Điều quan trọng là phải có thời gian chính xác và đồng bộ trên tất cả các hệ thống thông tin của một tổ chức.
Điều này không chỉ cần thiết để duy trì hoạt động kinh doanh mà còn vô cùng hữu ích khi xử lý các sự cố liên quan đến CNTT.
Việc biểu diễn thời gian chính xác giúp tổ chức có khả năng cung cấp hồ sơ đáng tin cậy về cách quản lý dữ liệu và các hoạt động của nhân viên cũng như nhà cung cấp cho chính tổ chức và bất kỳ cơ quan thực thi pháp luật hoặc cơ quan quản lý nào.
Mục đích của ISO 27001:2022 Phụ lục A 8.17
ISO 27001:2022 Phụ lục A 8.17 có mục đích kép là duy trì rủi ro thông qua việc triển khai các biện pháp kiểm soát để duy trì đồng bộ hóa chính xác và đáng tin cậy của đồng hồ hệ thống thông tin. Điều này giúp ích cho cả các cuộc điều tra nội bộ và bên ngoài, cũng như giám sát sự cố.
Quyền sở hữu của Phụ lục A 8.17
Phụ lục A 8.17 của ISO 27001:2022 tập trung vào các vấn đề kỹ thuật, chẳng hạn như nguồn dữ liệu bên ngoài (ví dụ đồng hồ nguyên tử) được kết nối với cơ sở hạ tầng ICT của tổ chức.
Trưởng phòng CNTT phải chịu trách nhiệm duy trì tính toàn vẹn và hiệu quả của cơ sở hạ tầng CNTT của tổ chức hàng ngày.
Hướng dẫn về ISO 27001:2022 Phụ lục A 8.17
Phụ lục A Kiểm soát 8.17 không đề xuất cách tiếp cận từng bước để quản lý đồng hồ hệ thống, thay vào đó cung cấp hướng dẫn chung về cách sử dụng các điểm tham chiếu đáng tin cậy.
Các tổ chức nên thiết lập thời gian tham chiếu chuẩn có thể tin cậy được cho tất cả các hệ thống thương mại, hậu cần và bảo trì của họ. Điều này phù hợp với Phụ lục A 8.17.
Các tổ chức nên:
- Dự thảo các yêu cầu nội bộ và bên ngoài cho ba khía cạnh của đồng bộ hóa đồng hồ:
- Đồng bộ hóa đáng tin cậy
- Biểu diễn thời gian
- Sự chính xác
- Các tổ chức nên giải quyết các yêu cầu nói trên từ sáu góc độ khác nhau:
- Hợp đồng
- Tiêu chuẩn
- Giám sát nội bộ
- Hợp pháp
- Theo luật định
- Quy định
- Sử dụng chương trình phát sóng thời gian vô tuyến được liên kết với đồng hồ nguyên tử làm điểm tham chiếu duy nhất, đồng thời triển khai các giao thức chính (NTP, PTP) để đảm bảo tính đồng nhất trên toàn mạng.
- Cần cân nhắc đến lợi ích của việc có hai nguồn thời gian riêng biệt để cải thiện tính dự phòng.
Hướng dẫn về thiết lập lai
Các tổ chức thường sử dụng đồng thời cả hệ thống tại chỗ và hệ thống đám mây.
Các nền tảng phần mềm và cơ sở hạ tầng lưu trữ trên đám mây thường do chính nhà cung cấp quản lý, sử dụng nguồn thời gian độc lập từ cơ sở hạ tầng của tổ chức.
Kiểm tra thường xuyên để phát hiện bất kỳ sự khác biệt nào giữa phần cứng và hệ thống được quản lý và không được quản lý, đồng thời ghi lại mọi thay đổi để tránh nhầm lẫn trong các cuộc điều tra sau này.
Những thay đổi và khác biệt so với ISO 27001:2013
Phụ lục A 8.17 của ISO 27001:2022 thay thế Phụ lục A 12.4.4 của ISO 27001:2013 (Đồng bộ hóa đồng hồ).
Phụ lục A 8.17 của ISO 27001:2022 phản ánh phần lớn dữ liệu tương tự có trong phiên bản tiền nhiệm năm 2013, ngoại trừ một điểm nổi bật – tiêu chuẩn này hướng dẫn về cách quản lý nguồn thời gian từ đám mây công cộng và riêng tư, cũng như những tác động của việc sử dụng các hệ thống tại chỗ có thể được đồng bộ hóa với một nguồn thời gian khác.
