8.21 Bezpieczeństwo usług sieciowych
W skrócie: dla każdej usługi sieciowej — własnej lub kupionej — wiadomo, jakie ma zabezpieczenia i poziom usług, i jest to sprawdzane.
Cel: zapewnienie bezpieczeństwa korzystania z usług sieciowych.
Atrybuty
| Typ atrybutu | Wartości |
|---|---|
| Typ zabezpieczenia | #Preventive (prewencyjne) |
| Właściwości bezpieczeństwa informacji | #Confidentiality (poufność), #Integrity (integralność), #Availability (dostępność) |
| Koncepcje cyberbezpieczeństwa | #Protect (ochrona) |
| Zdolności operacyjne | #System_and_network_security (bezpieczeństwo systemów i sieci) |
| Domeny bezpieczeństwa | #Protection (ochrona) |
Znaczenie atrybutów opisuje 4.2 Tematy i atrybuty.
Wytyczne
- Organizacja identyfikuje mechanizmy bezpieczeństwa, poziomy usług i wymagania dla usług sieciowych i wpisuje je w umowy, także z dostawcami zewnętrznymi.
- Zdolność dostawcy do bezpiecznego zarządzania usługą ustala się i regularnie monitoruje. Uzgadnia się prawo do audytu.
- Uwzględnia się certyfikaty bezpieczeństwa dostawców.
- Organizacja ustala zasady korzystania z sieci i usług sieciowych: do jakich sieci i usług wolno się łączyć, wymagania uwierzytelniania, procedury autoryzacji, zabezpieczenia dostępu (np. VPN, sieci bezprzewodowe), środki dostępu (np. tylko z określonych urządzeń), czas i lokalizację dostępu, monitorowanie użycia.
- Usługi sieciowe obejmują m.in. łącza, usługi sieci prywatnych, rozwiązania zabezpieczeń sieciowych (zapory, systemy wykrywania włamań) i sieci zarządzane.
- Zabezpieczenia usług mogą obejmować: uwierzytelnianie, szyfrowanie, kontrolę połączeń, buforowanie (np. w sieciach dostarczania treści) i procedury ograniczające dostęp do usług.
W praktyce
Przykłady i narzędzia poniżej to praktyka branżowa, nie treść normy.
- SLA z operatorem łączy obejmujące czas reakcji na awarię i ochronę przed DDoS.
- Ocena dostawców usług zarządzanych (np. SOC, zapora w chmurze) jak dostawców krytycznych (5.19).
- Rejestr usług sieciowych z właścicielem i wymaganiami — także usług „w tle”, jak DNS czy CDN.
Powiązania
- ISO/IEC 27001:2022: Załącznik A, A.8.21 — wykaz zabezpieczeń technologicznych.
- Pokrewne zabezpieczenia: 8.20 Bezpieczeństwo sieci, 5.19 Bezpieczeństwo informacji w relacjach z dostawcami, 5.20 Uwzględnianie bezpieczeństwa informacji w umowach z dostawcami, 5.22 Monitorowanie, przegląd i zarządzanie zmianami usług dostawców.
- ISO/IEC 27002:2013: 13.1.2.