כאשר פושעי סייבר מתפשרים על רשתות מחשוב, שירותים או מכשירים, הם אינם מגבילים את עצמם לנכסים שנפגעו.
הם ממנפים את החדירה הראשונית כדי לחדור לכל הרשת של הארגון, לקבל גישה לנכסי מידע רגישים או לביצוע התקפות של תוכנות כופר.
לדוגמה, פושעי סייבר עלולים לגנוב את אישורי הכניסה של עובדי משאבי אנוש (HR) בבית חולים בעקבות מתקפת פישינג מוצלחת ולקבל גישה למערכות משאבי אנוש.
לאחר מכן הם יכולים להשתמש בנקודת גישה זו כדי לנוע לרוחב על פני הרשת כולה ולגלות רשתות המארחות מידע רגיש של חולים. חדירה זו עלולה לגרום לפגיעה בנכסי מידע, לעורר זמן השבתה או לחשוף את בית החולים להתקפת תוכנת כופר.
אם לבית החולים היו טכניקות הפרדת רשת כמו חומות אש, רשתות וירטואליות או בידוד שרתים, סביר להניח שזה היה מונע מפולשים לקבל גישה לנכסי מידע רגיש וממזער את ההשפעה של הפרצה.
בקרה 8.22 מתייחסת לאופן שבו ארגונים יכולים ליישם ולתחזק טכניקות הפרדת רשת מתאימות כדי למנוע סיכונים לזמינות, לשלמות ולסודיות של נכסי מידע.
Control 8.22 מאפשר לארגונים להפריד את רשתות המחשוב שלהם לתת-רשתות על בסיס רמת הרגישות והקריטיות ולהגביל את זרימת התעבורה בין תת-רשתות השונות הללו.
זה עוזר לארגונים למנוע התפשטות של תוכנות זדוניות או וירוסים מרשתות שנפגעו לרשתות אחרות המאחסנות נכסי מידע רגישים.
זה מבטיח שארגונים ישמרו על הסודיות, היושרה והזמינות של נכסי מידע המתארחים בתתי רשתות קריטיות.
בקרה 8.22 היא מונעת במהותה שכן היא מחייבת ארגונים לנקוט בגישה פרואקטיבית ולקבוע וליישם כללים, נהלים וטכניקות מתאימות להפרדת רשת המחשוב הגדולה יותר לתחומי רשת קטנים יותר, כך שניתן למנוע התפשרות של רשתות רגישות.
| סוג הבקרה | מאפייני אבטחת מידע | מושגי אבטחת סייבר | יכולות מבצעיות | תחומי אבטחה |
|---|---|---|---|---|
| #מוֹנֵעַ | #סודיות #יושרה #זמינות | #לְהַגֵן | #אבטחת מערכת ורשת | #הֲגָנָה |
בהתחשב בכך שבקרה 8.22 כרוכה בפילוח של רשתות, מכשירים ומערכות בהתבסס על רמת הסיכונים הכרוכים בכך וגם יישום של טכניקות ונהלים של הפרדת רשתות, קצין אבטחת מידע צריך להיות אחראי לציות.
בעת יישום אמצעי הפרדת רשת, ארגונים צריכים לנסות למצוא איזון בין צרכים תפעוליים ודאגות אבטחה.
בקרה 8.22 מפרטת שלוש המלצות שיש לקחת בחשבון בעת יישום הפרדת רשת.
כאשר מפרידים את הרשת לתת-דומיינים קטנים יותר של רשת, ארגונים צריכים לשקול את רמת הרגישות והקריטיות של כל תחום רשת. בהתאם לניתוח זה, תת-דומיינים של רשת עשויים להיות מוקצים ל'דומיינים ציבוריים', 'דומיינים שולחניים', 'דומיינים של שרתים' או 'מערכות בסיכון גבוה'.
יתר על כן, ארגונים יכולים גם לשקול את המחלקות העסקיות כמו משאבי אנוש, שיווק וכספים בעת הפרדת הרשת.
כמו כן, יש לציין כי ארגונים יכולים לשלב את שני הקריטריונים הללו ולהקצות תת-דומיינים של רשת לקטגוריות כגון 'דומיין שרת מתחבר למחלקת מכירות'.
ארגונים צריכים להגדיר את ההיקף של כל תת-דומיין של רשת בצורה ברורה. אם תהיה גישה בין שני תחומי רשת שונים, יש להגביל גישה זו ברמה ההיקפית דרך השער כגון חומות אש או נתבי סינון.
