אם עובדים מבקרים באתרי אינטרנט עם תוכן זדוני, הדבר עלול לחשוף את הרשתות הארגוניות ומערכות המידע לסיכוני אבטחה כגון התקפות תוכנות זדוניות.
לדוגמה, תוקפי סייבר עשויים לשלוח דוא"ל פישינג למייל העבודה של עובד, לשכנע אותו ללחוץ על קישור ולבקר באתר אינטרנט. כאשר העובד מבקר באתר זה, הוא עלול להעלות אוטומטית תוכנות זדוניות למכשיר של העובד ולאחר מכן לחדור לרשתות ארגוניות. סוג זה של התקפה נקרא הורדה דרך כונן והוא מוריד אוטומטית תוכנות זדוניות ברגע שעובד מבקר באתר.
לכן, ארגונים צריכים להקים בקרות סינון אינטרנט מתאימות כדי להגביל ולשלוט בגישה לאתרים חיצוניים ולמנוע איומי אבטחה.
Control 8.23 מאפשר לארגונים לבטל סיכוני אבטחה כגון הדבקה בתוכנה זדונית שעלולה להיווצר כתוצאה מגישה לאתרים חיצוניים עם תוכן זדוני.
בקרה 8.23 היא סוג מניעתי של בקרה הדורש מארגונים להציב בקרות גישה ואמצעים מתאימים למניעת גישה לתוכן זדוני באתרים חיצוניים.
| סוג הבקרה | מאפייני אבטחת מידע | מושגי אבטחת סייבר | יכולות מבצעיות | תחומי אבטחה |
|---|---|---|---|---|
| #מוֹנֵעַ | #סודיות #יושרה #זמינות | #לְהַגֵן | #אבטחת מערכת ורשת | #הֲגָנָה |
בהתחשב בכך ש-8.28 כולל זיהוי של אתרים חיצוניים בסיכון גבוה ועיצוב ויישום של בקרות גישה וסינון אינטרנט מתאימות, קצין אבטחת המידע הראשי צריך להיות אחראי לנקוט בצעדים מתאימים לעמידה בדרישות.
ארגונים צריכים להקים וליישם בקרות הכרחיות כדי למנוע מעובדים לגשת לאתרים חיצוניים שעלולים להכיל וירוסים, חומרי פישינג או סוגים אחרים של מידע לא חוקי.
טכניקה יעילה אחת למנוע גישה לאתרים חיצוניים מסוכנים היא חסימת כתובת ה-IP או הדומיין של אתרים שזוהו כמסוכנים. לדוגמה, כמה דפדפנים וכלים נגד תוכנות זדוניות מאפשרים לארגונים לעשות זאת באופן אוטומטי.
בקרה 8.23 מציינת שארגונים צריכים לקבוע לאילו סוגי אתרים אסור לגשת לעובדים.
בפרט, יש לחסום את סוגי האתרים הבאים:
לפני תכנון ויישום בקרה זו, מומלץ לארגונים לקבוע כללים לגישה בטוחה ומתאימה למשאבים מקוונים ולשימוש בהם. זה צריך לכלול גם הטלת הגבלות על אתרים המכילים חומרים לא הולמים.
יש לעיין ולעדכן כללים אלה במרווחי זמן קבועים.
בקרה 8.23 דורשת שכל הצוות יקבל הדרכה כיצד לגשת למשאבים מקוונים ולהשתמש בהם בבטחה.
הכשרה זו צריכה לכסות את הכללים של הארגון עצמו וצריכה להתייחס לאופן שבו הצוות יכול להעלות את חששות האבטחה שלו/ה על ידי פנייה לאדם הרלוונטי בארגון.
יתר על כן, ההדרכה צריכה להתייחס גם לאופן שבו הצוות יכול לגשת לאתרים מוגבלים מסיבות עסקיות תקפות וכיצד תהליך חריג זה עובד עבור גישה כזו.
