sjablone gebruik om alle hardeware, sagteware en stelsels te beveilig. Sjablone moet:

1. Probeer om publieke beskikbare, verskafferspesifieke en/of oopbronleiding te gebruik oor hoe om hardeware- en sagtewarebates die beste op te stel.
2. Voldoen aan minimum sekuriteitsvereistes vir die toestel, toepassing of stelsel waarop dit van toepassing is.
3. Werk in harmonie met die organisasie se breër inligtingsekuriteitspogings, insluitend alle relevante ISO-kontroles.
4. Hou die organisasie se unieke besigheidsvereistes in gedagte – veral waar sekuriteitkonfigurasies ter sprake is – insluitend hoe haalbaar dit is om 'n sjabloon op enige gegewe tydstip toe te pas of te bestuur.
5. Word met gepaste tussenposes hersien om voorsiening te maak vir stelsel- en/of hardeware-opdaterings, of enige heersende sekuriteitsbedreigings.

Leiding – Sekuriteitskontroles

Sekuriteit is uiters belangrik wanneer opstellingsjablone toegepas word, of bestaande sjablone in ooreenstemming met bogenoemde riglyne gewysig word.

Wanneer standaardsjablone vir gebruik regoor die organisasie oorweeg word, moet organisasies om enige inligtingsekuriteitsrisiko's tot die minimum te beperk:

1. Beperk die aantal gebruikers met administrateurregte tot 'n minimum.
2. Deaktiveer enige ongebruikte of onnodige identiteite.
3. Monitor toegang tot instandhoudingsprogramme, nutstoepassings en interne instellings noukeurig.
4. Maak seker dat horlosies gesinchroniseer is om die konfigurasie korrek aan te teken, en help met enige toekomstige ondersoeke.
5. Verander onmiddellik enige verstekwagwoorde of versteksekuriteitinstellings wat by enige toestel, diens of toepassing voorsien word.
6. Implementeer 'n verstek afmeldperiode vir enige toestelle, stelsels of toepassings wat vir 'n bepaalde tydperk dormant gelaat is.
7. Maak seker dat aan alle lisensievereistes voldoen is (sien Kontrole 5.32).

Leiding – Bestuur en monitering van konfigurasies

'n Organisasie het 'n verantwoordelikheid om konfigurasies in stand te hou en te stoor, insluitend die hou van 'n ouditspoor van enige wysigings of nuwe installasies, in lyn met 'n gepubliseerde veranderingsbestuurproses (sien Beheer 8.32).

Logs moet inligting bevat wat uiteensit:

1. Wie besit die bate.
2. 'n Tydstempel vir die jongste konfigurasieverandering.
3. Die huidige weergawe van die konfigurasie sjabloon.
4. Enige relevante inligting wat die batesverwantskap met konfigurasies wat op ander toestelle of stelsels gehou word, verduidelik.

Organisasies moet 'n wye reeks tegnieke gebruik om die werking van konfigurasielêers oor hul netwerk te monitor, insluitend:

1. Outomatisering.
2. Gespesialiseerde konfigurasie instandhoudingsprogramme.
3. Afstandondersteuningsnutsgoed wat opstellinginligting outomaties op 'n toestel-vir-toestel basis invul.
4. Ondernemingstoestel- en sagtewarebestuurhulpmiddels wat ontwerp is om groot hoeveelhede konfigurasiedata op een slag te monitor.
5. BUDR-sagteware wat konfigurasies outomaties rugsteun na 'n veilige plek, en sjablone óf op afstand óf ter plaatse herstel na gekompromitteerde en/of wanfunksionele toestelle.

Organisasies moet gespesialiseerde sagteware opstel om enige veranderinge in 'n toestel se opstelling na te spoor, en toepaslike stappe te neem om die wysiging so gou moontlik aan te spreek, hetsy deur die verandering te bekragtig of die opstelling terug te keer na sy oorspronklike toestand.

Ondersteunende riglyne

• 5.32
• 8.32

Veranderinge en verskille vanaf ISO 27002:2013

Geen. Beheer 8.9 het geen presedent in ISO 27002:2013 nie, aangesien dit nuut is.

Hoe ISMS.online help

ISMS.Online is 'n volledige oplossing vir ISO 27002 implementering.

Dit is 'n webgebaseerde stelsel wat jou toelaat om te wys dat jou inligtingsekuriteitbestuurstelsel (ISMS) aan die goedgekeurde standaarde voldoen deur weldeurdagte prosesse en prosedures en kontrolelyste te gebruik.

Kontak vandag nog om bespreek 'n demo.