מטרת הבקרה 8.8
אין רשת מחשבים, מערכת, תוכנה או מכשיר מאובטחים ב-100%. פגיעויות הן חלק בלתי נפרד מהפעלת LAN או WAN מודרניים, וחשוב לארגונים להכיר בכך שראשית, הן קיימות, ושנית, הצורך למזער סיכונים היכן שיש להן פוטנציאל להתרחש.
Control 8.8 מכיל כמות לא מבוטלת של עצות המסייעות לארגונים למנוע ניצול פנימי וחיצוני של נקודות תורפה בכל הרשת שלהם. בקרה 8.8 מסתמכת על נהלים תומכים והנחיות ממספר רב של בקרות ISO 27002:2022, במיוחד אלו הקשורות לניהול שינויים (ראה בקרה 8.32) ופרוטוקולי בקרת גישה.
טבלת בקרה של תכונות 8.8
שליטה 8.8 היא א מוֹנֵעַ לשלוט בזה שומר על סיכון על ידי הטמעת נהלים אשר אוספים מידע על פגיעויות טכניות ומאפשרים לארגון לנקוט באמצעים מתאימים לשמירה על נכסים, מערכות, נתונים וחומרה.
| סוג הבקרה | מאפייני אבטחת מידע | מושגי אבטחת סייבר | יכולות מבצעיות | תחומי אבטחה |
|---|---|---|---|---|
| #מוֹנֵעַ | #סודיות | #לזהות | #ניהול איומים ופגיעות | #ממשל ומערכת אקולוגית |
| #יושרה | #לְהַגֵן | #הֲגָנָה | ||
| #זמינות | #הֲגָנָה |
בעלות על שליטה 8.8
בקרה 8.8 עוסקת בניהול טכני ואדמיניסטרטיבי של תוכנות, מערכות ונכסי ICT. חלק מההנחיות כוללות פריסת גישה מפורטת ביותר לניהול תוכנה, ניהול נכסים וביקורת אבטחת רשת.
ככזה, הבעלות על בקרה 8.8 צריכה להיות אצל האדם המחזיק באחריות הכוללת לתחזוקת תשתית ה-ICT של הארגון, כגון ראש ה-IT, או מקבילה ארגונית.
ISO 27001 בקלות
יתרון של 81% מהיום הראשון
עשינו את העבודה הקשה בשבילך, ונתנו לך התחלה של 81% מרגע הכניסה. כל שעליכם לעשות הוא להשלים את החסר.
הדרכה - זיהוי נקודות תורפה
לפני הטמעה ובקרות פגיעות, חיוני לקבל רשימה מלאה ועדכנית של נכסים פיזיים ודיגיטליים (ראה בקרות 5.9 ו-5.14) בבעלות הארגון ובניהולו.
מידע על נכסי תוכנה צריך לכלול:
- שם ספק
- שם אפליקציה
- מספרי גרסה פעילים כעת
- היכן התוכנה נפרסת ברחבי האחוזה
כאשר מנסים לאתר נקודות תורפה טכניות, ארגונים צריכים:
- ציין בבירור מי (בתוך הארגון) אחראי לניהול פגיעות מנקודת מבט טכנית, בהתאם לפונקציות השונות שלו, לרבות (אך לא רק):
- ניהול נכסים
- הערכת סיכונים
- ניטור
- עדכון
- מי אחראי על התוכנה בתוך הארגון
- שמור על מלאי של יישומים ומשאבים שישמשו לזיהוי נקודות תורפה טכניות.
- בקש מהספקים והספקים לחשוף נקודות תורפה בעת אספקת מערכות וחומרה חדשות (ראה בקרה 5.20), וציין ככאלה בכל החוזים והסכמי השירות הרלוונטיים.
- השתמש בכלי סריקת פגיעות, כולל מתקני תיקון.
- בצעו בדיקות חדירה קבועות ומתועדות - בין אם פנימית או באמצעות צד שלישי מוסמך.
- שים לב לשימוש בספריות קוד של צד שלישי ו/או קוד מקור עבור נקודות תורפה פרוגרמטיות (ראה בקרה 8.28).
הדרכה – פעילות ציבורית
בנוסף למערכות פנימיות, ארגונים צריכים לפתח מדיניות ונהלים המזהים נקודות תורפה בכל המוצרים והשירותים שלהם, ולקבל הערכות פגיעות הנוגעות לאספקת המוצרים והשירותים האמורים.
ISO מייעץ לארגונים לעשות מאמץ פומבי לאתר פגיעות כלשהן, ולעודד צדדים שלישיים לעסוק במאמצי ניהול נקודות תורפה באמצעות שימוש בתוכניות פרס (בהן מחפשים ניצולים ומדווחים לארגון תמורת פרס).
ארגונים צריכים להיות זמינים לציבור הרחב באמצעות פורומים, כתובות דוא"ל ציבוריות ופעילות מחקרית, כך שניתן יהיה להשתמש בידע הקולקטיבי של הציבור הרחב כדי להגן על מוצרים ושירותים במקור.
