הטמעת ISO 27002 בקרה 8.27 לאבטחה חזקה יותר
הרכבים מורכבים של מערכות מידע מודרניות, ונוף איומי אבטחת הסייבר המשתנה ללא הרף, הופכים את מערכות המידע לפגיעות יותר לאיומי אבטחה ידועים ופוטנציאליים.
בקרה 8.27, עוסקת באופן שבו ארגונים יכולים לחסל איומי אבטחה על מערכות מידע על ידי יצירת עקרונות הנדסת מערכות מאובטחות המיושמים בכל שלבי מחזור החיים של מערכת המידע.
מטרת הבקרה 8.27
Control 8.27 מאפשר לארגונים לשמור על אבטחת מערכות מידע במהלך שלבי התכנון, הפריסה והתפעול על ידי קביעה ויישום של עקרונות הנדסת מערכות מאובטחות שמהנדסי המערכת פועלים לפיה.
טבלת בקרה של תכונות 8.27
בקרה 8.27 היא סוג בקרה מונע הדורש מארגונים לחסל איומים ידועים ופוטנציאליים על סודיות, שלמות וזמינות של נכסי מידע המאוחסנים או מעובדים באמצעות מערכות מידע כגון מדיה לאחסון, מסדי נתונים ויישומים, באמצעות קביעת עקרונות להנדסת מערכות מאובטחת.
| סוג הבקרה | מאפייני אבטחת מידע | מושגי אבטחת סייבר | יכולות מבצעיות | תחומי אבטחה |
|---|---|---|---|---|
| #מוֹנֵעַ | #סודיות | #לְהַגֵן | #אבטחת יישומים | #הֲגָנָה |
| #יושרה | #אבטחת מערכת ורשת | |||
| #זמינות |
ISO 27001 בקלות
יתרון של 81% מהיום הראשון
עשינו את העבודה הקשה בשבילך, ונתנו לך התחלה של 81% מרגע הכניסה. כל שעליכם לעשות הוא להשלים את החסר.
בעלות על שליטה 8.27
מנהל אבטחת מידע ראשי צריך להיות אחראי על הקמה, תחזוקה ויישום של עקרונות המסדירים הנדסה מאובטחת של מערכות מידע.
הנחיות כלליות בנושא ציות
תקנות 8.27 מדגישות כי ארגונים צריכים להטמיע אבטחה בכל שכבות מערכות המידע , כולל תהליכים עסקיים, יישומים וארכיטקטורת נתונים.
יתר על כן, עקרונות הנדסיים לאבטחה צריכים לחול על כל הפעילויות הקשורות למערכות מידע , ועליהם להיות כפופים לבדיקה ועדכונים שוטפים תוך התחשבות באיומים ודפוסי תקיפה מתפתחים.
בנוסף למערכות מידע שפותחו ומופעלות באופן פנימי, בקרה 8.27 חלה גם על מערכות מידע שנוצרו על ידי ספקי שירות חיצוניים.
לכן, ארגונים צריכים להבטיח שהנהלים והתקנים של ספקי השירות תואמים לעקרונות ההנדסיים המאובטחים שלהם.
בקרה 8.27 דורשת עקרונות הנדסת מערכת מאובטחת כדי לכסות את שמונה הנושאים הבאים:
- הדרכה על שיטות אימות משתמשים.
- הנחיות בנושא בקרת הפעלה מאובטחת.
- הנחיות לגבי תהליכי חיטוי ואימות נתונים.
- מקיף ניתוח כל אמצעי האבטחה נחוץ כדי להגן על נכסי מידע ומערכות מפני איומים ידועים.
- ניתוח מקיף על היכולות של אמצעי אבטחה לזהות, לחסל ולהגיב לאיומי אבטחה.
- מנתח אמצעי אבטחה החלים על פעילויות עסקיות ספציפיות כגון הצפנת מידע.
- כיצד ייושמו אמצעי אבטחה והיכן. זה עשוי לכלול שילוב של בקרת אבטחה ספציפית בתוך תשתית טכנית.
- כיצד אמצעי אבטחה שונים עובדים יחד ופועלים כמערכת משולבת של בקרות.
הדרכה על עקרון אפס אמון
ארגונים צריכים לשקול את עקרונות אפס האמון הבאים:
- החל מהנחה שמערכות הארגון כבר נפגעות והאבטחה ההיקפית של הרשת אינה יעילה יותר.
