Mục đích của ISO 27001:2022 Phụ lục A 8.19
Phần mềm vận hành có thể được phân loại là bất kỳ phần mềm nào mà công ty sử dụng để thực hiện các hoạt động của mình, khác với các chương trình được sử dụng để thử nghiệm hoặc phát triển.
Điều cần thiết là phần mềm phải được cài đặt và quản lý trên mạng theo các quy định nghiêm ngặt để giảm thiểu rủi ro, nâng cao hiệu quả và bảo mật mạng và dịch vụ bên trong cũng như bên ngoài.
Quyền sở hữu của Phụ lục A 8.19
ISO 27001:2022 Phụ lục A 8.19 đề cập đến các khái niệm kỹ thuật liên quan đến việc bảo trì và quản lý hệ thống máy tính đang hoạt động. Do đó, trách nhiệm phải thuộc về Trưởng phòng CNTT hoặc tương đương.
Hướng dẫn chung về ISO 27001:2022 Phụ lục A 8.19 Tuân thủ
Để đảm bảo an toàn cho các thay đổi và cài đặt trên mạng của mình, các tổ chức nên:
- Đảm bảo chỉ những nhân viên có đủ trình độ đào tạo và năng lực mới được thực hiện cập nhật phần mềm (theo Phụ lục A 8.5 của ISO 27001:2022).
- Đảm bảo chỉ cài đặt mã thực thi có chất lượng cao; mã này không có lỗi và phải hoàn tất quá trình phát triển thành công.
- Chỉ cài đặt và cập nhật phần mềm sau khi bản vá hoặc bản cập nhật đã được thử nghiệm thành công và tổ chức chắc chắn rằng không có xung đột hoặc sự cố nào xảy ra.
- Duy trì hệ thống thư viện được cập nhật.
- Sử dụng ‘ hệ thống kiểm soát cấu hình’ để giám sát tất cả phần mềm hoạt động bao gồm cả tài liệu chương trình.
- Trước khi tiến hành bất kỳ bản cập nhật hoặc cài đặt nào, hãy thống nhất về ‘chiến lược khôi phục’ để đảm bảo tính liên tục của hoạt động kinh doanh trong trường hợp xảy ra lỗi hoặc xung đột không mong muốn.
- Lưu giữ hồ sơ về mọi thay đổi được thực hiện đối với phần mềm vận hành, cung cấp tổng quan ngắn gọn về bản cập nhật, các cá nhân liên quan và dấu thời gian.
- Đảm bảo mọi phần mềm chưa sử dụng đều được lưu trữ an toàn và có đầy đủ tài liệu, tệp cấu hình, nhật ký hệ thống và quy trình hỗ trợ cần thiết, phòng trường hợp cần dùng trong tương lai.
- Áp dụng các quy định chặt chẽ về các gói phần mềm mà người dùng có thể cài đặt, dựa trên nguyên tắc “quyền hạn tối thiểu” và phù hợp với các vai trò và trách nhiệm hiện hành.
Hướng dẫn về phần mềm của nhà cung cấp
Khi nói đến phần mềm do nhà cung cấp cung cấp (ví dụ phần mềm dùng để vận hành máy móc hoặc cho mục đích kinh doanh đặc biệt), điều cần thiết là phải tuân thủ các hướng dẫn của nhà cung cấp để đảm bảo phần mềm vẫn hoạt động tốt.
Điều quan trọng là phải nhận thức rằng, ngay cả trong trường hợp phần mềm hoặc mô-đun phần mềm được cung cấp và quản lý bên ngoài (tức là tổ chức không chịu trách nhiệm cho bất kỳ bản cập nhật nào), thì cũng cần phải có biện pháp để đảm bảo rằng các bản cập nhật của bên thứ ba không làm suy yếu tính toàn vẹn của mạng lưới tổ chức.
Các tổ chức nên tránh sử dụng phần mềm của nhà cung cấp chưa được xác minh trừ khi thực sự cần thiết và lưu ý đến hậu quả bảo mật khi vận hành các chương trình lỗi thời thay vì nâng cấp lên hệ thống mới hơn, an toàn hơn.
Nếu nhà cung cấp yêu cầu quyền truy cập vào mạng của tổ chức để cài đặt hoặc cập nhật nội dung nào đó, hoạt động này phải được giám sát và cấp phép theo Phụ lục A 5.22 của ISO 27001:2022.
Hướng dẫn bổ sung về Phụ lục A 8.19
Phần mềm cần được nâng cấp, cài đặt và vá lỗi theo quy trình quản lý thay đổi của tổ chức để đảm bảo tính nhất quán với các bộ phận còn lại của doanh nghiệp.
Bất cứ khi nào phát hiện ra bản vá có thể xóa bỏ hoàn toàn một lỗ hổng (hoặc nhóm lỗ hổng) hoặc hỗ trợ theo bất kỳ cách nào để tăng cường quy trình bảo mật thông tin của tổ chức , thì những thay đổi đó thường phải được áp dụng (mặc dù vẫn cần phải xem xét những thay đổi đó trên từng cá nhân).
Các tổ chức nên sử dụng phiên bản mới nhất, được bảo trì tích cực của phần mềm nguồn mở, khi cần thiết. Họ cũng nên tính đến mọi rủi ro liên quan đến việc sử dụng phần mềm không được bảo trì trong hoạt động của mình.
Phụ lục A kèm theo Kiểm soát
- ISO 27001:2022 Phụ lục A 5.22
- ISO 27001:2022 Phụ lục A 8.5
Những thay đổi và khác biệt so với ISO 27001:2013
Phụ lục A 8.19 của ISO 27001:2022 thay thế Phụ lục A 12.5.1 (Cài đặt phần mềm trên hệ thống vận hành) và 12.6.2 (Hạn chế về cài đặt phần mềm) của ISO 27001:2013 trong tiêu chuẩn đã sửa đổi năm 2022 .
Phụ lục A 8.19 của ISO 27001:2022 kết hợp hầu hết các hướng dẫn trong Phụ lục A 12.5.1 và 12.6.2 của ISO 27001:2013, với một số khái niệm chính được trình bày chi tiết và các nguyên tắc quản lý mới được bổ sung:
- Duy trì và quản lý hệ thống thư viện.
- Các quy tắc quản lý việc sử dụng phần mềm nguồn mở.
- Đảm bảo giám sát chặt chẽ và hợp lý việc cài đặt và bảo trì phần mềm của nhà cung cấp.