אחרון חביב, ההדרכה צריכה להתייחס לייעוץ לדפדפן שמזהיר את המשתמשים שאתר אינטרנט אינו מאובטח אך מאפשר למשתמשים להמשיך. יש להנחות את הצוות לא להתעלם מאזהרות כאלה.
יש מגוון של טכניקות סינון אתרים כגון:
27002:2022/8.23 הוא סוג חדש של בקרה.
אתה יכול לפקח ולנהל את כל ההיבטים של מסע התאימות שלך ל-ISO 27002 ממקום אחד - ניהול ביקורת, ניתוח פערים, ניהול הדרכה, הערכת סיכונים וכו'.
הוא מספק פתרון משולב קל לשימוש שניתן לגשת אליו על בסיס 24/7 דרך כל מכשיר עם חיבור לאינטרנט. הפלטפורמה מאפשרת לכל העובדים לעבוד יחד בצורה חלקה ובטוחה כדי לנהל סיכוני אבטחה ולעקוב אחר תאימות הארגון, כמו גם את המסע לקראת הסמכת ISO 27001.
צור קשר עוד היום כדי הזמן הדגמה.
| מזהה בקרה ISO/IEC 27002:2022 | ISO/IEC 27002:2013 מזהה בקרה | שם בקרה |
|---|---|---|
| 5.7 | חדש | אינטליגנציה מאיימת |
| 5.23 | חדש | אבטחת מידע לשימוש בשירותי ענן |
| 5.30 | חדש | מוכנות ICT להמשכיות עסקית |
| 7.4 | חדש | ניטור אבטחה פיזית |
| 8.9 | חדש | ניהול תצורה |
| 8.10 | חדש | מחיקת מידע |
| 8.11 | חדש | מיסוך נתונים |
| 8.12 | חדש | מניעת דליפת נתונים |
| 8.16 | חדש | פעילויות ניטור |
| 8.23 | חדש | סינון אינטרנט |
| 8.28 | חדש | קידוד מאובטח |
| מזהה בקרה ISO/IEC 27002:2022 | ISO/IEC 27002:2013 מזהה בקרה | שם בקרה |
|---|---|---|
| 6.1 | 07.1.1 | סריקה |
| 6.2 | 07.1.2 | תנאי העסקה |
| 6.3 | 07.2.2 | מודעות, חינוך והדרכה לאבטחת מידע |
| 6.4 | 07.2.3 | תהליך משמעתי |
| 6.5 | 07.3.1 | אחריות לאחר סיום או שינוי עבודה |
| 6.6 | 13.2.4 | הסכמי סודיות או סודיות |
| 6.7 | 06.2.2 | עבודה מרחוק |
| 6.8 | 16.1.2, 16.1.3 | דיווח על אירועי אבטחת מידע |
| מזהה בקרה ISO/IEC 27002:2022 | ISO/IEC 27002:2013 מזהה בקרה | שם בקרה |
|---|---|---|
| 7.1 | 11.1.1 | היקפי אבטחה פיזית |
| 7.2 | 11.1.2, 11.1.6 | כניסה פיזית |
| 7.3 | 11.1.3 | אבטחת משרדים, חדרים ומתקנים |
| 7.4 | חדש | ניטור אבטחה פיזית |
| 7.5 | 11.1.4 | הגנה מפני איומים פיזיים וסביבתיים |
| 7.6 | 11.1.5 | עבודה באזורים מאובטחים |
| 7.7 | 11.2.9 | שולחן כתיבה ברור ומסך ברור |
| 7.8 | 11.2.1 | מיקום ומיגון ציוד |
| 7.9 | 11.2.6 | אבטחת נכסים מחוץ לשטח |
| 7.10 | 08.3.1, 08.3.2, 08.3.3, 11.2.5 | אחסון מדיה |
| 7.11 | 11.2.2 | כלי עזר תומכים |
| 7.12 | 11.2.3 | אבטחת כבלים |
| 7.13 | 11.2.4 | תחזוקת ציוד |
| 7.14 | 11.2.7 | סילוק מאובטח או שימוש חוזר בציוד |
