Mục đích của Kiểm soát 8.9
Cấu hình – dù hoạt động như một tệp cấu hình duy nhất hay một nhóm các cấu hình được liên kết với nhau – là các tham số cơ bản chi phối cách quản lý phần cứng, phần mềm và thậm chí toàn bộ mạng.
Ví dụ, tệp cấu hình tường lửa sẽ lưu trữ các thuộc tính cơ bản mà thiết bị sử dụng để quản lý lưu lượng truy cập đến và đi từ mạng của tổ chức, bao gồm danh sách chặn, chuyển tiếp cổng, mạng LAN ảo và thông tin VPN.
Quản lý cấu hình là một phần không thể thiếu trong hoạt động quản lý tài sản rộng hơn của một tổ chức. Cấu hình đóng vai trò quan trọng trong việc đảm bảo rằng mạng không chỉ hoạt động như mong đợi mà còn bảo vệ thiết bị khỏi những thay đổi trái phép hoặc sửa đổi không chính xác từ phía nhân viên bảo trì và/hoặc nhà cung cấp.
Bảng Thuộc tính
Kiểm soát 8.9 là biện pháp kiểm soát phòng ngừa giúp duy trì rủi ro bằng cách thiết lập một loạt chính sách quản lý cách thức tổ chức lập tài liệu, triển khai, giám sát và xem xét việc sử dụng cấu hình trên toàn bộ mạng của mình.
Quyền sở hữu kiểm soát 8.9
Quản lý cấu hình chỉ là một nhiệm vụ hành chính liên quan đến việc duy trì và giám sát thông tin và dữ liệu về tài sản nằm trên nhiều thiết bị và ứng dụng. Do đó, quyền sở hữu phải thuộc về Trưởng phòng CNTT hoặc tổ chức tương đương.
| Loại điều khiển | Thuộc tính bảo mật thông tin | Các khái niệm về an ninh mạng | Khả năng hoạt động | Miền bảo mật |
|---|---|---|---|---|
| #Phòng ngừa | #Bảo mật #Toàn vẹn #Khả dụng | #Bảo vệ | #Cấu hình bảo mật | #Sự bảo vệ |
Hướng dẫn chung về tuân thủ
Nhìn chung, nhu cầu của tổ chức là soạn thảo và triển khai các chính sách quản lý cấu hình cho cả hệ thống và phần cứng mới, cũng như bất kỳ hệ thống và phần cứng nào đang được sử dụng. Kiểm soát nội bộ phải bao gồm các yếu tố quan trọng đối với doanh nghiệp như cấu hình bảo mật, tất cả phần cứng lưu trữ tệp cấu hình và bất kỳ ứng dụng hoặc hệ thống phần mềm nào có liên quan.
Kiểm soát 8.9 yêu cầu các tổ chức xem xét tất cả các vai trò và trách nhiệm có liên quan khi triển khai chính sách cấu hình, bao gồm quyền sở hữu được ủy quyền đối với các cấu hình trên từng thiết bị hoặc từng ứng dụng.
Hướng dẫn – Mẫu chuẩn
Khi có thể, các tổ chức nên sử dụng các mẫu chuẩn hóa để bảo mật tất cả phần cứng, phần mềm và hệ thống. Các mẫu nên:
- Cố gắng sử dụng hướng dẫn có sẵn công khai, dành riêng cho nhà cung cấp và/hoặc nguồn mở về cách cấu hình phần cứng và phần mềm tốt nhất.
- Đáp ứng các yêu cầu bảo mật tối thiểu cho thiết bị, ứng dụng hoặc hệ thống mà chúng áp dụng.
- Làm việc hài hòa với các nỗ lực bảo mật thông tin rộng hơn của tổ chức, bao gồm tất cả các biện pháp kiểm soát ISO có liên quan.
