אבטחת התקני נקודת קצה של משתמש: בקרה 27002 ISO 8.1 הסבר
בעוד המעבר לעבודה מרחוק והשימוש הגובר במכשירים ניידים מגבירים את פרודוקטיביות העובדים וחוסכים כסף לארגונים, התקני נקודת קצה של משתמשים כגון מחשבים ניידים, טלפונים ניידים וטאבלטים חשופים לאיומי סייבר. הסיבה לכך היא שפושעי סייבר לרוב מנצלים את המכשירים הללו כדי להרוויח גישה לא מורשית לרשתות ארגוניות ופגיעה בנכסי מידע.
לדוגמה, פושעי סייבר עשויים למקד עובדים עם התקפת דיוג, לשכנע עובדים להוריד קובץ מצורף של תוכנה זדונית, ולאחר מכן להשתמש במכשיר נקודת הקצה של המשתמש הנגוע בתוכנה זדונית כדי להפיץ את התוכנה הזדונית בכל הרשת הארגונית. התקפה זו עלולה לגרום לאובדן של זמינות, שלמות או סודיות של נכסי מידע.
פי סקר נערך עם 700 מומחי IT, כ-70% מהארגונים חוו פגיעה בנכסי מידע ותשתיות IT כתוצאה מהתקפה הקשורה למכשירי נקודת קצה ב-2020.
בקרה 8.1 מתייחסת לאופן שבו ארגונים יכולים להקים, לתחזק וליישם מדיניות, נהלים ואמצעים טכניים ספציפיים לנושא כדי להבטיח שנכסי מידע המתארחים או מעובדים במכשירי נקודת הקצה של המשתמש לא ייפגעו, יאבדו או ייגנבו.
מטרת הבקרה 8.1
בקרה 8.1 מאפשרת לארגונים להגן ולתחזק את האבטחה, הסודיות, היושרה והזמינות של נכסי מידע הנמצאים או נגישים באמצעות התקני משתמשי נקודת קצה על ידי התקנה מדיניות, נהלים ובקרות מתאימים.
טבלת בקרה של תכונות 8.1
בקרה 8.1 היא מונעת במהותה. זה דורש מארגונים ליישם מדיניות, נהלים ואמצעים טכניים החלים על כל מכשירי נקודת הקצה של המשתמשים המארחים או מעבדים נכסי מידע כך שהם לא ייפגעו, יאבדו או ייגנבו.
| סוג הבקרה | מאפייני אבטחת מידע | מושגי אבטחת סייבר | יכולות מבצעיות | תחומי אבטחה |
|---|---|---|---|---|
| #מוֹנֵעַ | #סודיות | #לְהַגֵן | #ניהול נכסים | #הֲגָנָה |
| #יושרה | #הגנת מידע | |||
| #זמינות |
ISO 27001 בקלות
יתרון של 81% מהיום הראשון
עשינו את העבודה הקשה בשבילך, ונתנו לך התחלה של 81% מרגע הכניסה. כל שעליכם לעשות הוא להשלים את החסר.
בעלות על שליטה 8.1
בהתחשב בכך שעמידה ב-Control 8.1 כרוכה ביצירה, תחזוקה ועמידה במדיניות, נהלים ואמצעים טכניים ספציפיים לנושאים בארגון, המפקד קצין אבטחת מידע צריך לשאת באחריות לציות עם הדרישות של בקרה 8.1.
הנחיות כלליות בנושא ציות
Control 8.1 מחייבת ארגונים ליצור מדיניות ספציפית לנושא שמתייחסת לאופן שבו יש להגדיר בצורה מאובטחת התקני נקודת קצה של משתמשים וכיצד יש לטפל במכשירים אלו על ידי משתמשים.
יש ליידע את כל הצוות על מדיניות זו והפוליסה צריכה לכסות את הדברים הבאים:
- איזה סוג של מידע, במיוחד באיזו רמת סיווג, ניתן לעבד, לאחסן או להשתמש בהתקני קצה של משתמשים.
- כיצד יש לרשום את המכשירים.
- דרישות להגנה פיזית של מכשירים.
- הגבלות על התקנת תוכנות במכשירים.
- כללים על התקנת תוכנה במכשירים ועל עדכוני תוכנה.
- כללים כיצד ניתן לחבר את מכשירי נקודת הקצה של המשתמש לרשתות ציבוריות או לרשתות בשטחים אחרים מחוץ לאתר.
