Mục đích của ISO 27001:2022 Phụ lục A 8.21
Trong điện toán, ‘dịch vụ mạng’ dùng để chỉ hệ thống chạy trên ‘lớp ứng dụng mạng’, bao gồm email, in ấn, máy chủ tệp, các ứng dụng được quản lý và các giải pháp bảo mật như tường lửa, nền tảng chống vi-rút, hệ thống phát hiện xâm nhập và dịch vụ kết nối.
Các dịch vụ mạng có tầm quan trọng lớn đối với mạng ICT thương mại hiện đại, đòi hỏi phải giám sát và quản lý cẩn thận để giảm khả năng xâm nhập, lỗi và gián đoạn. Bảo mật là tối quan trọng.
Quyền sở hữu của Phụ lục A 8.21
ISO 27001:2022 Phụ lục A 8.21 liên quan đến các khái niệm kỹ thuật liên quan đến việc duy trì và kiểm soát các bộ phận quan trọng của mạng lưới ICT của một tổ chức. Do đó, Trưởng phòng CNTT hoặc người tương tự nên chịu trách nhiệm.
Hướng dẫn chung về ISO 27001:2022 Phụ lục A 8.21 Tuân thủ
Phụ lục A 8.21 của ISO 27001:2022 xác định ba loại bảo mật chính liên quan đến khái niệm rộng hơn về bảo mật dịch vụ mạng:
- Mức độ dịch vụ.
- Yêu cầu dịch vụ.
- Tính năng bảo mật.
Tất cả các nhà cung cấp dịch vụ mạng nội bộ và bên ngoài đều phải cân nhắc ba biện pháp này và tổ chức phải thực hiện các bước để đảm bảo rằng các nhà cung cấp luôn hoàn thành trách nhiệm của mình.
Các tổ chức nên đánh giá nhà cung cấp dịch vụ mạng dựa trên chuyên môn của họ trong việc giám sát các dịch vụ theo SLA được xác định rõ ràng và theo dõi việc tuân thủ tốt nhất có thể.
Đánh giá hoạt động này cần tham khảo từ các nguồn đáng tin cậy để xác nhận khả năng quản lý dịch vụ một cách an toàn và hiệu quả của nhà cung cấp dịch vụ mạng.
Các biện pháp bảo mật mạng phải kết hợp:
- Bất kỳ mạng lưới và dịch vụ nào có thể truy cập được.
- Yêu cầu xác thực của mạng này quyết định ai được phép truy cập dịch vụ, từ đâu và khi nào.
- Nhân viên phải có được sự chấp thuận trước để truy cập các dịch vụ mạng. Điều này bao gồm việc phân tích trường hợp kinh doanh và phê duyệt cuối cùng.
- Danh mục vững chắc các giao thức quản lý mạng giúp bảo vệ các dịch vụ mạng khỏi bị lạm dụng và xâm nhập trái phép.
- Nhân viên có thể truy cập dịch vụ mạng từ xa hoặc trực tiếp tại chỗ.
- Quy trình ghi nhật ký phải được ghi lại để cung cấp thông tin chi tiết về quyền truy cập dịch vụ mạng và nhân viên sử dụng dịch vụ, chẳng hạn như thời gian, địa điểm và dữ liệu thiết bị.
- Giám sát việc sử dụng dịch vụ mạng là điều cần thiết. Đảm bảo chức năng và bảo mật phù hợp là điều quan trọng.
Hướng dẫn về bảo mật dịch vụ mạng
Phụ lục A 8.21 của ISO 27001:2022 cung cấp hướng dẫn về việc tăng cường bảo mật cho tất cả các dịch vụ mạng, từ các chức năng phụ trợ đến hoạt động của người dùng:
- Các tổ chức phải cân nhắc đến các khía cạnh bảo mật như xác thực, mã hóa và quy định về kết nối.
- Cần phải đưa ra những giới hạn nghiêm ngặt để quản lý việc truy cập vào các dịch vụ mạng.
- Người dùng phải có khả năng chọn lượng dữ liệu được lưu trong bộ nhớ đệm của dịch vụ mạng để tăng hiệu suất và đảm bảo dữ liệu không được lưu giữ đến mức gây nguy hiểm cho bảo mật.
- Hạn chế truy cập vào các dịch vụ mạng.
Những thay đổi và khác biệt so với ISO 27001:2013
Phụ lục A 8.21 của ISO 27001:2022 thay thế Phụ lục A 13.1.2 của ISO 27001:2013, bao gồm bảo mật dịch vụ mạng trong tiêu chuẩn đã sửa đổi năm 2022 .
Phụ lục A 8.21 của ISO 27001:2022 bổ sung đáng kể cho phiên bản 2013, chỉ cung cấp hướng dẫn riêng về bảo mật mạng (có chứa cùng một bộ ghi chú hướng dẫn) và bỏ qua mọi hướng dẫn chung về các quy tắc mạng (xem các điểm 1-7 ở trên).
