8.1 Urządzenia końcowe użytkowników
ISO/IEC 27002 8.1 — ochrona informacji na laptopach, telefonach i innych urządzeniach końcowych: polityka, rejestracja, odpowiedzialność użytkowników, BYOD, sieci bezprzewodowe.
8.2 Uprawnienia uprzywilejowane
ISO/IEC 27002 8.2 — ograniczanie i zarządzanie uprawnieniami uprzywilejowanymi: proces autoryzacji, osobne konta, czasowe nadawanie, rejestrowanie, przeglądy.
8.3 Ograniczenie dostępu do informacji
ISO/IEC 27002 8.3 — techniczne egzekwowanie polityki dostępu w systemach: brak dostępu anonimowego, kontrola zakresu danych i operacji, dynamiczne zarządzanie dostępem.
8.4 Dostęp do kodu źródłowego
ISO/IEC 27002 8.4 — kontrola dostępu do odczytu i zapisu kodu źródłowego, narzędzi deweloperskich i bibliotek; ochrona przed nieuprawnionymi zmianami i wyciekiem.
8.5 Bezpieczne uwierzytelnianie
ISO/IEC 27002 8.5 — technologie i procedury uwierzytelniania dobrane do klasyfikacji informacji: MFA, bezpieczne logowanie, ochrona przed zgadywaniem haseł, limity sesji.
8.6 Zarządzanie pojemnością
ISO/IEC 27002 8.6 — monitorowanie i dostosowywanie zasobów do bieżących i przewidywanych potrzeb: systemy, ludzie, biura; prognozowanie i zmniejszanie zapotrzebowania.
8.7 Ochrona przed złośliwym oprogramowaniem
ISO/IEC 27002 8.7 — ochrona przed malware wsparta świadomością użytkowników: wykrywanie, listy dozwolonych aplikacji, aktualizacje, kopie, ograniczenie skutków.
8.8 Zarządzanie podatnościami technicznymi
ISO/IEC 27002 8.8 — pozyskiwanie informacji o podatnościach, ocena narażenia, priorytetyzacja i działania: łatki, obejścia, zabezpieczenia kompensujące, ujawnianie podatności.
8.9 Zarządzanie konfiguracją ★
ISO/IEC 27002 8.9 — ustalanie, dokumentowanie, wdrażanie, monitorowanie i przegląd bezpiecznych konfiguracji sprzętu, oprogramowania, usług i sieci. Nowe w 2022.
8.10 Usuwanie informacji ★
ISO/IEC 27002 8.10 — usuwanie informacji z systemów, urządzeń i nośników, gdy przestają być potrzebne: metody, dowody, dostawcy, chmura. Nowe w 2022.
8.11 Maskowanie danych ★
ISO/IEC 27002 8.11 — maskowanie, pseudonimizacja i anonimizacja danych zgodnie z polityką dostępu i wymaganiami prawnymi: techniki, ograniczenia, ryzyko reidentyfikacji. Nowe w 2022.
8.12 Zapobieganie wyciekom danych ★
ISO/IEC 27002 8.12 — środki zapobiegania wyciekom danych (DLP) w systemach, sieciach i urządzeniach przetwarzających informacje wrażliwe: identyfikacja, monitorowanie, blokowanie. Nowe w 2022.
8.13 Kopie zapasowe informacji
ISO/IEC 27002 8.13 — kopie zapasowe informacji, oprogramowania i systemów według polityki: zakres, częstotliwość, przechowywanie oddzielne, szyfrowanie, testy odtwarzania.
8.14 Redundancja środków przetwarzania informacji
ISO/IEC 27002 8.14 — nadmiarowość środków przetwarzania informacji wystarczająca do spełnienia wymagań dostępności: architektura, dostawcy, testy przełączania.
8.15 Rejestrowanie zdarzeń
ISO/IEC 27002 8.15 — tworzenie, przechowywanie, ochrona i analiza dzienników zdarzeń: co rejestrować, jak chronić logi przed zmianą, jak je analizować.
8.16 Monitorowanie działań ★
ISO/IEC 27002 8.16 — monitorowanie sieci, systemów i aplikacji pod kątem anomalii, ustalanie wzorca normalnego zachowania, alarmowanie i ocena potencjalnych incydentów. Nowe w 2022.
8.17 Synchronizacja zegarów
ISO/IEC 27002 8.17 — synchronizacja zegarów systemów z zatwierdzonym źródłem czasu, aby logi dało się korelować i używać jako dowodu.