- אימוץ גישת "לעולם אל תסמוך ותמיד תאמת" למתן גישה למערכות מידע.
- מתן ביטחון שבקשות המוגשות למערכות מידע מוגנות בהצפנה מקצה לקצה.
- יישום מנגנון אימות המניח בקשות גישה למידע מערכות עשויות מרשתות חיצוניות ופתוחות.
- הצבת "הפריבילגיה הקטנה ביותר" ודינמית טכניקות בקרת גישה בהתאם לבקרה 5.15, 5,18 ו-8.2. זה מכסה את האימות וההרשאה של בקשות גישה למידע ומערכות מידע רגישות תוך התחשבות במידע הקשרי כגון זהויות המשתמשים כפי שהוגדרו בבקרה 5.16 וסיווג המידע כפי שנקבע בבקרה 5.12.
- אימות תמיד של זהות המבקש ומאמת בקשות הרשאה לגישה למערכות מידע. הליכי אימות ואימות אלה צריכים להתבצע בהתאם למידע האימות ב-Control 5.17, User Identities in Control 5.16, ו- Multi-Factor in Control 8.5.
שחררו את עצמכם מהר של גיליונות אלקטרוניים
הטמע, הרחב והרחיב את תאימותך, ללא כל בלגן. IO מעניק לך את החוסן והביטחון לצמוח בצורה מאובטחת.
מה צריכות לכסות טכניקות הנדסת מערכת מאובטחת?
- אימוץ והטמעה של עקרונות ארכיטקטורה מאובטחת, לרבות "אבטחה לפי תכנון", "הגנה לעומק", "כשל מאובטח", "אי אמון בקלט מיישומים חיצוניים", "הנחה מהפרה", "הזכות הקטנה ביותר", "שימושיות וניהול" ו" הכי פחות פונקציונליות".
- אימוץ ויישום תהליך סקירת עיצוב ממוקד אבטחה על לזהות אבטחת מידע נקודות תורפה והבטחה שאמצעי אבטחה מזוהים ועומדים בדרישות האבטחה.
- תיעוד והכרה באמצעי האבטחה שאינם עומדים בדרישות.
- התקשות המערכת.
אילו קריטריונים יש לקחת בחשבון בעת תכנון עקרונות הנדסה מאובטחת?
ארגונים צריכים לשקול את הדברים הבאים בעת הקמת עקרונות הנדסת מערכת מאובטחת:
- הצורך לשלב בקרות עם ארכיטקטורת אבטחה ספציפית.
- תשתית אבטחה טכנית קיימת, לרבות תשתית מפתח ציבורי, ניהול זהויות ומניעת דליפת נתונים.
- האם הארגון מסוגל לבנות ולתחזק את הטכנולוגיה הנבחרת.
- עלות וזמן הנדרשים כדי לעמוד בדרישות האבטחה והמורכבות של דרישות כאלה.
- שיטות עבודה מומלצות קיימות.
הדרכה מעשית על יישום עקרונות הנדסת מערכת מאובטחת
בקרה 8.27 מציינת שארגונים יכולים ליישם עקרונות הנדסיים מאובטחים הלכה למעשה בעת הגדרת התצורה הבאה:
- סובלנות לתקלות ושיטות חוסן דומות.
- טכניקות הפרדה כגון וירטואליזציה.
- התנגדות לפגיעה.
יתר על כן, השימוש בטכנולוגיית וירטואליזציה מאובטחת יכול לסייע בביטול הסיכון ליירוט בין שתי אפליקציות הפועלות על אותו מכשיר.
לבסוף, מציינים כי השימוש במערכות התנגדות לפגיעה יכול לסייע בזיהוי ההתעסקות הלוגית והפיזית במערכות מידע ולמנוע חילוץ בלתי מורשה של מידע.
ניהול כל דרישות התאימות, הכל במקום אחד
ISMS.online תומך ביותר מ-100 תקנים ותקנות, ומעניק לך פלטפורמה אחת לכל צרכי התאימות שלך.