כאשר ננקטו פעולות מתקנות המשפיעות על משתמשים או לקוחות, ארגונים צריכים לשקול לשחרר מידע רלוונטי ליחידים או לארגונים המושפעים, וליצור קשר עם ארגוני אבטחה מומחים כדי להפיץ מידע על פגיעויות ווקטורי תקיפה.
בנוסף, ארגונים צריכים לשקול להציע הליך עדכון אוטומטי שלקוחות יכולים להצטרף אליו או לבטלו, בהתבסס על הצרכים העסקיים שלהם.
שחררו את עצמכם מהר של גיליונות אלקטרוניים
הטמע, הרחב והרחיב את תאימותך, ללא כל בלגן. IO מעניק לך את החוסן והביטחון לצמוח בצורה מאובטחת.
הדרכה - הערכת נקודות תורפה
דיווח הולם הוא המפתח להבטחת פעולת תיקון מהירה ויעילה כאשר מתגלות פרצות.
בעת הערכת נקודות תורפה, ארגונים צריכים:
- נתח בקפידה כל דיווח והחליט איזו פעולה יש לנקוט, כולל (אך לא רק) תיקון, עדכון או הסרה של מערכות ו/או חומרה מושפעים.
- הסכים על החלטה שלוקחת בחשבון בקרות ISO אחרות (במיוחד אלו הקשורות ל-ISO 27002:2022) ומכירה ברמת הסיכונים הכרוכים בכך.
הדרכה - מניעת פגיעויות תוכנה
פגיעויות תוכנה נלחמות בצורה הטובה ביותר עם גישה פרואקטיבית לעדכוני תוכנה וניהול תיקונים.
לפני יישום תיקונים כלשהם, ארגונים צריכים לוודא שגרסאות התוכנה הקיימות נשמרות, כל השינויים נבדקים במלואם ומיושמים על עותק ייעודי של התוכנה.
כאשר מטפלים ישירות בפגיעויות לאחר זיהוין, ארגונים צריכים:
- נסה לפתור את כל הפגיעות בזמן וביעילות.
- במידת האפשר, פעל לפי הנהלים הארגוניים בנושא ניהול שינויים (ראה בקרה 8.32) ותגובה לאירועים (ראה בקרה 5.26).
- החל רק עדכונים ותיקונים הנובעים ממקורות מהימנים ו/או מאושרים, במיוחד באגרטל של תוכנות וציוד של ספקי צד שלישי.
- בכל הנוגע לתוכנה של ספקים, ארגונים צריכים לבצע שיפוט על סמך המידע הזמין לגבי האם יש צורך להחיל עדכונים אוטומטיים (או חלקים מהם) על תוכנה וחומרה שנרכשו.
- בדוק את כל העדכונים הנדרשים לפני ההתקנה, כדי למנוע תקריות בלתי צפויות בסביבה תפעולית.
- חפש לטפל במערכות בסיכון גבוה ובמערכות קריטיות לעסק בראש סדר העדיפויות.
- ודא שכל פעולות התיקון הן יעילות ואותנטיות.
במקרה של עדכון שאינו זמין, או בעיות כלשהן המונעות התקנת עדכון (כגון בעיות בעלויות), ארגונים צריכים לשקול אמצעים אחרים, כגון:
- בקשת ייעוץ מהספק לגבי פתרון עוקף או "הדבקה של טיח" בזמן שמאמצי התיקון מוגברים.
- השבתה או הפסקה של שירותי רשת כלשהם המושפעים מהפגיעות.
- הטמעת בקרות אבטחת רשת בנקודות שער קריטיות, כולל כללי תעבורה ומסננים.
- הגדלת רמת הניטור הכוללת בהתאם לסיכון הנלווה.
- ודא שכל הצדדים המושפעים מודעים לפגיעות, כולל ספקים ולקוחות.
- דחיית העדכון כדי להעריך טוב יותר את הסיכונים הנלווים, במיוחד כאשר העלות התפעולית עשויה להוות בעיה.
בקרות תומכות
- 5.14
- 5.20
- 5.9
- 8.20
- 8.22
- 8.28
הנחיות משלימות בקרה 8.8
- ארגונים צריכים לנהל יומן ביקורת של כל פעילויות ניהול הפגיעות הרלוונטיות, על מנת לסייע במאמצי תיקון ולשפר נהלים במקרה של אירוע אבטחה.
- יש לסקור ולהעריך מדי פעם את כל תהליך ניהול הפגיעות, על מנת לשפר ביצועים ולזהות עוד פרצות במקור.
- אם הארגון השתמש בתוכנה המתארחת אצל ספק שירותי ענן, על הארגון לוודא שעמדתו של ספק השירות כלפי ניהול נקודות תורפה תואמת את עמדתו שלו, ועליה להוות חלק מרכזי בכל הסכם שירות מחייב בין שני הצדדים, לרבות כל הליכי דיווח (ראה בקרה 5.32).
