8.23 Filtrowanie stron internetowych ★
W skrócie: dostęp do stron internetowych jest filtrowany tak, by użytkownicy nie trafiali na strony z malware, phishingiem i niedozwolonymi treściami.
Cel: ochrona systemów przed kompromitacją przez złośliwe oprogramowanie i zapobieganie dostępowi do nieautoryzowanych zasobów internetowych.
★ Zabezpieczenie nowe w wydaniu 2022 — nie ma odpowiednika w ISO/IEC 27002:2013.
Atrybuty
| Typ atrybutu | Wartości |
|---|---|
| Typ zabezpieczenia | #Preventive (prewencyjne) |
| Właściwości bezpieczeństwa informacji | #Confidentiality (poufność), #Integrity (integralność), #Availability (dostępność) |
| Koncepcje cyberbezpieczeństwa | #Protect (ochrona) |
| Zdolności operacyjne | #System_and_network_security (bezpieczeństwo systemów i sieci) |
| Domeny bezpieczeństwa | #Protection (ochrona) |
Znaczenie atrybutów opisuje 4.2 Tematy i atrybuty.
Wytyczne
- Organizacja ogranicza ryzyko wejścia pracowników na strony z nielegalnymi treściami albo znane z rozpowszechniania wirusów lub phishingu — np. przez blokowanie adresów IP lub domen. Część przeglądarek i narzędzi antymalware robi to automatycznie.
- Organizacja określa, jakie strony są dozwolone, a jakie nie. Rozważa blokowanie: stron z funkcją wysyłania plików (gdy nie ma uzasadnienia biznesowego), stron znanych lub podejrzewanych o złośliwe treści, serwerów sterowania (C2), stron wskazanych przez analizę zagrożeń (5.7), stron z nielegalnymi treściami.
- Przed wdrożeniem organizacja ustala zasady bezpiecznego i właściwego korzystania z zasobów internetowych, w tym ograniczenia. Zasady są aktualizowane.
- Pracownicy są szkoleni z bezpiecznego korzystania z internetu: znają zasady, kontakt w sprawach bezpieczeństwa i sposób zgłaszania wyjątków. Wiedzą, by nie ignorować ostrzeżeń przeglądarki o niebezpiecznej stronie.
- Technicznie filtrowanie może opierać się na sygnaturach, heurystyce, listach dozwolonych i zabronionych stron oraz własnej konfiguracji.
W praktyce
Przykłady i narzędzia poniżej to praktyka branżowa, nie treść normy.
- Filtrowanie DNS (np. Quad9, Cloudflare Zero Trust Gateway, Pi-hole w małej skali) jako prosty pierwszy poziom.
- Bezpieczna brama internetowa (SWG) z inspekcją TLS — z wyjątkami dla bankowości i serwisów medycznych ze względu na prywatność.
- Blokowanie lub dodatkowa kontrola świeżo zarejestrowanych domen — kampanie phishingowe często korzystają z domen zarejestrowanych tuż przed atakiem.
Powiązania
- ISO/IEC 27001:2022: Załącznik A, A.8.23 — wykaz zabezpieczeń technologicznych.
- Pokrewne zabezpieczenia: 8.7 Ochrona przed złośliwym oprogramowaniem, 5.7 Analiza zagrożeń (threat intelligence), 8.20 Bezpieczeństwo sieci, 6.3 Świadomość, edukacja i szkolenia w zakresie bezpieczeństwa informacji.
- ISO/IEC 27002:2013: brak odpowiednika — zabezpieczenie nowe.