- בקרות גישה.
- הצפנה של אמצעי האחסון המארחים נכסי מידע.
- כיצד מכשירים יהיו מוגנים מפני התקפות תוכנות זדוניות.
- כיצד ניתן להשבית או לנעול מכשירים. כיצד ניתן למחוק את המידע הכלול במכשירים מרחוק.
- שיטות ונהלי גיבוי.
- כללים על שימוש באפליקציות ושירותי אינטרנט.
- ניתוח התנהגות משתמש קצה.
- כיצד ניתן להשתמש באמצעי אחסון נשלפים כגון כונני USB וכיצד ניתן להשבית יציאות פיזיות כגון יציאות USB.
- איך ניתן להשתמש ביכולות הפרדה כדי להפריד בין המידע של הארגון נכסים מנכסים אחרים המאוחסנים במכשיר המשתמש.
יתרה מזאת, ההנחיה הכללית מציינת שארגונים צריכים לשקול לאסור אחסון של נכסי מידע רגיש במכשירי נקודת קצה של משתמשים על ידי הטמעת בקרות טכניות.
בקרות טכניות אלו עשויות לכלול השבתת פונקציות אחסון מקומיות כגון כרטיסי SD.
ביישום ההמלצות הללו, ארגונים צריכים לפנות לניהול תצורה כפי שנקבע ב-Control 8.9 ולהשתמש בכלים אוטומטיים.
הנחיות משלימות בנושא אחריות משתמש
יש ליידע את כל הצוות לגבי אמצעי האבטחה עבור התקני נקודת הקצה של המשתמש והנהלים שהם צריכים לדבוק בהם. יתר על כן, הם צריכים להיות מודעים לאחריותם ליישום אמצעים ונהלים אלה.
ארגונים צריכים להורות לצוות לציית לכללים ולנהלים הבאים:
- כאשר שירות אינו נדרש עוד או כאשר הפעלה מסתיימת, המשתמשים צריכים לצאת מההפעלה ולהפסיק את השירותים.
- אסור לצוות להשאיר את המכשירים שלהם ללא השגחה. כאשר מכשירים אינם בשימוש, הצוות צריך לשמור על אבטחת המכשירים מפני גישה או שימוש בלתי מורשית על ידי הפעלת פקדים פיזיים כגון מנעולי מפתחות ועל ידי בקרות טכניות כגון סיסמאות חזקות.
- על הצוות לנהוג בזהירות יתרה כאשר הם משתמשים במכשירי נקודת קצה המכילים מידע רגיש באזורים ציבוריים לא מאובטחים.
- יש להגן על התקני קצה של המשתמש מפני גניבה, במיוחד באזורים מסוכנים כגון חדרי מלון, חדרי ישיבות או תחבורה ציבורית.
יתרה מזאת, מומלץ לארגונים גם לקבוע נוהל מיוחד לאובדן או גניבה של התקני קצה של משתמשים. הליך זה צריך להיווצר תוך התחשבות בדרישות משפטיות, חוזיות ואבטחה.
שחררו את עצמכם מהר של גיליונות אלקטרוניים
הטמע, הרחב והרחיב את תאימותך, ללא כל בלגן. IO מעניק לך את החוסן והביטחון לצמוח בצורה מאובטחת.
הנחיות משלימות על שימוש במכשירים אישיים (BYOD)
מתן אפשרות לעובדים להשתמש במכשירים האישיים שלהם למטרות הקשורות לעבודה חוסך כסף לארגונים, אך חושף נכסי מידע רגיש לסיכונים חדשים.
בקרה 8.1 מפרטת חמש המלצות שארגונים צריכים לקחת בחשבון כאשר הם מאפשרים לעובדים להשתמש במכשירים שלהם למשימות הקשורות לעבודה:
- צריכים להיות אמצעים טכניים כגון כלי תוכנה כדי להפריד בין השימוש האישי והעסקי במכשירים כך שהמידע של הארגון מוגן.
- יש לאפשר לעובדים להשתמש במכשיר שלהם רק לאחר שהם מסכימים לדברים הבאים:
- צוות העובדים מכיר בחובותיהם להגן פיזית על מכשירים ולבצע עדכוני תוכנה נחוצים.
- הצוות מסכים לא לתבוע כל בעלות על נכסי המידע של הארגון.
