הבטחת שינויים מאובטחים ומבוקרים עם ISO 27002:2022 בקרה 8.32
שינויים במערכות מידע כגון החלפת התקן רשת, יצירת מופע מסד נתונים חדש או שדרוג תוכנה נחוצים לרוב לשיפור הביצועים, הפחתת עלויות ויעילות גבוהה יותר.
עם זאת, שינויים אלה במתקנים ובמערכות עיבוד המידע, אם לא יושמו כראוי, עלולים להוביל לפגיעה בנכסי מידע המאוחסנים במתקנים אלה או מעובדים בהם.
בקרה 8.32 מתייחסת לאופן שבו ארגונים יכולים להקים וליישם נהלי ניהול שינויים כדי לנטר, לסקור ולשלוט בשינויים שנעשו במתקני עיבוד המידע ובמערכות.
מטרת הבקרה 8.32
בקרה 8.32 מאפשרת לארגונים לשמור על אבטחת נכסי המידע בעת ביצוע שינויים במתקני ומערכות עיבוד המידע על ידי קביעה, יישום וניהול כללים ונהלים לניהול שינויים.
טבלת בקרה של תכונות 8.32
בקרה 8.32 היא מניעתית באופייה. היא דורשת מארגונים להגדיר, לתעד, לפרט ולאכוף תהליכי בקרת שינויים השולטים בכל מחזור החיים של מערכות המידע, מהתכנון הראשוני ועד לפריסה והשימוש.
| סוג הבקרה | מאפייני אבטחת מידע | מושגי אבטחת סייבר | יכולות מבצעיות | תחומי אבטחה |
|---|---|---|---|---|
| #מוֹנֵעַ | #סודיות | #לְהַגֵן | #אבטחת יישומים | #הֲגָנָה |
| #יושרה | #אבטחת מערכת ורשת | |||
| #זמינות |
ISO 27001 בקלות
יתרון של 81% מהיום הראשון
עשינו את העבודה הקשה בשבילך, ונתנו לך התחלה של 81% מרגע הכניסה. כל שעליכם לעשות הוא להשלים את החסר.
בעלות על שליטה 8.32
בהתחשב בכך שעמידה בבקרה 8.32 כרוכה בהקמה ואכיפה של נהלי בקרת שינויים החלים על כל שלבי מחזור החיים של מערכות המידע, קציני אבטחת מידע ראשיים, בתמיכת מומחי תחום, צריכים להיות אחראים לתכנן ולאכוף נהלים אלו.
הנחיות כלליות בנושא ציות
כל השינויים הגדולים במערכות המידע והכנסת מערכות חדשות צריכים להיות כפופים למערכת מוסכמת של כללים ונהלים. יש לפרט ולתעד את השינויים הללו באופן רשמי. יתר על כן, עליהם לעבור את תהליכי הבדיקה ובקרת האיכות.
כדי להבטיח שכל השינויים תואמים את הכללים והתקנים של בקרת השינוי, על ארגונים להקצות אחריות ניהולית להנהלה המתאימה ולהגדיר את הנהלים הדרושים.
בקרה 8.32 מפרטת תשעה אלמנטים שיש לכלול בהליך ניהול השינויים:
- ארגונים צריכים לתכנן ולמדוד את ההשפעה הסבירה של שינויים מתוכננים, תוך התחשבות בכל התלות.
- הטמעת בקרות הרשאות לשינויים.
- יידוע גורמים פנימיים וחיצוניים רלוונטיים לגבי השינויים המתוכננים.
- ביסוס ויישום תהליכי בדיקות ובדיקות קבלה לשינויים בהתאם לבקרה 8.29.
- כיצד יבוצעו השינויים, לרבות כיצד ייפרסו בפועל.
- קביעת תוכניות ונהלים לשעת חירום ומקרה. זה עשוי לכלול גם קביעת הליך נסיגה.
- שמירת תיעוד של כל השינויים והפעילויות הקשורות, כולל כל הפעילויות המפורטות לעיל (1 עד 6).
- תיעוד התפעול כנדרש ב-Control 5.37 ונהלי המשתמש נבדקים ומתעדכנים כדי לשקף את השינויים.
- יש לבדוק ולתקן את תוכניות המשכיות ה-ICT ואת נוהלי ההתאוששות והתגובה כדי לשקף את השינויים.
לבסוף, יצוין כי על ארגונים לשלב נהלי בקרת שינויים עבור תשתיות תוכנה ותקשוב במידה המרבית האפשרית.
הנחיות משלימות בקרה 8.32
שינויים בסביבות הייצור כגון מערכות הפעלה ומסדי נתונים עלולים לפגוע בשלמות ובזמינות של יישומים, במיוחד בהעברת תוכנה מפיתוח לסביבת ייצור.
סיכון נוסף שארגונים צריכים להיזהר ממנו הוא לשינוי תוכנה בסביבת הייצור עשויות להיות השלכות לא מכוונות.
כדי למנוע סיכונים אלו, ארגונים צריכים לבצע בדיקות על רכיבי ICT בסביבה מבודדת מסביבות הפיתוח והייצור.
זה יאפשר לארגונים לקבל שליטה רבה יותר על תוכנות חדשות ויספק שכבת הגנה נוספת לנתונים מהעולם האמיתי המשמשים למטרות בדיקה. ניתן להשיג הגנה נוספת זו באמצעות תיקונים וחבילות שירות.
ניהול כל דרישות התאימות, הכל במקום אחד
ISMS.online תומך ביותר מ-100 תקנים ותקנות, ומעניק לך פלטפורמה אחת לכל צרכי התאימות שלך.
