ISO 27001:2022 Phụ lục A 8.27 quy định rằng các tổ chức phải triển khai kiến trúc hệ thống an toàn và các nguyên tắc kỹ thuật để đảm bảo rằng thiết kế, triển khai và quản lý hệ thống thông tin phù hợp với các yêu cầu bảo mật của tổ chức. Điều này bao gồm việc thiết lập kiến trúc hệ thống an toàn, các nguyên tắc kỹ thuật và các hoạt động thiết kế an toàn.
Cấu trúc phức tạp của các hệ thống thông tin hiện đại, kết hợp với môi trường rủi ro an ninh mạng liên tục thay đổi, khiến các hệ thống thông tin dễ bị đe dọa an ninh hiện hữu và tiềm ẩn hơn.
Phụ lục A 8.27 phác thảo cách các tổ chức có thể bảo vệ hệ thống thông tin của mình khỏi các mối đe dọa bảo mật thông qua việc triển khai các nguyên tắc kỹ thuật hệ thống an toàn trong mọi giai đoạn của vòng đời hệ thống thông tin.
Mục đích của ISO 27001:2022 Phụ lục A 8.27
Phụ lục A 8.27 hỗ trợ các tổ chức bảo mật hệ thống thông tin trong suốt các giai đoạn thiết kế, triển khai và vận hành, thông qua việc thiết lập và triển khai các nguyên tắc kỹ thuật hệ thống an toàn mà các kỹ sư hệ thống phải tuân thủ.
Quyền sở hữu của Phụ lục A 8.27
Giám đốc An ninh thông tin phải chịu trách nhiệm xây dựng, duy trì và thực hiện các quy tắc quản lý kỹ thuật an toàn của hệ thống thông tin.
Hướng dẫn chung về ISO 27001:2022 Phụ lục A 8.27 Tuân thủ
Phụ lục A 8.27 của ISO 27001:2022 nhấn mạnh sự cần thiết của việc các tổ chức tích hợp bảo mật vào toàn bộ hệ thống thông tin của mình, bao gồm quy trình kinh doanh, ứng dụng và kiến trúc dữ liệu.
Các biện pháp kỹ thuật an toàn phải được triển khai cho mọi nhiệm vụ liên quan đến hệ thống thông tin, thường xuyên được xem xét và cập nhật để ứng phó với các mối đe dọa và kiểu tấn công mới nổi.
Phụ lục A 8.27 cũng áp dụng cho các hệ thống do nhà cung cấp bên ngoài tạo ra, ngoài các hệ thống do nội bộ phát triển và vận hành.
Các tổ chức phải đảm bảo rằng các hoạt động và tiêu chuẩn của nhà cung cấp dịch vụ phù hợp với các giao thức kỹ thuật an toàn của họ.
Phụ lục A 8.27 của ISO 27001:2022 yêu cầu các nguyên tắc kỹ thuật hệ thống an toàn để giải quyết tám chủ đề sau:
- Phương pháp xác thực người dùng.
- Hướng dẫn kiểm soát phiên bảo mật.
- Quy trình vệ sinh và xác thực dữ liệu.
- Các biện pháp bảo mật nhằm bảo vệ tài sản thông tin và hệ thống chống lại các mối đe dọa đã biết được phân tích toàn diện.
- Các biện pháp an ninh được phân tích về khả năng xác định, loại bỏ và ứng phó với các mối đe dọa an ninh.
- Phân tích các biện pháp bảo mật được áp dụng cho các hoạt động kinh doanh cụ thể, chẳng hạn như mã hóa thông tin.
- Các biện pháp bảo mật sẽ được triển khai ở đâu và như thế nào. Phụ lục A cụ thể Kiểm soát bảo mật có thể được tích hợp vào cơ sở hạ tầng kỹ thuật như một phần của quy trình này.
- Cách thức các biện pháp bảo mật khác nhau hoạt động cùng nhau và hoạt động như một hệ thống kết hợp.
Hướng dẫn về Nguyên tắc Zero Trust
Các tổ chức nên ghi nhớ những nguyên tắc không tin tưởng sau:
- Dựa trên giả định rằng hệ thống của tổ chức đã bị xâm phạm và phạm vi bảo mật được xác định của mạng không thể cung cấp khả năng bảo vệ đầy đủ.
- Cần áp dụng chính sách “xác minh trước khi tin tưởng” khi cấp quyền truy cập vào hệ thống thông tin. Điều này đảm bảo rằng quyền truy cập chỉ được cấp sau khi xem xét kỹ lưỡng, đảm bảo rằng đúng người có quyền truy cập.
- Đảm bảo các yêu cầu gửi đến hệ thống thông tin được bảo vệ bằng mã hóa đầu cuối sẽ mang lại sự an tâm.
- Cơ chế xác minh được triển khai dựa trên yêu cầu truy cập từ các mạng mở bên ngoài vào hệ thống thông tin.