- Hãy ghi nhớ các yêu cầu kinh doanh riêng của tổ chức – đặc biệt là khi liên quan đến cấu hình bảo mật – bao gồm cả tính khả thi của việc áp dụng hoặc quản lý mẫu tại bất kỳ thời điểm nào.
- Được xem xét theo các khoảng thời gian thích hợp để đáp ứng các bản cập nhật hệ thống và/hoặc phần cứng hoặc bất kỳ mối đe dọa bảo mật nào đang tồn tại.
Hướng dẫn – Kiểm soát an ninh
Bảo mật là yếu tố quan trọng nhất khi áp dụng mẫu cấu hình hoặc sửa đổi mẫu hiện có theo hướng dẫn trên.
Khi xem xét các mẫu chuẩn để sử dụng trên toàn tổ chức, để giảm thiểu mọi rủi ro về bảo mật thông tin, các tổ chức nên:
- Giữ số lượng người dùng có quyền quản trị viên ở mức tối thiểu.
- Vô hiệu hóa mọi danh tính không sử dụng hoặc không cần thiết.
- Theo dõi chặt chẽ việc truy cập vào các chương trình bảo trì, ứng dụng tiện ích và cài đặt nội bộ.
- Đảm bảo đồng hồ được đồng bộ hóa để ghi lại cấu hình một cách chính xác và hỗ trợ cho bất kỳ cuộc điều tra nào trong tương lai.
- Thay đổi ngay lập tức mọi mật khẩu mặc định hoặc cài đặt bảo mật mặc định được cung cấp cùng với bất kỳ thiết bị, dịch vụ hoặc ứng dụng nào.
- Triển khai thời gian đăng xuất mặc định cho mọi thiết bị, hệ thống hoặc ứng dụng không hoạt động trong khoảng thời gian xác định.
- Đảm bảo rằng tất cả các yêu cầu cấp phép đã được đáp ứng (xem Kiểm soát 5.32).
Hướng dẫn – Quản lý và giám sát cấu hình
Tổ chức có trách nhiệm duy trì và lưu trữ cấu hình, bao gồm việc theo dõi mọi sửa đổi hoặc cài đặt mới, theo quy trình quản lý thay đổi đã công bố (xem Kiểm soát 8.32).
Nhật ký phải chứa thông tin nêu rõ:
- Ai sở hữu tài sản?
- Dấu thời gian cho lần thay đổi cấu hình mới nhất.
- Phiên bản hiện tại của mẫu cấu hình.
- Bất kỳ thông tin có liên quan nào giải thích mối quan hệ giữa tài sản với cấu hình được lưu giữ trên các thiết bị hoặc hệ thống khác.
Các tổ chức nên triển khai nhiều kỹ thuật khác nhau để giám sát hoạt động của các tệp cấu hình trên toàn mạng của họ, bao gồm:
- Tự động hóa.
- Chương trình bảo trì cấu hình chuyên biệt.
- Công cụ hỗ trợ từ xa tự động điền thông tin cấu hình theo từng thiết bị.
- Tiện ích quản lý phần mềm và thiết bị doanh nghiệp được thiết kế để theo dõi lượng lớn dữ liệu cấu hình cùng một lúc.
- Phần mềm BUDR tự động sao lưu cấu hình vào vị trí an toàn và khôi phục mẫu từ xa hoặc tại chỗ trên các thiết bị bị xâm phạm và/hoặc trục trặc.
Các tổ chức nên cấu hình phần mềm chuyên dụng để theo dõi mọi thay đổi trong cấu hình thiết bị và thực hiện hành động thích hợp để giải quyết sửa đổi càng sớm càng tốt, bằng cách xác thực thay đổi hoặc khôi phục cấu hình về trạng thái ban đầu.
Hướng dẫn hỗ trợ
- 5.32
- 8.32
Những thay đổi và khác biệt so với ISO 27002:2013
Không có. Kiểm soát 8.9 chưa có tiền lệ trong ISO 27002:2013 vì nó là mới.