ארגונים צריכים להעריך את דרישות האבטחה עבור כל תחום ספציפי בעת יישום הפרדת רשת ובעת אישור גישה דרך השערים.
הערכה זו צריכה להתבצע בהתאם למדיניות בקרת הגישה כנדרש תחת בקרה 5.15 ויש לשקול גם את הדברים הבאים:
בהתחשב בכך שהגדרת פרמטרי אבטחת רשת עבור רשתות אלחוטיות היא מאתגרת, Control 8.22 ממליצה לארגונים לדבוק בפרקטיקות הבאות:
בקרה 8.22 מציינת שלעתים קרובות ארגונים נכנסים לשותפויות עסקיות שונות עם עסקים אחרים ומשתפים את הרשת, התקני ה-IT ומתקני מידע אחרים שלהם.
לכן, רשתות רגישות עשויות להיות חשופות לסיכון מוגבר של גישה לא מורשית על ידי משתמשים אחרים וארגונים צריכים לנקוט באמצעים מתאימים כדי למנוע סיכון זה.
27002:2022/8.22 replaces 27002:2013/(13.1.3)
בעוד שגרסאות 2022 ו-2013 דומות במידה רבה, יש הבדל מרכזי אחד.
בניגוד לגרסת 2013, גרסת 2022 כוללת את הדרישות הבאות לרשתות אלחוטיות:
ISMS.Online מאפשר לך:
ISMS.Online מציעה מגוון שלם של תכונות כדי לעזור לארגונים ועסקים להשיג עמידה בתקן התעשייה ISO 27001 ו/או ISO 27002 ISMS.
אנא צור איתנו קשר עוד היום כדי קבע הדגמה.
| מזהה בקרה ISO/IEC 27002:2022 | ISO/IEC 27002:2013 מזהה בקרה | שם בקרה |
|---|---|---|
| 5.7 | חדש | אינטליגנציה מאיימת |
| 5.23 | חדש | אבטחת מידע לשימוש בשירותי ענן |
| 5.30 | חדש | מוכנות ICT להמשכיות עסקית |
| 7.4 | חדש | ניטור אבטחה פיזית |
| 8.9 | חדש | ניהול תצורה |
| 8.10 | חדש | מחיקת מידע |
| 8.11 | חדש | מיסוך נתונים |
| 8.12 | חדש | מניעת דליפת נתונים |
| 8.16 | חדש | פעילויות ניטור |
| 8.23 | חדש | סינון אינטרנט |
| 8.28 | חדש | קידוד מאובטח |
| מזהה בקרה ISO/IEC 27002:2022 | ISO/IEC 27002:2013 מזהה בקרה | שם בקרה |
|---|---|---|
| 6.1 | 07.1.1 | סריקה |
| 6.2 | 07.1.2 | תנאי העסקה |
| 6.3 | 07.2.2 | מודעות, חינוך והדרכה לאבטחת מידע |
| 6.4 | 07.2.3 | תהליך משמעתי |
| 6.5 | 07.3.1 | אחריות לאחר סיום או שינוי עבודה |
| 6.6 | 13.2.4 | הסכמי סודיות או סודיות |
| 6.7 | 06.2.2 | עבודה מרחוק |
| 6.8 | 16.1.2, 16.1.3 | דיווח על אירועי אבטחת מידע |
| מזהה בקרה ISO/IEC 27002:2022 | ISO/IEC 27002:2013 מזהה בקרה | שם בקרה |
|---|---|---|
| 7.1 | 11.1.1 | היקפי אבטחה פיזית |
| 7.2 | 11.1.2, 11.1.6 | כניסה פיזית |
| 7.3 | 11.1.3 | אבטחת משרדים, חדרים ומתקנים |
| 7.4 | חדש | ניטור אבטחה פיזית |
| 7.5 | 11.1.4 | הגנה מפני איומים פיזיים וסביבתיים |
| 7.6 | 11.1.5 | עבודה באזורים מאובטחים |
| 7.7 | 11.2.9 | שולחן כתיבה ברור ומסך ברור |
| 7.8 | 11.2.1 | מיקום ומיגון ציוד |
| 7.9 | 11.2.6 | אבטחת נכסים מחוץ לשטח |
| 7.10 | 08.3.1, 08.3.2, 08.3.3, 11.2.5 | אחסון מדיה |
| 7.11 | 11.2.2 | כלי עזר תומכים |
| 7.12 | 11.2.3 | אבטחת כבלים |
| 7.13 | 11.2.4 | תחזוקת ציוד |
| 7.14 | 11.2.7 | סילוק מאובטח או שימוש חוזר בציוד |