- הצוות מסכים שניתן למחוק את המידע הכלול במכשיר מרחוק כאשר המכשיר אובד או נגנב, בכפוף ל דרישות משפטיות לנתונים אישיים.
- קביעת מדיניות לגבי בעלות על זכויות קניין רוחני שנוצרו באמצעות שימוש במכשירי נקודת קצה של משתמשים.
- כיצד תינתן גישה למכשירים הפרטיים של הצוות בהתחשב בהגבלות החוקיות על גישה כזו.
- מתן אפשרות לצוות להשתמש במכשירים הפרטיים שלהם עלולה להוביל לאחריות משפטית עקב השימוש בתוכנת צד שלישי במכשירים אלו. ארגונים צריכים לשקול את הסכמי רישוי התוכנה שיש להם עם הספקים שלהם.
הנחיות משלימות בנושא חיבורים אלחוטיים
ארגונים צריכים לפתח ולתחזק נהלים עבור:
- כיצד יש להגדיר חיבורים אלחוטיים במכשירים.
- כיצד ישמשו חיבורים אלחוטיים או קוויים עם רוחב פס מספיק עמידה במדיניות ספציפית לנושא.
הנחיות נוספות בנושא בקרה 8.1
כאשר מכשירי נקודת קצה של משתמשים נשלפים משטח הארגון, נכסי מידע עשויים להיות חשופים לסיכונים מוגברים של פשרה. לכן, ייתכן שארגונים יצטרכו להקים בקרות שונות עבור מכשירים המשמשים מחוץ למתחם.
יתר על כן, Control 8.1 מזהיר ארגונים מפני אובדן מידע עקב שני סיכונים הקשורים לחיבורים אלחוטיים:
- חיבורים אלחוטיים עם רוחב פס נמוך עלולים לגרום לכישלון בגיבוי הנתונים.
- התקני נקודת קצה של משתמשים עשויים להתנתק מדי פעם מהרשת האלחוטית וגיבויים מתוזמנים עשויים להיכשל.
ניהול כל דרישות התאימות, הכל במקום אחד
ISMS.online תומך ביותר מ-100 תקנים ותקנות, ומעניק לך פלטפורמה אחת לכל צרכי התאימות שלך.
שינויים והבדלים מ-ISO 27002:2013
27002:2022/8.1 מחליף את 27002:2013/(6.2.1 ו-12.2.8)
הבדלים מבניים
In בניגוד לגרסת 2022 הנותנת מענה להתקני נקודת קצה של משתמשים תחת בקרה אחת (8.1), גרסת 2013 כללה שני פקדים נפרדים: מדיניות התקנים ניידים בבקרה 6.2.1 וציוד משתמש ללא השגחה בבקרה 11.2.8.
יתר על כן, בעוד ש-Control 8.1 בגרסת 2022 חלה על כל מכשירי נקודת הקצה של המשתמש כגון מחשבים ניידים, טאבלטים וטלפונים ניידים, גרסת 2013 התייחסה רק למכשירים הניידים.
גרסת 2022 קובעת דרישות נוספות לאחריות המשתמש
בעוד ששתי הגרסאות דומות במידה רבה מבחינת הדרישות לאחריות המשתמש, גרסת 2022 מכילה דרישה נוספת אחת:
- על הצוות לנהוג בזהירות יתרה כאשר הם משתמשים במכשירי נקודת קצה המכילים מידע רגיש באזורים ציבוריים לא מאובטחים.
גרסת 2022 מקיפה יותר במונחים של BYOD
בהשוואה לגרסת 2013, בקרה 8.1 בגרסת 2022 מציגה שלוש דרישות חדשות לשימוש במכשירים הפרטיים של הצוות (BYOD):
- קביעת מדיניות לגבי בעלות על זכויות קניין רוחני שנוצרו באמצעות שימוש במכשירי נקודת קצה של משתמשים.
- כיצד תינתן גישה למכשירים הפרטיים של הצוות בהתחשב בהגבלות החוקיות על גישה כזו.
- מתן אפשרות לצוות להשתמש במכשירים הפרטיים שלהם עלולה להוביל לאחריות משפטית עקב השימוש בתוכנת צד שלישי במכשירים אלו. ארגונים צריכים לשקול את הסכמי רישוי התוכנה שיש להם עם הספקים שלהם.
