Có nguy cơ bị tấn công bằng phần mềm độc hại vào mạng công ty và hệ thống thông tin nếu nhân viên truy cập vào các trang web có nội dung độc hại.
Ví dụ, kẻ tấn công có thể gửi email lừa đảo đến email công việc của nhân viên, dụ họ nhấp vào liên kết và truy cập trang web. Nếu nhân viên truy cập trang web này, phần mềm độc hại có thể tự động được tải lên thiết bị của nhân viên, cho phép xâm nhập vào mạng công ty. Trong cuộc tấn công này, phần mềm độc hại được tự động tải xuống khi nhân viên truy cập trang web, được gọi là tải xuống tự động.
Do đó, các tổ chức phải triển khai các biện pháp kiểm soát lọc web phù hợp để hạn chế và kiểm soát quyền truy cập vào các trang web bên ngoài và ngăn ngừa các mối đe dọa bảo mật.
Mục đích của ISO 27001:2022 Phụ lục A 8.23
Phụ lục A Kiểm soát 8.23 của ISO 27001:2022 cũng hỗ trợ các tổ chức loại bỏ các rủi ro bảo mật như nhiễm phần mềm độc hại khi truy cập vào các trang web bên ngoài có nội dung độc hại.
Quyền sở hữu của Phụ lục A 8.23
Giám đốc An ninh thông tin chịu trách nhiệm đảm bảo thực hiện các biện pháp thích hợp để tuân thủ 8.28, bao gồm xác định các trang web bên ngoài có rủi ro cao và thiết kế cũng như triển khai các biện pháp kiểm soát truy cập và lọc web phù hợp.
Hướng dẫn chung về ISO 27001:2022 Phụ lục A 8.23
Để bảo vệ nhân viên khỏi việc truy cập vào các trang web bên ngoài có thể chứa vi-rút, tài liệu lừa đảo hoặc các loại thông tin bất hợp pháp khác, các tổ chức nên thiết lập và triển khai các biện pháp kiểm soát cần thiết.
Bằng cách chặn địa chỉ IP hoặc tên miền của các trang web bên ngoài nguy hiểm, có thể ngăn chặn việc truy cập vào các trang web đó. Việc phát hiện phần mềm độc hại tự động có thể được thực hiện bằng một số trình duyệt và công cụ chống phần mềm độc hại, ví dụ.
Mục 8.23 của Phụ lục A của ISO 27001 khuyến nghị các tổ chức xác định loại trang web nào mà nhân viên không được phép truy cập.
Cụ thể, bạn nên chặn các loại trang web sau đây:
- Các trang web có khả năng tải thông tin lên. Việc truy cập phải được cấp phép và chỉ được cấp trong trường hợp lý do kinh doanh hợp lệ.
- Một trang web được biết hoặc nghi ngờ có chứa nội dung độc hại, chẳng hạn như trang web chứa phần mềm độc hại.
- Máy chủ được sử dụng để chỉ huy và kiểm soát.
- Các trang web độc hại được xác định bằng thông tin tình báo về mối đe dọa. Để biết thêm thông tin, các tổ chức nên tham khảo Phụ lục A Kiểm soát 5.7.
- Các trang web phân phối tài liệu và nội dung bất hợp pháp.
Các tổ chức được khuyến cáo nên thiết lập các quy tắc để truy cập và sử dụng các nguồn tài nguyên trực tuyến một cách an toàn và phù hợp trước khi triển khai Kiểm soát Phụ lục A này. Ngoài ra, các trang web có chứa tài liệu không phù hợp nên bị hạn chế.
Cần phải tiến hành đánh giá và cập nhật thường xuyên.
Hướng dẫn bổ sung về đào tạo nhân viên
Tiêu chuẩn 8.23 của ISO 27001:2022 quy định rằng tất cả nhân viên phải được đào tạo về cách truy cập an toàn vào các tài nguyên trực tuyến.
Các tổ chức nên tiến hành đào tạo này để đảm bảo nhân viên biết các quy tắc của riêng mình và cách báo cáo các vấn đề về bảo mật.
Ngoài ra, đào tạo cũng nên bao gồm quy trình ngoại lệ khi truy cập vào các trang web bị hạn chế vì lý do kinh doanh hợp pháp.
Hơn nữa, đào tạo nên bao gồm các thông báo tư vấn của trình duyệt cảnh báo người dùng rằng trang web không an toàn nhưng vẫn cho phép họ tiếp tục. Các cảnh báo này phải được nhân viên giải quyết.
Phụ lục A 8.23 Hướng dẫn bổ sung
Trong số các kỹ thuật được sử dụng để lọc web là:
- Phương pháp suy luận.
- Chữ ký.
- Danh sách các trang web bị cấm và được chấp nhận.
- Cấu hình tên miền.
Những thay đổi và khác biệt so với ISO 27001:2013 là gì?
Phụ lục A 8.23 của ISO 27001:2022 là một biện pháp kiểm soát mới không có trong phiên bản năm 2013 của tiêu chuẩn.