ניהול כל דרישות התאימות, הכל במקום אחד
ISMS.online תומך ביותר מ-100 תקנים ותקנות, ומעניק לך פלטפורמה אחת לכל צרכי התאימות שלך.
שינויים והבדלים מ-ISO 27002:2013
ISO 27002:2022-8.8 מחליף שני פקדים מ-ISO 27002:2013:
- 12.6.1 – ניהול פרצות טכניות
- 18.2.3 – סקירת התאמה טכנית
27002:2022-8.8 מייצג גישה שונה מהותית לניהול פגיעות מזו המוכלת ב-27002:2013.
27002:2013-12.6.1 עוסק במידה רבה ביישום פעולות מתקנות לאחר שזוהתה פגיעות, בעוד ש-18.2.3 מוגבל לכלים טכניים (בעיקר בדיקות חדירה).
27002:2022-8.8 מכיל קטעים חדשים לחלוטין בנושאים כמו הפעילות הציבורית של ארגון, האופן שבו מזוהות נקודות תורפה מלכתחילה והתפקיד שספקי הענן ממלאים בהבטחת הפגיעויות למינימום.
בסך הכל, ISO שם דגש גדול יותר על התפקיד שניהול פגיעות ממלא בתחומים אחרים של 27002:2022 (בעיקר ניהול שינויים), ודוגל בגישה הוליסטית השואבת מספר רב של בקרות ונהלי אבטחת מידע אחרים.
בקרות חדשות ISO 27002
| מזהה בקרה ISO/IEC 27002:2022 | מזהה בקרה ISO/IEC 27002:2013 | שם בקרה |
|---|---|---|
| 5.7 | NEW | אינטליגנציה מאיימת |
| 5.23 | NEW | אבטחת מידע לשימוש בשירותי ענן |
| 5.30 | NEW | מוכנות ICT להמשכיות עסקית |
| 7.4 | NEW | ניטור אבטחה פיזית |
| 8.9 | NEW | ניהול תצורה |
| 8.10 | NEW | מחיקת מידע |
| 8.11 | NEW | מיסוך נתונים |
| 8.12 | NEW | מניעת דליפת נתונים |
| 8.16 | NEW | פעילויות ניטור |
| 8.23 | NEW | סינון אינטרנט |
| 8.28 | NEW | קידוד מאובטח |
| מזהה בקרה ISO/IEC 27002:2022 | מזהה בקרה ISO/IEC 27002:2013 | שם בקרה |
|---|---|---|
| 6.1 | 07.1.1 | סריקה |
| 6.2 | 07.1.2 | תנאי העסקה |
| 6.3 | 07.2.2 | מודעות, חינוך והדרכה לאבטחת מידע |
| 6.4 | 07.2.3 | תהליך משמעתי |
| 6.5 | 07.3.1 | אחריות לאחר סיום או שינוי עבודה |
| 6.6 | 13.2.4 | הסכמי סודיות או סודיות |
| 6.7 | 06.2.2 | עבודה מרחוק |
| 6.8 | 16.1.2, 16.1.3 | דיווח על אירועי אבטחת מידע |
| מזהה בקרה ISO/IEC 27002:2022 | מזהה בקרה ISO/IEC 27002:2013 | שם בקרה |
|---|---|---|
| 7.1 | 11.1.1 | היקפי אבטחה פיזית |
| 7.2 | 11.1.2, 11.1.6 | כניסה פיזית |
| 7.3 | 11.1.3 | אבטחת משרדים, חדרים ומתקנים |
| 7.4 | NEW | ניטור אבטחה פיזית |
| 7.5 | 11.1.4 | הגנה מפני איומים פיזיים וסביבתיים |
| 7.6 | 11.1.5 | עבודה באזורים מאובטחים |
| 7.7 | 11.2.9 | שולחן כתיבה ברור ומסך ברור |
| 7.8 | 11.2.1 | מיקום ומיגון ציוד |
| 7.9 | 11.2.6 | אבטחת נכסים מחוץ לשטח |
| 7.10 | 08.3.1, 08.3.2, 08.3.3, 11.2.5 | אחסון מדיה |
| 7.11 | 11.2.2 | כלי עזר תומכים |
| 7.12 | 11.2.3 | אבטחת כבלים |
| 7.13 | 11.2.4 | תחזוקת ציוד |
| 7.14 | 11.2.7 | סילוק מאובטח או שימוש חוזר בציוד |
כיצד ISMS.online עוזר
הפלטפורמה שלנו אינטואיטיבית וקלה לשימוש. זה לא רק לאנשים טכניים מאוד; זה מיועד לכולם בארגון שלך. אנו ממליצים לך לערב צוות בכל הרמות של העסק שלך בתהליך בניית ה-ISMS שלך, כי זה עוזר לך לבנות מערכת בת קיימא באמת.
צור קשר עוד היום כדי הזמן הדגמה.