שינויים והבדלים מ-ISO 27002:2013
27002:2022/8.27 replaces 27002:2013/(14.2.5)
גרסת 2022 מציגה דרישות מקיפות יותר בהשוואה לגרסת 2013:
- בניגוד לגרסת 2013, גרסת 2022 מספקת הנחיות לגבי מה עקרונות הנדסה מאובטחים צריכים לכסות.
- בניגוד לגרסת 2013, גרסת 2022 מתייחסת לאילו קריטריונים ארגונים צריכים לשקול כאשר הם מתכננים עקרונות הנדסת מערכת מאובטחת.
- גרסת 2022 כוללת הדרכה על עקרון אפס האמון. גרסת 2013, לעומת זאת, לא כיסתה זאת.
- גרסת 2022 כוללת המלצות על אילו טכניקות הנדסיות בטוחות יש ליישם כמו "אבטחה לפי תכנון". בניגוד לגרסת 2022, גרסת 2013 לא התייחסה לטכניקות כאלה.
בקרות חדשות ISO 27002
| מזהה בקרה ISO/IEC 27002:2022 | מזהה בקרה ISO/IEC 27002:2013 | שם בקרה |
|---|---|---|
| 5.7 | NEW | אינטליגנציה מאיימת |
| 5.23 | NEW | אבטחת מידע לשימוש בשירותי ענן |
| 5.30 | NEW | מוכנות ICT להמשכיות עסקית |
| 7.4 | NEW | ניטור אבטחה פיזית |
| 8.9 | NEW | ניהול תצורה |
| 8.10 | NEW | מחיקת מידע |
| 8.11 | NEW | מיסוך נתונים |
| 8.12 | NEW | מניעת דליפת נתונים |
| 8.16 | NEW | פעילויות ניטור |
| 8.23 | NEW | סינון אינטרנט |
| 8.28 | NEW | קידוד מאובטח |
| מזהה בקרה ISO/IEC 27002:2022 | מזהה בקרה ISO/IEC 27002:2013 | שם בקרה |
|---|---|---|
| 6.1 | 07.1.1 | סריקה |
| 6.2 | 07.1.2 | תנאי העסקה |
| 6.3 | 07.2.2 | מודעות, חינוך והדרכה לאבטחת מידע |
| 6.4 | 07.2.3 | תהליך משמעתי |
| 6.5 | 07.3.1 | אחריות לאחר סיום או שינוי עבודה |
| 6.6 | 13.2.4 | הסכמי סודיות או סודיות |
| 6.7 | 06.2.2 | עבודה מרחוק |
| 6.8 | 16.1.2, 16.1.3 | דיווח על אירועי אבטחת מידע |
| מזהה בקרה ISO/IEC 27002:2022 | מזהה בקרה ISO/IEC 27002:2013 | שם בקרה |
|---|---|---|
| 7.1 | 11.1.1 | היקפי אבטחה פיזית |
| 7.2 | 11.1.2, 11.1.6 | כניסה פיזית |
| 7.3 | 11.1.3 | אבטחת משרדים, חדרים ומתקנים |
| 7.4 | NEW | ניטור אבטחה פיזית |
| 7.5 | 11.1.4 | הגנה מפני איומים פיזיים וסביבתיים |
| 7.6 | 11.1.5 | עבודה באזורים מאובטחים |
| 7.7 | 11.2.9 | שולחן כתיבה ברור ומסך ברור |
| 7.8 | 11.2.1 | מיקום ומיגון ציוד |
| 7.9 | 11.2.6 | אבטחת נכסים מחוץ לשטח |
| 7.10 | 08.3.1, 08.3.2, 08.3.3, 11.2.5 | אחסון מדיה |
| 7.11 | 11.2.2 | כלי עזר תומכים |
| 7.12 | 11.2.3 | אבטחת כבלים |
| 7.13 | 11.2.4 | תחזוקת ציוד |
| 7.14 | 11.2.7 | סילוק מאובטח או שימוש חוזר בציוד |
כיצד ISMS.online עוזר
יישום ISO 27002 פשוט יותר בעזרת רשימת התיוג שלנו שלב אחר שלב, שתנחה אתכם לאורך כל התהליך. פתרון התאימות המלא שלכם לתקן ISO/IEC 27002:2022.
- התקדמות של עד 81% מרגע הכניסה.
- פתרון תאימות פשוט ומוחלט.
צרו קשר עוד היום כדי להזמין הדגמה.
