Mục đích của Kiểm soát 8.16
Giám sát mạng là nền tảng cho mọi hoạt động hỗ trợ CNTT và bảo mật thông tin thành công.
Điều cực kỳ quan trọng đối với các tổ chức là thúc đẩy cách tiếp cận chủ động trong việc giám sát nhằm ngăn ngừa sự cố trước khi chúng xảy ra và phối hợp với các nỗ lực phản ứng để hình thành chiến lược giải quyết sự cố và bảo mật thông tin toàn diện đáp ứng mọi yêu cầu.
Bảng Thuộc tính
Kiểm soát 8.16 là biện pháp kiểm soát phát hiện và khắc phục có mục đích kép , giúp điều chỉnh rủi ro bằng cách tối ưu hóa các hoạt động giám sát để xác định hành vi bất thường và hỗ trợ phân tích kịp thời các sự kiện và sự cố bảo mật thông tin.
| Loại điều khiển | Thuộc tính bảo mật thông tin | Các khái niệm về an ninh mạng | Khả năng hoạt động | Miền bảo mật |
|---|---|---|---|---|
| #Thám tử #Sửa chữa | #Bảo mật #Toàn vẹn #Khả dụng | #Phát hiện #Phản hồi | #Quản lý sự kiện an ninh thông tin | #Phòng thủ |
Quyền sở hữu kiểm soát 8.16
Kiểm soát 8.16 xử lý các hoạt động CNTT được thực hiện bằng quyền truy cập của quản trị viên hệ thống và nằm trong phạm vi quản lý và bảo trì mạng.
Do đó, quyền sở hữu Kiểm soát 8.16 phải thuộc về Trưởng phòng CNTT hoặc cấp quản lý tương đương trong tổ chức.
Hướng dẫn chung về tuân thủ
Việc giám sát trước hết phải được thực hiện theo đúng các yêu cầu quy định hoặc luật hiện hành, và mọi hồ sơ được lưu giữ phải theo đúng chính sách lưu giữ của công ty.
Các sự kiện đáng ngờ phải được báo cáo cho tất cả nhân viên có liên quan để duy trì tính toàn vẹn của mạng lưới và cải thiện tính liên tục của hoạt động kinh doanh cùng với các quy trình sau (xem Kiểm soát 5.25):
- Kiểm toán
- Đánh giá an ninh và rủi ro
- Quét lỗ hổng
- Giám sát
Các tổ chức nên đưa những nội dung sau vào hoạt động giám sát của mình:
- Cả lưu lượng mạng đến và đi , bao gồm dữ liệu đến và đi từ các ứng dụng
- Truy cập vào các nền tảng quan trọng cho doanh nghiệp , bao gồm (nhưng không giới hạn ở):
- Hệ thống
- Máy chủ
- Phần cứng mạng
- Bản thân hệ thống giám sát
- Các tập tin cấu hình
- Nhật ký sự kiện từ thiết bị bảo mật và nền tảng phần mềm
- Kiểm tra mã để đảm bảo mọi chương trình thực thi đều được cấp phép và không có lỗi
- Sử dụng tài nguyên tính toán, lưu trữ và mạng
Hướng dẫn – Phân tích hành vi
Các tổ chức cần có hiểu biết vững chắc về hoạt động bình thường của người dùng và hành vi mạng , đồng thời sử dụng điều này làm cơ sở để xác định hành vi bất thường trên toàn mạng, bao gồm:
- Đóng hoặc chấm dứt đột ngột các quy trình và ứng dụng
- Lưu lượng mạng được nhận dạng là phát ra từ và/hoặc từ các địa chỉ IP có vấn đề và/hoặc các miền bên ngoài
- Các phương pháp xâm nhập nổi tiếng (ví dụ DDoS)
- Hành vi hệ thống độc hại (ví dụ ghi lại phím)
- Tắc nghẽn mạng và thời gian ping và/hoặc độ trễ cao
- Truy cập trái phép hoặc không thể giải thích được vào và/hoặc quét dữ liệu, tên miền hoặc ứng dụng
- Bất kỳ nỗ lực nào nhằm truy cập vào các tài nguyên CNTT quan trọng của doanh nghiệp (ví dụ: bộ điều khiển miền, máy chủ DNS, máy chủ tệp và cổng thông tin web)
Để thiết lập đường cơ sở thành công, các tổ chức nên theo dõi mức độ sử dụng mạng và thời gian truy cập ở mức hoạt động bình thường.
Hướng dẫn – Công cụ giám sát
Các tổ chức nên tối ưu hóa nỗ lực giám sát của mình bằng các công cụ giám sát chuyên dụng phù hợp với loại mạng và lưu lượng mà họ xử lý hàng ngày.
Các công cụ giám sát phải có khả năng:
- Xử lý khối lượng lớn dữ liệu giám sát
- Phản ứng với dữ liệu đáng ngờ, lưu lượng truy cập và các mẫu hành vi của người dùng và các hoạt động một lần
- Sửa đổi bất kỳ hoạt động giám sát nào để phản ứng với các mức độ rủi ro khác nhau
- Thông báo cho các tổ chức về hoạt động bất thường theo thời gian thực, thông qua một loạt cảnh báo chủ động có chứa một lượng tối thiểu các kết quả dương tính giả (xem Kiểm soát 5.26)
- Dựa vào mức độ dự phòng ứng dụng phù hợp để duy trì hoạt động giám sát liên tục
Hướng dẫn – Giám sát an ninh
Giám sát an ninh nên được tối ưu hóa thông qua:
- Hệ thống tình báo mối đe dọa chuyên dụng (xem Kiểm soát 5.7) và nền tảng bảo vệ chống xâm nhập
- Nền tảng học máy
- Danh sách trắng, danh sách đen, danh sách chặn và danh sách cho phép trên nền tảng quản lý IP và phần mềm bảo mật email
- Kết hợp các hoạt động ghi nhật ký và giám sát thành một phương pháp tiếp cận toàn diện
- Một cách tiếp cận chuyên dụng đối với các phương pháp xâm nhập và hoạt động độc hại nổi tiếng, chẳng hạn như sử dụng botnet hoặc các cuộc tấn công từ chối dịch vụ
Hỗ trợ điều khiển
- 5,25
- 5.26
- 5.7
Những thay đổi và khác biệt so với ISO 27002:2013
ISO 27002:2022-8.16 là một biện pháp kiểm soát mới không có trong ISO 27002:2003.