שינויים והבדלים מ-ISO 27002:2013
27002:2022/8.32 מחליף את 27002:2013/(12.1.2, 14.2.2, 14.2.3, 14.2.4)
בסך הכל, גרסת 2013 הייתה יותר מחייבת בהשוואה לגרסת 2022 מבחינת הדרישות להליכי בקרת שינויים.
ישנם שלושה הבדלים מרכזיים שיש להדגיש בין שתי הגרסאות.
גרסת ISO 27002:2013 הייתה מפורטת יותר במונחים של מה צריך לכלול 'נוהל שינוי'
גם גרסת 27002:2022 וגם 27002:2013 מפרטת מה צריך לכלול 'נוהל שינוי' באופן לא ממצה.
עם זאת, גירסת 2013 הכילה את הרכיבים הבאים שלא התייחסו אליהם בגירסת 2022:
- יש לזהות ולבדוק קוד קריטי לאבטחה כדי לתקן נקודות תורפה.
- ארגונים צריכים לשמור על בקרת גרסאות עבור כל העדכונים המיושמים בתוכנה.
- ארגונים צריכים לזהות ולתעד רשימה של כל רכיבי החומרה והתוכנה הזקוקים לתיקון ועדכונים.
גירסת 2013 טופלה 'שינויים בפלטפורמות הפעלה'
בקרה 14.2.3 בגרסה 27002:2013 עסקה כיצד ארגונים יכולים למזער את ההשפעות השליליות וההפרעות לפעילות העסקית בעת ביצוע שינויים במערכות ההפעלה.
גרסה 27002:2022, לעומת זאת, אינה כוללת דרישות לשינויים כאלה.
גירסת 2013 טופלה 'שינויים בחבילות תוכנה'
בקרת 14.2.4 בגרסת 27002:2013 התייחסה ל'שינויים בחבילות תוכנה'. להיפך, גרסת 27002:2022 אינה מכילה דרישות לשינויים מסוג זה.
בקרות חדשות ISO 27002
| מזהה בקרה ISO/IEC 27002:2022 | מזהה בקרה ISO/IEC 27002:2013 | שם בקרה |
|---|---|---|
| 5.7 | NEW | אינטליגנציה מאיימת |
| 5.23 | NEW | אבטחת מידע לשימוש בשירותי ענן |
| 5.30 | NEW | מוכנות ICT להמשכיות עסקית |
| 7.4 | NEW | ניטור אבטחה פיזית |
| 8.9 | NEW | ניהול תצורה |
| 8.10 | NEW | מחיקת מידע |
| 8.11 | NEW | מיסוך נתונים |
| 8.12 | NEW | מניעת דליפת נתונים |
| 8.16 | NEW | פעילויות ניטור |
| 8.23 | NEW | סינון אינטרנט |
| 8.28 | NEW | קידוד מאובטח |
| מזהה בקרה ISO/IEC 27002:2022 | מזהה בקרה ISO/IEC 27002:2013 | שם בקרה |
|---|---|---|
| 6.1 | 07.1.1 | סריקה |
| 6.2 | 07.1.2 | תנאי העסקה |
| 6.3 | 07.2.2 | מודעות, חינוך והדרכה לאבטחת מידע |
| 6.4 | 07.2.3 | תהליך משמעתי |
| 6.5 | 07.3.1 | אחריות לאחר סיום או שינוי עבודה |
| 6.6 | 13.2.4 | הסכמי סודיות או סודיות |
| 6.7 | 06.2.2 | עבודה מרחוק |
| 6.8 | 16.1.2, 16.1.3 | דיווח על אירועי אבטחת מידע |
| מזהה בקרה ISO/IEC 27002:2022 | מזהה בקרה ISO/IEC 27002:2013 | שם בקרה |
|---|---|---|
| 7.1 | 11.1.1 | היקפי אבטחה פיזית |
| 7.2 | 11.1.2, 11.1.6 | כניסה פיזית |
| 7.3 | 11.1.3 | אבטחת משרדים, חדרים ומתקנים |
| 7.4 | NEW | ניטור אבטחה פיזית |
| 7.5 | 11.1.4 | הגנה מפני איומים פיזיים וסביבתיים |
| 7.6 | 11.1.5 | עבודה באזורים מאובטחים |
| 7.7 | 11.2.9 | שולחן כתיבה ברור ומסך ברור |
| 7.8 | 11.2.1 | מיקום ומיגון ציוד |
| 7.9 | 11.2.6 | אבטחת נכסים מחוץ לשטח |
| 7.10 | 08.3.1, 08.3.2, 08.3.3, 11.2.5 | אחסון מדיה |
| 7.11 | 11.2.2 | כלי עזר תומכים |
| 7.12 | 11.2.3 | אבטחת כבלים |
| 7.13 | 11.2.4 | תחזוקת ציוד |
| 7.14 | 11.2.7 | סילוק מאובטח או שימוש חוזר בציוד |
כיצד ISMS.online עוזר
הפלטפורמה מבוססת הענן שלנו מספקת לך מסגרת איתנה של בקרות אבטחת מידע, כך שתוכל לרשימת בדיקה של תהליך ה-ISMS שלך תוך כדי תנועה כדי להבטיח שהוא עומד בדרישות של ISO 27000k.
בשימוש נכון, ISMS. מקוון יכול לסייע לך בהשגת הסמכה במינימום זמן ומשאבים.
צור קשר עוד היום כדי הזמן הדגמה.
