ISO 27002:2022, בקרה 8.15 – רישום

בעלות על שליטה 8.15

בקרה 8.15 עוסקת בפעולות ICT המבוצעות באמצעות גישת מנהל מערכת, ונושאות תחת מטריית ניהול ותחזוקת הרשת. לפיכך, הבעלות על בקרה 8.15 צריכה להיות בידי ראש ה-IT, או מקבילה ארגונית.

הדרכה - מידע על יומן אירועים

'אירוע' הוא כל פעולה המבוצעת על ידי נוכחות לוגית או פיזית במערכת מחשב – למשל בקשה לנתונים, התחברות מרחוק, כיבוי אוטומטי של המערכת, מחיקת קבצים.

בקרת 8.15 ספציפית שכל יומן אירועים בודד צריך להכיל 5 רכיבים עיקריים, על מנת שהוא ימלא את מטרתו התפעולית:

• מזהה משתמש - מי או איזה חשבון ביצע את הפעולות.
• פעילות מערכת - מה קרה
• חותמות זמן - תאריך ושעה של האירוע האמור
• מזהי מכשיר ומערכת, ומיקום - באיזה נכס התרחש האירוע
• כתובות רשת ופרוטוקולים - מידע IP

הדרכה – סוגי אירועים

למטרות מעשיות, ייתכן שלא יהיה זה ריאלי לרשום כל אירוע בודד המתרחש ברשת נתונה.

עם זאת בחשבון, בקרה 8.15 מזהה את 10 האירועים שלהלן כחשובים במיוחד למטרות רישום, לאור יכולתם לשנות סיכונים והתפקיד שהם ממלאים בשמירה על רמות נאותות של אבטחת מידע:

1. ניסיונות גישה למערכת.
2. ניסיונות גישה לנתונים ו/או למשאבים.
3. שינויים בתצורת מערכת/מערכת ההפעלה.
4. שימוש בהרשאות מוגברות.
5. שימוש בתוכניות שירות או במתקני תחזוקה (ראה בקרה 8.18).
6. בקשות גישה לקבצים ומה התרחש (מחיקה, העברה וכו').
7. אזעקות בקרת גישה והפרעות קריטיות.
8. הפעלה ו/או השבתה של מערכות אבטחה חזיתיות ואחוריות, כגון תוכנת אנטי וירוס בצד הלקוח או מערכות הגנה על חומת אש.
9. עבודת ניהול זהויות (הן פיזית והן הגיונית).
10. פעולות מסוימות או שינויים במערכת/נתונים שבוצעו במסגרת הפעלה בתוך אפליקציה.

כפי שהוסבר ב-Control 8.17, חשוב מאוד שכל היומנים יהיו מקושרים לאותו מקור זמן מסונכרן (או סט של קורסים), ובמקרה של יומני יישומים של צד שלישי, כל אי-התאמות בזמן שנקבעו ונרשמו.

הדרכה - הגנת יומן

יומנים הם המכנה המשותף הנמוך ביותר לביסוס התנהגות משתמשים, מערכת ואפליקציות ברשת נתונה, במיוחד כאשר עומדים בפני חקירה.

לכן חשוב מאוד לארגונים להבטיח שמשתמשים - ללא קשר לרמות ההרשאה שלהם - לא ישמרו על היכולת למחוק או לתקן את יומני האירועים שלהם.

יומנים בודדים צריכים להיות מלאים, מדויקים ומוגנים מפני כל שינוי או בעיות תפעול לא מורשים, כולל:

• תיקונים מסוג הודעה.
• קובצי יומן שנמחקו או ערכו.
• כל כישלון ביצירת קובץ יומן, או כתיבת יתר מיותרת של קובצי יומן עקב בעיות רווחות במדיית אחסון או בביצועי הרשת.

ISO ממליצה, על מנת לשפר את אבטחת המידע, יומנים צריכים להיות מוגנים באמצעות השיטות הבאות:

• גיבוב קריפטוגרפי.
• הקלטה להוספה בלבד.
• הקלטה לקריאה בלבד.
• שימוש בקבצי שקיפות ציבורית.

