Khi tội phạm mạng xâm nhập vào hệ thống máy tính, dịch vụ hoặc thiết bị, chúng không chỉ giới hạn ở những tài sản đó.
Chúng tận dụng lần xâm nhập đầu tiên để xâm nhập toàn bộ mạng lưới của công ty, truy cập vào dữ liệu nhạy cảm hoặc thực hiện các cuộc tấn công bằng phần mềm tống tiền.
Những kẻ lừa đảo trên mạng có thể đánh cắp thông tin đăng nhập của nhân viên HR tại bệnh viện sau một cuộc tấn công lừa đảo thành công, giúp chúng truy cập vào hệ thống HR.
Sử dụng điểm truy cập của mình, kẻ tấn công có thể đi qua mạng và khám phá các mạng chứa dữ liệu bệnh nhân bí mật. Sự xâm nhập này có thể dẫn đến mất dữ liệu, gây gián đoạn hoạt động hoặc thậm chí mở đường cho một cuộc tấn công ransomware.
Bệnh viện có thể ngăn chặn truy cập trái phép vào dữ liệu bí mật và giảm hậu quả của vi phạm bằng cách sử dụng các kỹ thuật phân đoạn mạng như tường lửa, mạng ảo hoặc cô lập máy chủ.
Phụ lục A 8.22 của ISO 27001:2022 phác thảo cách các công ty có thể áp dụng và duy trì các phương pháp phân tách mạng phù hợp để ngăn ngừa rủi ro đối với tính khả dụng, tính toàn vẹn và tính bảo mật của tài sản thông tin.
Mục đích của ISO 27001:2022 Phụ lục A 8.22
Phụ lục A 8.22 của ISO 27001:2022 cho phép các tổ chức chia mạng CNTT của mình thành các mạng con tùy thuộc vào mức độ nhạy cảm và tầm quan trọng, đồng thời hạn chế việc truyền thông tin giữa các mạng con khác nhau đó.
Các tổ chức có thể sử dụng tính năng này để ngăn chặn phần mềm độc hại và vi-rút di chuyển từ mạng bị nhiễm sang mạng chứa dữ liệu nhạy cảm.
Điều này đảm bảo rằng các tổ chức bảo mật được tính bảo mật, toàn vẹn và khả năng truy cập của dữ liệu được lưu trữ trên các mạng con thiết yếu.
Quyền sở hữu của Phụ lục A 8.22
Cán bộ An ninh thông tin phải chịu trách nhiệm tuân thủ Phụ lục A 8.22 của ISO 27001:2022, trong đó yêu cầu phân đoạn mạng, thiết bị và hệ thống theo rủi ro và áp dụng các kỹ thuật và quy trình phân tách mạng.
Hướng dẫn chung về ISO 27001:2022 Phụ lục A 8.22 Tuân thủ
Các tổ chức nên nỗ lực đạt được sự cân bằng giữa nhu cầu hoạt động và lo ngại về an ninh khi thiết lập các quy định phân tách mạng.
Phụ lục A của ISO 27001:2022 Kiểm soát 8.22 đưa ra ba khuyến nghị cần lưu ý khi thiết lập phân tách mạng.
Cách tách mạng thành các mạng con nhỏ hơn
Khi chia mạng thành các miền phụ nhỏ hơn, các tổ chức nên cân nhắc đến mức độ nhạy cảm và tầm quan trọng của từng miền mạng. Tùy thuộc vào đánh giá này, các miền phụ mạng có thể được gắn nhãn là ‘miền công cộng’, ‘miền máy tính để bàn’, ‘miền máy chủ’ hoặc ‘hệ thống rủi ro cao’.
Các tổ chức nên tính đến các phòng ban kinh doanh như nhân sự, tiếp thị và tài chính trong quá trình phân khúc mạng lưới của mình.
Các tổ chức cũng có thể kết hợp hai tiêu chí này, phân chia các miền phụ của mạng thành các danh mục như “miền máy chủ liên kết đến bộ phận bán hàng”.
Chu vi an ninh và kiểm soát ra vào
Các tổ chức phải phân định rõ ràng ranh giới của từng miền mạng con. Nếu có quyền truy cập giữa hai miền mạng khác nhau, kết nối này phải được giới hạn ở cấp chu vi thông qua việc sử dụng các cổng như tường lửa hoặc bộ định tuyến lọc.
Các tổ chức nên đánh giá nhu cầu bảo mật cho từng miền khi thiết lập phân tách mạng và khi cấp quyền truy cập thông qua cổng.
Đánh giá này phải được tiến hành theo chính sách kiểm soát truy cập được yêu cầu bởi ISO 27001:2022 Phụ lục A 5.15, lưu ý những điều sau:
- Phân loại được chỉ định cho tài sản thông tin ở cấp độ nào?
- Tầm quan trọng của thông tin là tối quan trọng.
- Chi phí và tính thực tế là những yếu tố chính khi quyết định sử dụng công nghệ cổng nào.
Mạng không dây
Phụ lục A 8.22 của ISO 27001:2022 khuyến nghị các tổ chức tuân thủ các thông lệ sau khi tạo tham số bảo mật mạng cho mạng không dây:
- Đánh giá việc sử dụng các phương pháp điều chỉnh vùng phủ sóng vô tuyến để phân chia mạng không dây.
- Đối với các mạng tinh vi, các tổ chức có thể coi mọi nỗ lực truy cập không dây là kết nối bên ngoài và cấm truy cập vào mạng nội bộ cho đến khi bộ phận kiểm soát cổng chấp thuận.
- Nhân viên chỉ nên sử dụng thiết bị của mình theo đúng chính sách của tổ chức; quyền truy cập mạng được cung cấp cho nhân viên và khách phải được tách biệt.
- Khách tham quan phải tuân thủ các quy định tương tự về việc sử dụng Wi-Fi như các thành viên trong nhóm.
Hướng dẫn bổ sung về ISO 27001:2022 Phụ lục A 8.22
Các tổ chức phải đảm bảo rằng tất cả các quan hệ đối tác kinh doanh đều phải tuân theo các biện pháp bảo mật phù hợp. Phụ lục A 8.22 khuyên các tổ chức nên thực hiện các biện pháp để bảo vệ mạng, thiết bị CNTT và các cơ sở thông tin khác khi hợp tác với các đối tác kinh doanh.
Các mạng nhạy cảm có thể phải đối mặt với nguy cơ truy cập trái phép cao hơn. Để bảo vệ chống lại điều này, các tổ chức nên thực hiện các bước thích hợp.
Những thay đổi và khác biệt so với ISO 27001:2013
Phụ lục A 8.22 của ISO 27001:2022 thay thế Phụ lục A 13.1.3 của ISO 27001:2013 trong bản sửa đổi ISO mới nhất.
So với ISO 27001:2013, bản sửa đổi ISO 27001:2022 yêu cầu các mạng không dây sau:
- Nếu nhân viên tuân thủ chính sách của tổ chức và chỉ sử dụng thiết bị của riêng mình thì quyền truy cập mạng không dây dành cho nhân viên và khách phải được tách biệt.
- Khách phải tuân thủ các hạn chế và kiểm soát tương tự về Wi-Fi như nhân viên.
