הבנת ISO 27002 בקרת 8.23: סינון אינטרנט לאבטחת סייבר
אם עובדים מבקרים באתרי אינטרנט עם תוכן זדוני, הדבר עלול לחשוף את הרשתות הארגוניות ומערכות המידע לסיכוני אבטחה כגון התקפות תוכנות זדוניות.
לדוגמה, תוקפי סייבר עשויים לשלוח דוא"ל פישינג למייל העבודה של עובד, לשכנע אותו ללחוץ על קישור ולבקר באתר אינטרנט. כאשר העובד מבקר באתר זה, הוא עלול להעלות אוטומטית תוכנות זדוניות למכשיר של העובד ולאחר מכן לחדור לרשתות ארגוניות. סוג זה של התקפה נקרא הורדה דרך כונן והוא מוריד אוטומטית תוכנות זדוניות ברגע שעובד מבקר באתר.
לכן, ארגונים צריכים להקים בקרות סינון אינטרנט מתאימות כדי להגביל ולשלוט בגישה לאתרים חיצוניים ולמנוע איומי אבטחה.
מטרת הבקרה 8.23
Control 8.23 מאפשר לארגונים לבטל סיכוני אבטחה כגון הדבקה בתוכנה זדונית שעלולה להיווצר כתוצאה מגישה לאתרים חיצוניים עם תוכן זדוני.
טבלת בקרה של תכונות 8.23
בקרה 8.23 היא סוג מניעתי של בקרה הדורש מארגונים להציב בקרות גישה ואמצעים מתאימים למניעת גישה לתוכן זדוני באתרים חיצוניים.
| סוג הבקרה | מאפייני אבטחת מידע | מושגי אבטחת סייבר | יכולות מבצעיות | תחומי אבטחה |
|---|---|---|---|---|
| #מוֹנֵעַ | #סודיות | #לְהַגֵן | #אבטחת מערכת ורשת | #הֲגָנָה |
| #יושרה | ||||
| #זמינות |
ISO 27001 בקלות
יתרון של 81% מהיום הראשון
עשינו את העבודה הקשה בשבילך, ונתנו לך התחלה של 81% מרגע הכניסה. כל שעליכם לעשות הוא להשלים את החסר.
בעלות על שליטה 8.23
בהתחשב בכך ש-8.28 כולל זיהוי של אתרים חיצוניים בסיכון גבוה ועיצוב ויישום של בקרות גישה וסינון אינטרנט מתאימות, קצין אבטחת המידע הראשי צריך להיות אחראי לנקוט בצעדים מתאימים לעמידה בדרישות.
הנחיות כלליות בנושא ציות
ארגונים צריכים להקים וליישם בקרות הכרחיות כדי למנוע מעובדים לגשת לאתרים חיצוניים שעלולים להכיל וירוסים, חומרי פישינג או סוגים אחרים של מידע לא חוקי.
טכניקה יעילה אחת למנוע גישה לאתרים חיצוניים מסוכנים היא חסימת כתובת ה-IP או הדומיין של אתרים שזוהו כמסוכנים. לדוגמה, כמה דפדפנים וכלים נגד תוכנות זדוניות מאפשרים לארגונים לעשות זאת באופן אוטומטי.
בקרה 8.23 מציינת שארגונים צריכים לקבוע לאילו סוגי אתרים אסור לגשת לעובדים.
בפרט, יש לחסום את סוגי האתרים הבאים:
- אתרים עם פונקציונליות של העלאת מידע. הגישה צריכה להיות כפופה להרשאה ויש להעניק אותה רק מסיבות עסקיות תקפות.
- אתרים שידועים או חשודים כמכילים חומר זדוני, כגון אתרים עם תוכן תוכנה זדונית.
- שרתי פיקוד ובקרה.
- אתרים זדוניים שהושגו ממודיעין איומים. ארגונים צריכים לעיין ב-Control 5.7 לפרטים נוספים.
- אתרים המפיצים תוכן וחומרים לא חוקיים.
לפני תכנון ויישום בקרה זו, מומלץ לארגונים לקבוע כללים לגישה בטוחה ומתאימה למשאבים מקוונים ולשימוש בהם. זה צריך לכלול גם הטלת הגבלות על אתרים המכילים חומרים לא הולמים.
יש לעיין ולעדכן כללים אלה במרווחי זמן קבועים.
הדרכה משלימה בנושא הכשרת צוות
בקרה 8.23 דורשת שכל הצוות יקבל הדרכה כיצד לגשת למשאבים מקוונים ולהשתמש בהם בבטחה.
הכשרה זו צריכה לכסות את הכללים של הארגון עצמו וצריכה להתייחס לאופן שבו הצוות יכול להעלות את חששות האבטחה שלו/ה על ידי פנייה לאדם הרלוונטי בארגון.