8.18 Używanie uprzywilejowanych programów narzędziowych
ISO/IEC 27002 8.18 — ograniczenie i ścisła kontrola programów narzędziowych zdolnych do obchodzenia zabezpieczeń systemów i aplikacji.
8.19 Instalowanie oprogramowania w systemach eksploatowanych
ISO/IEC 27002 8.19 — bezpieczne instalowanie i aktualizacja oprogramowania w systemach produkcyjnych (operational systems, nie operating systems): autoryzacja, testy, wycofanie, wsparcie.
8.20 Bezpieczeństwo sieci
ISO/IEC 27002 8.20 — zabezpieczanie, zarządzanie i kontrola sieci i urządzeń sieciowych: role, dokumentacja, szyfrowanie, uwierzytelnianie, rejestrowanie, utwardzanie.
8.21 Bezpieczeństwo usług sieciowych
ISO/IEC 27002 8.21 — identyfikacja, wdrażanie i monitorowanie mechanizmów bezpieczeństwa, poziomów usług i wymagań dla usług sieciowych, wewnętrznych i zewnętrznych.
8.22 Podział sieci
ISO/IEC 27002 8.22 — podział sieci na domeny według zaufania, krytyczności i klasyfikacji; kontrola ruchu między segmentami, sieci bezprzewodowe i goście.
8.23 Filtrowanie stron internetowych ★
ISO/IEC 27002 8.23 — zarządzanie dostępem do zewnętrznych stron internetowych w celu ograniczenia narażenia na złośliwe treści: kategorie blokowane, zasady, szkolenia. Nowe w 2022.
8.24 Stosowanie kryptografii
ISO/IEC 27002 8.24 — zasady skutecznego stosowania kryptografii i zarządzania kluczami: polityka, dobór algorytmów, cykl życia kluczy, wymagania prawne.
8.25 Bezpieczny cykl życia wytwarzania
ISO/IEC 27002 8.25 — zasady bezpiecznego wytwarzania oprogramowania i systemów: rozdzielenie środowisk, bezpieczeństwo w specyfikacji i projekcie, punkty kontrolne, repozytoria.
8.26 Wymagania bezpieczeństwa aplikacji
ISO/IEC 27002 8.26 — identyfikacja, określenie i zatwierdzenie wymagań bezpieczeństwa przy wytwarzaniu lub zakupie aplikacji, w tym usług transakcyjnych i zamówień online.
8.27 Bezpieczna architektura i zasady inżynierii systemów
ISO/IEC 27002 8.27 — ustalanie, dokumentowanie i stosowanie zasad bezpiecznej architektury i inżynierii systemów: obrona w głąb, zero trust, bezpieczeństwo domyślne.
8.28 Bezpieczne programowanie ★
ISO/IEC 27002 8.28 — zasady bezpiecznego programowania przed, w trakcie i po napisaniu kodu: standardy, przeglądy, biblioteki zewnętrzne, utrzymanie. Nowe w 2022.
8.29 Testy bezpieczeństwa w wytwarzaniu i odbiorze
ISO/IEC 27002 8.29 — procesy testowania bezpieczeństwa w cyklu wytwarzania i przy odbiorze: plan testów, środowisko, kryteria akceptacji, testy zlecone.
8.30 Wytwarzanie zlecone na zewnątrz
ISO/IEC 27002 8.30 — kierowanie, monitorowanie i przegląd prac rozwojowych zleconych na zewnątrz: umowy, prawa do kodu, wymagania bezpieczeństwa, testy, depozyt kodu.
8.31 Rozdzielenie środowisk rozwojowych, testowych i produkcyjnych
ISO/IEC 27002 8.31 — oddzielenie i zabezpieczenie środowisk rozwojowych, testowych i produkcyjnych: przenoszenie zmian, narzędzia, oznaczenia, dane produkcyjne.
8.32 Zarządzanie zmianami
ISO/IEC 27002 8.32 — kontrola zmian w środkach przetwarzania informacji i systemach: planowanie, ocena wpływu, autoryzacja, testy, komunikacja, wycofanie, zmiany awaryjne.
8.33 Dane testowe
ISO/IEC 27002 8.33 — dobór, ochrona i zarządzanie danymi testowymi; ograniczanie użycia danych produkcyjnych i osobowych w testach, autoryzacja i usuwanie.
8.34 Ochrona systemów informacyjnych podczas testów audytowych
ISO/IEC 27002 8.34 — planowanie i uzgadnianie testów audytowych i innych ocen systemów eksploatowanych (operational systems), by nie zakłóciły działania i nie naraziły danych.