Mục đích của Kiểm soát 8.19
Phần mềm vận hành có thể được mô tả rộng rãi là bất kỳ phần mềm nào mà doanh nghiệp chủ động sử dụng để tiến hành hoạt động, khác với phần mềm thử nghiệm hoặc các dự án phát triển.
Điều cực kỳ quan trọng là phải đảm bảo phần mềm được cài đặt và quản lý trên một mạng nhất định theo một bộ quy tắc và yêu cầu nghiêm ngặt nhằm giảm thiểu rủi ro, nâng cao hiệu quả và duy trì tính bảo mật trong các mạng và dịch vụ nội bộ cũng như bên ngoài.
Bảng Thuộc tính
Kiểm soát 8.19 là biện pháp kiểm soát phòng ngừa giúp duy trì rủi ro bằng cách thiết lập một bộ quy tắc quản lý việc cài đặt phần mềm trên hệ thống vận hành.
| Loại điều khiển | Thuộc tính bảo mật thông tin | Các khái niệm về an ninh mạng | Khả năng hoạt động | Miền bảo mật |
|---|---|---|---|---|
| #Phòng ngừa | #Bảo mật #Toàn vẹn #Khả dụng | #Bảo vệ | #Cấu hình bảo mật #Bảo mật ứng dụng | #Sự bảo vệ |
Quyền sở hữu kiểm soát 8.19
Kiểm soát 8.19 liên quan đến các khái niệm kỹ thuật liên quan đến việc bảo trì và quản lý hệ thống máy tính đang hoạt động. Do đó, quyền sở hữu phải thuộc về Trưởng phòng CNTT hoặc tổ chức tương đương.
Hướng dẫn chung về tuân thủ
Để quản lý an toàn các thay đổi và cài đặt trên mạng của mình, các tổ chức nên:
- Đảm bảo rằng việc cập nhật phần mềm chỉ được thực hiện bởi nhân viên được đào tạo và có năng lực (xem Kiểm soát 8.5).
- Chỉ cài đặt mã thực thi mạnh mẽ, không có lỗi và đã thoát khỏi giai đoạn phát triển một cách an toàn.
- Chỉ cài đặt và/hoặc cập nhật phần mềm sau khi bản cập nhật hoặc bản vá đó đã được thử nghiệm thành công và tổ chức tin tưởng rằng sẽ không xảy ra xung đột hoặc lỗi nào.
- Duy trì hệ thống thư viện hiện đại.
- Sử dụng ‘hệ thống kiểm soát cấu hình’ để quản lý mọi phiên bản phần mềm hoạt động, bao gồm cả tài liệu chương trình.
- Thống nhất về ‘chiến lược khôi phục’ trước khi tiến hành bất kỳ bản cập nhật hoặc cài đặt nào để đảm bảo tính liên tục của hoạt động kinh doanh trong trường hợp xảy ra lỗi hoặc xung đột không lường trước.
- Lưu lại nhật ký về mọi bản cập nhật được thực hiện đối với phần mềm đang hoạt động, bao gồm tóm tắt về bản cập nhật, nhân sự liên quan và dấu thời gian.
- Đảm bảo rằng phần mềm chưa sử dụng – bao gồm tất cả tài liệu, tệp cấu hình, nhật ký hệ thống, quy trình hỗ trợ – được lưu trữ an toàn để sử dụng sau này khi cần thiết.
- Áp dụng một bộ quy tắc nghiêm ngặt về loại gói phần mềm mà người dùng có thể cài đặt, dựa trên nguyên tắc “ít đặc quyền nhất” và phù hợp với các vai trò và trách nhiệm có liên quan.
Hướng dẫn – Phần mềm nhà cung cấp
Đối với phần mềm do nhà cung cấp cung cấp (ví dụ bất kỳ phần mềm nào được sử dụng trong quá trình vận hành máy móc hoặc cho chức năng kinh doanh riêng), phần mềm đó phải luôn được đảm bảo hoạt động tốt bằng cách tham khảo hướng dẫn của nhà cung cấp để vận hành an toàn và bảo mật.
Điều quan trọng cần lưu ý là ngay cả khi phần mềm hoặc mô-đun phần mềm được cung cấp và quản lý bên ngoài (tức là tổ chức không chịu trách nhiệm cho bất kỳ bản cập nhật nào), thì vẫn cần phải thực hiện các bước để đảm bảo rằng các bản cập nhật của bên thứ ba không gây ảnh hưởng đến tính toàn vẹn của mạng lưới tổ chức.
Các tổ chức nên tránh sử dụng phần mềm của nhà cung cấp không được hỗ trợ trừ khi thực sự cần thiết và cân nhắc những rủi ro bảo mật liên quan khi sử dụng các ứng dụng dự phòng thay vì nâng cấp lên hệ thống mới hơn và an toàn hơn.
Nếu nhà cung cấp yêu cầu quyền truy cập vào mạng của tổ chức để thực hiện cài đặt hoặc cập nhật, hoạt động đó phải được giám sát và xác thực theo tất cả các thủ tục cấp phép có liên quan (xem Kiểm soát 5.22).
Hướng dẫn bổ sung về Kiểm soát 8.19
Phần mềm phải được nâng cấp, cài đặt và/hoặc vá lỗi theo các quy trình quản lý thay đổi đã công bố của tổ chức, nhằm đảm bảo tính thống nhất với các lĩnh vực khác trong doanh nghiệp.
Bất cứ khi nào phát hiện ra bản vá có khả năng loại bỏ hoàn toàn một lỗ hổng (hoặc một loạt lỗ hổng) hoặc giúp cải thiện hoạt động bảo mật thông tin của tổ chức theo bất kỳ cách nào, thì những thay đổi đó gần như luôn phải được áp dụng (mặc dù vẫn cần đánh giá những thay đổi đó theo từng trường hợp cụ thể).
Khi cần sử dụng phần mềm nguồn mở, phần mềm này phải luôn là phiên bản mới nhất có sẵn công khai và được bảo trì tích cực. Theo đó, các tổ chức nên cân nhắc đến những rủi ro vốn có khi sử dụng phần mềm không được bảo trì trong mọi chức năng kinh doanh.
Hỗ trợ điều khiển
- 5.22
- 8,5
Những thay đổi và khác biệt so với ISO 27002:2013
ISO 27002:2022-8.19 thay thế ISO 27002:2003-12.5.1 (Cài đặt phần mềm trên hệ điều hành) và 12.6.2 (Hạn chế cài đặt phần mềm).
27002:2022-8.19 là sự kết hợp của hầu hết các lời khuyên có trong 27002:2003-12.5.1 và 12.6.2, với một số khái niệm chính được mở rộng ngắn gọn và bổ sung một số nguyên tắc quản lý mới:
- Duy trì hệ thống thư viện.
- Quy định quản lý việc sử dụng phần mềm nguồn mở.
- Kiểm soát logic chặt chẽ hơn về việc cài đặt và bảo trì phần mềm của nhà cung cấp.