יתר על כן, ההדרכה צריכה להתייחס גם לאופן שבו הצוות יכול לגשת לאתרים מוגבלים מסיבות עסקיות תקפות וכיצד תהליך חריג זה עובד עבור גישה כזו.
אחרון חביב, ההדרכה צריכה להתייחס לייעוץ לדפדפן שמזהיר את המשתמשים שאתר אינטרנט אינו מאובטח אך מאפשר למשתמשים להמשיך. יש להנחות את הצוות לא להתעלם מאזהרות כאלה.
ניהול כל דרישות התאימות, הכל במקום אחד
ISMS.online תומך ביותר מ-100 תקנים ותקנות, ומעניק לך פלטפורמה אחת לכל צרכי התאימות שלך.
הנחיות משלימות בקרה 8.23
יש מגוון של טכניקות סינון אתרים כגון:
- היוריסטיקה.
- חתימות.
- רשימת אתרים אסורים ומקובלים.
- תצורת דומיין.
שינויים והבדלים מ-ISO 27002:2013
27002:2022/8.23 הוא סוג חדש של בקרה.
בקרות חדשות ISO 27002
| מזהה בקרה ISO/IEC 27002:2022 | מזהה בקרה ISO/IEC 27002:2013 | שם בקרה |
|---|---|---|
| 5.7 | NEW | אינטליגנציה מאיימת |
| 5.23 | NEW | אבטחת מידע לשימוש בשירותי ענן |
| 5.30 | NEW | מוכנות ICT להמשכיות עסקית |
| 7.4 | NEW | ניטור אבטחה פיזית |
| 8.9 | NEW | ניהול תצורה |
| 8.10 | NEW | מחיקת מידע |
| 8.11 | NEW | מיסוך נתונים |
| 8.12 | NEW | מניעת דליפת נתונים |
| 8.16 | NEW | פעילויות ניטור |
| 8.23 | NEW | סינון אינטרנט |
| 8.28 | NEW | קידוד מאובטח |
| מזהה בקרה ISO/IEC 27002:2022 | מזהה בקרה ISO/IEC 27002:2013 | שם בקרה |
|---|---|---|
| 6.1 | 07.1.1 | סריקה |
| 6.2 | 07.1.2 | תנאי העסקה |
| 6.3 | 07.2.2 | מודעות, חינוך והדרכה לאבטחת מידע |
| 6.4 | 07.2.3 | תהליך משמעתי |
| 6.5 | 07.3.1 | אחריות לאחר סיום או שינוי עבודה |
| 6.6 | 13.2.4 | הסכמי סודיות או סודיות |
| 6.7 | 06.2.2 | עבודה מרחוק |
| 6.8 | 16.1.2, 16.1.3 | דיווח על אירועי אבטחת מידע |
| מזהה בקרה ISO/IEC 27002:2022 | מזהה בקרה ISO/IEC 27002:2013 | שם בקרה |
|---|---|---|
| 7.1 | 11.1.1 | היקפי אבטחה פיזית |
| 7.2 | 11.1.2, 11.1.6 | כניסה פיזית |
| 7.3 | 11.1.3 | אבטחת משרדים, חדרים ומתקנים |
| 7.4 | NEW | ניטור אבטחה פיזית |
| 7.5 | 11.1.4 | הגנה מפני איומים פיזיים וסביבתיים |
| 7.6 | 11.1.5 | עבודה באזורים מאובטחים |
| 7.7 | 11.2.9 | שולחן כתיבה ברור ומסך ברור |
| 7.8 | 11.2.1 | מיקום ומיגון ציוד |
| 7.9 | 11.2.6 | אבטחת נכסים מחוץ לשטח |
| 7.10 | 08.3.1, 08.3.2, 08.3.3, 11.2.5 | אחסון מדיה |
| 7.11 | 11.2.2 | כלי עזר תומכים |
| 7.12 | 11.2.3 | אבטחת כבלים |
| 7.13 | 11.2.4 | תחזוקת ציוד |
| 7.14 | 11.2.7 | סילוק מאובטח או שימוש חוזר בציוד |
כיצד ISMS.online עוזר
אתה יכול לפקח ולנהל את כל ההיבטים של מסע התאימות שלך ל-ISO 27002 ממקום אחד - ניהול ביקורת, ניתוח פערים, ניהול הדרכה, הערכת סיכונים וכו'.
הוא מספק פתרון משולב קל לשימוש שניתן לגשת אליו על בסיס 24/7 דרך כל מכשיר עם חיבור לאינטרנט. הפלטפורמה מאפשרת לכל העובדים לעבוד יחד בצורה חלקה ובטוחה כדי לנהל סיכוני אבטחה ולעקוב אחר תאימות הארגון, כמו גם את המסע לקראת הסמכת ISO 27001.
צור קשר עוד היום כדי הזמן הדגמה.