- Triển khai quyền hạn tối thiểu và kiểm soát truy cập động phù hợp với ISO 27001:2022 Phụ lục A 5.15, 5.18 và 8.2. Điều này phải bao gồm xác thực và ủy quyền thông tin nhạy cảm và hệ thống thông tin có tính đến các khía cạnh theo ngữ cảnh như danh tính người dùng (ISO 27001:2022 Phụ lục A 5.16) và phân loại thông tin (ISO 27001:2022 Phụ lục A 5.12).
- Xác thực danh tính của người yêu cầu và xác minh các yêu cầu cấp quyền truy cập vào hệ thống thông tin theo thông tin xác thực trong Phụ lục A 5.17, 5.16 và 8.5 của ISO 27001:2022.
Kỹ thuật hệ thống an toàn cần bao gồm những gì?
Tổ chức của bạn cần lưu ý những điều sau:
- Việc kết hợp các nguyên tắc kiến trúc an toàn như “bảo mật theo thiết kế”, “phòng thủ chuyên sâu”, “bảo mật khi thất bại”, “không tin tưởng dữ liệu đầu vào từ các ứng dụng bên ngoài”, “giả định vi phạm”, “quyền hạn tối thiểu”, “khả năng sử dụng và quản lý” và “chức năng tối thiểu” là tối quan trọng.
- Tiến hành đánh giá thiết kế theo định hướng bảo mật để phát hiện mọi vấn đề bảo mật thông tin và đảm bảo các biện pháp bảo mật được thiết lập và đáp ứng các nhu cầu bảo mật.
- Việc ghi chép và xác nhận các biện pháp bảo mật không đáp ứng được yêu cầu là điều cần thiết.
- Việc củng cố hệ thống là điều cần thiết để đảm bảo an ninh cho mọi hệ thống.
Tiêu chí nào cần xem xét khi thiết kế các nguyên tắc kỹ thuật an toàn?
Các tổ chức nên lưu ý những điểm sau khi thiết lập các nguyên tắc kỹ thuật hệ thống an toàn:
- Yêu cầu phối hợp các Biện pháp Kiểm soát Phụ lục A với kiến trúc bảo mật cụ thể là điều không thể thiếu.
- Cơ sở hạ tầng bảo mật kỹ thuật hiện có của một tổ chức, bao gồm cơ sở hạ tầng khóa công khai, quản lý danh tính và ngăn ngừa rò rỉ dữ liệu.
- Tổ chức có thể xây dựng và duy trì công nghệ đã chọn không?
- Cần phải cân nhắc đến chi phí và thời gian cần thiết để đáp ứng các yêu cầu về bảo mật, có tính đến tính phức tạp của chúng.
- Việc tuân thủ các biện pháp thực hành tốt nhất hiện nay là điều cần thiết.
Hướng dẫn về việc áp dụng các nguyên tắc kỹ thuật hệ thống an toàn
Phụ lục A 8.27 của ISO 27001:2022 nêu rõ rằng các tổ chức có thể sử dụng các nguyên tắc kỹ thuật an toàn khi thiết lập những điều sau:
- Khả năng chịu lỗi và các chiến lược phục hồi khác là rất cần thiết. Chúng giúp đảm bảo hệ thống vẫn hoạt động bất chấp các sự kiện bất ngờ xảy ra.
- Phân tách thông qua ảo hóa là một kỹ thuật có thể được sử dụng.
- Chống phá hoại, đảm bảo hệ thống luôn an toàn và không bị can thiệp bởi các hành vi độc hại.
Công nghệ ảo hóa an toàn có thể giảm nguy cơ bị chặn giữa các ứng dụng chạy trên cùng một thiết bị.
Cần nhấn mạnh rằng các hệ thống chống giả mạo có thể phát hiện cả sự thao túng về mặt logic và vật lý đối với hệ thống thông tin, ngăn chặn việc truy cập trái phép vào dữ liệu.
Những thay đổi và khác biệt so với ISO 27001:2013
Phụ lục A 8.27 của ISO 27001:2022 thay thế Phụ lục A 14.2.5 của ISO 27001:2013 trong tiêu chuẩn đã sửa đổi năm 2022 .
Phiên bản 2022 có những yêu cầu mở rộng hơn so với phiên bản 2013, chẳng hạn như:
- So với phiên bản năm 2013, phiên bản năm 2022 cung cấp hướng dẫn về những nguyên tắc kỹ thuật an toàn cần có.
- Trái ngược với phiên bản năm 2013, phiên bản năm 2022 xem xét các tiêu chí mà các tổ chức cần lưu ý khi xây dựng các nguyên tắc kỹ thuật hệ thống an toàn.
- Phiên bản năm 2022 cung cấp hướng dẫn về nguyên tắc tin cậy bằng không, nguyên tắc này không có trong phiên bản năm 2013.
- Phiên bản năm 2022 của tài liệu bao gồm các khuyến nghị về kỹ thuật kỹ thuật an toàn, chẳng hạn như “bảo mật theo thiết kế”, vốn không có trong phiên bản năm 2013.