ייתכן שארגונים יצטרכו לשלוח יומנים לספקים כדי לפתור תקלות ותקלות. אם יתעורר צורך זה, יש לבטל את הזיהוי של יומנים (ראה בקרה 8.11) ויש להסוות את המידע הבא:

• שמות משתמשים
• כתובות IP
• שמות מארחים

בנוסף לכך, יש לנקוט באמצעים כדי להגן על מידע אישי מזהה (PII) בהתאם לפרוטוקולי פרטיות הנתונים של הארגון עצמו ולכל חקיקה רווחת (ראה בקרה 5.34).

הדרכה - ניתוח יומן

בעת ניתוח יומנים למטרות זיהוי, פתרון וניתוח אירועי אבטחת מידע – במטרה סופית למנוע התרחשויות עתידיות – יש לקחת בחשבון את הגורמים הבאים:

• המומחיות של הצוות המבצע את הניתוח.
• כיצד מנתחים יומנים, בהתאם לנוהל החברה.
• הסוג, הקטגוריה והתכונות של כל אירוע הדורש ניתוח.
• כל חריגים המיושמים באמצעות כללי רשת הנובעים מחומרה ופלטפורמות של תוכנת אבטחה.
• זרימת ברירת המחדל של תעבורת רשת, בהשוואה לדפוסים בלתי מוסברים.
• מגמות המזוהות כתוצאה מניתוח נתונים מיוחד.
• מודיעין איומים.

הדרכה - ניטור יומן

ניתוח יומן לא צריך להתבצע במנותק, והוא צריך להיעשות במקביל לפעילויות ניטור קפדניות המצביעות על דפוסי מפתח והתנהגות חריגה.

על מנת להשיג גישה דו-חזיתית, ארגונים צריכים:

1. סקור כל ניסיונות לגשת למשאבים מאובטחים ו/או קריטיים לעסקים, כולל שרתי דומיין, פורטלי אינטרנט ופלטפורמות שיתוף קבצים.
2. בדוק יומני DNS כדי לגלות תעבורה יוצאת המקושרת למקורות זדוניים ופעולות שרת מזיקות.
3. אסוף דוחות שימוש בנתונים מספקי שירות או פלטפורמות פנימיות כדי לזהות פעילות זדונית.
4. אסוף יומנים מנקודות גישה פיזיות, כגון יומני כרטיס מפתח/פוב ומידע על גישה לחדר.

מידע משלים

ארגונים צריכים לשקול שימוש בתוכניות שירות מיוחדות המסייעות להם לחפש בכמויות העצומות של מידע שיומני המערכת מייצרים, על מנת לחסוך זמן ומשאבים בעת חקירת אירועי אבטחה, כגון כלי SIEM.

אם ארגון משתמש בפלטפורמה מבוססת ענן כדי לבצע כל חלק מהפעילות שלו, יש לראות בניהול היומנים כאחריות משותפת בין ספק השירות לארגון עצמם.

בקרות תומכות

• 5.34
• 8.11
• 8.17
• 8.18

שינויים והבדלים מ-ISO 27002:2013

ISO 27002:2002-8.15 מחליף שלושה פקדים מ-ISO 27002:2003 העוסקים באחסון, ניהול וניתוח של קובצי יומן:

• 12.4.1 – רישום אירועים
• 12.4.2 – הגנה על מידע יומן
• 12.4.3 – יומני מנהל ומפעיל

27002:2002-8.15 מאשש במידה רבה את כל נקודות ההנחיה משלושת הפקדים לעיל לפרוטוקול אחד ברור העוסק ברישום, עם כמה הרחבות בולטות, כולל (אך לא רק):

• מערך הנחיות מורחב העוסק בהגנה על מידע יומן.
• הדרכה נוספת על סוגי האירועים השונים שיש לקחת בחשבון לבדיקה.
• הדרכה כיצד יש לנטר ולנתח יומנים במאמץ משותף לשיפור אבטחת המידע.
• ייעוץ כיצד לנהל יומנים המיוצרים על ידי פלטפורמות מבוססות ענן.

כיצד ISMS.online עוזר

פלטפורמת ISMS.Online מסייעת בכל ההיבטים של יישום ISO 27002, מניהול פעילויות הערכת סיכונים ועד לפיתוח מדיניות, נהלים והנחיות לעמידה בדרישות התקן.

עם ערכת הכלים האוטומטית שלה, ISMS.Online מקל על ארגונים להוכיח עמידה בתקן ISO 27002.

פנה אלינו עוד היום ל קבע הדגמה.