גרסת 2022 דורשת מדיניות מפורטת יותר ספציפית לנושא
בדומה לגרסת 2013, גם גירסת 2022 דורשת מארגונים לאמץ מדיניות ספציפית לנושא על התקני נקודת קצה של משתמשים.
עם זאת, הפקד 8.1 בגרסת 2022 הוא מקיף יותר מכיוון שהוא מכיל שלושה אלמנטים חדשים שצריך לכלול:
- ניתוח התנהגות משתמשי קצה.
- כיצד ניתן להשתמש בהתקנים נשלפים כגון כונני USB וכיצד ניתן להשבית יציאות פיזיות כגון יציאות USB.
- איך ניתן להשתמש ביכולות הפרדה כדי להפריד בין המידע של הארגון נכסים מנכסים אחרים המאוחסנים במכשיר המשתמש.
בקרות חדשות ISO 27002
| מזהה בקרה ISO/IEC 27002:2022 | מזהה בקרה ISO/IEC 27002:2013 | שם בקרה |
|---|---|---|
| 5.7 | NEW | אינטליגנציה מאיימת |
| 5.23 | NEW | אבטחת מידע לשימוש בשירותי ענן |
| 5.30 | NEW | מוכנות ICT להמשכיות עסקית |
| 7.4 | NEW | ניטור אבטחה פיזית |
| 8.9 | NEW | ניהול תצורה |
| 8.10 | NEW | מחיקת מידע |
| 8.11 | NEW | מיסוך נתונים |
| 8.12 | NEW | מניעת דליפת נתונים |
| 8.16 | NEW | פעילויות ניטור |
| 8.23 | NEW | סינון אינטרנט |
| 8.28 | NEW | קידוד מאובטח |
| מזהה בקרה ISO/IEC 27002:2022 | מזהה בקרה ISO/IEC 27002:2013 | שם בקרה |
|---|---|---|
| 6.1 | 07.1.1 | סריקה |
| 6.2 | 07.1.2 | תנאי העסקה |
| 6.3 | 07.2.2 | מודעות, חינוך והדרכה לאבטחת מידע |
| 6.4 | 07.2.3 | תהליך משמעתי |
| 6.5 | 07.3.1 | אחריות לאחר סיום או שינוי עבודה |
| 6.6 | 13.2.4 | הסכמי סודיות או סודיות |
| 6.7 | 06.2.2 | עבודה מרחוק |
| 6.8 | 16.1.2, 16.1.3 | דיווח על אירועי אבטחת מידע |
| מזהה בקרה ISO/IEC 27002:2022 | מזהה בקרה ISO/IEC 27002:2013 | שם בקרה |
|---|---|---|
| 7.1 | 11.1.1 | היקפי אבטחה פיזית |
| 7.2 | 11.1.2, 11.1.6 | כניסה פיזית |
| 7.3 | 11.1.3 | אבטחת משרדים, חדרים ומתקנים |
| 7.4 | NEW | ניטור אבטחה פיזית |
| 7.5 | 11.1.4 | הגנה מפני איומים פיזיים וסביבתיים |
| 7.6 | 11.1.5 | עבודה באזורים מאובטחים |
| 7.7 | 11.2.9 | שולחן כתיבה ברור ומסך ברור |
| 7.8 | 11.2.1 | מיקום ומיגון ציוד |
| 7.9 | 11.2.6 | אבטחת נכסים מחוץ לשטח |
| 7.10 | 08.3.1, 08.3.2, 08.3.3, 11.2.5 | אחסון מדיה |
| 7.11 | 11.2.2 | כלי עזר תומכים |
| 7.12 | 11.2.3 | אבטחת כבלים |
| 7.13 | 11.2.4 | תחזוקת ציוד |
| 7.14 | 11.2.7 | סילוק מאובטח או שימוש חוזר בציוד |
כיצד ISMS.online עוזר
ISMS.Online היא תוכנת מערכת הניהול המובילה בתקן ISO 27002 התומכת בעמידה ISO 27002, ו עוזר לחברות ליישר את מדיניות האבטחה שלהן ונהלים עם התקן.
הפלטפורמה מבוססת הענן מספקת סט שלם של כלים כדי לסייע לארגונים בהקמת מערכת ניהול אבטחת מידע (ISMS) לפי ISO 27002.
צור קשר עוד היום כדי הזמן הדגמה.
