8.7 Ochrona przed złośliwym oprogramowaniem
W skrócie: organizacja łączy narzędzia wykrywające złośliwe oprogramowanie z zabezpieczeniami organizacyjnymi i wiedzą użytkowników.
Cel: zapewnienie, że informacje i inne powiązane aktywa są chronione przed złośliwym oprogramowaniem.
Atrybuty
| Typ atrybutu | Wartości |
|---|---|
| Typ zabezpieczenia | #Preventive (prewencyjne), #Detective (wykrywające), #Corrective (korygujące) |
| Właściwości bezpieczeństwa informacji | #Confidentiality (poufność), #Integrity (integralność), #Availability (dostępność) |
| Koncepcje cyberbezpieczeństwa | #Protect (ochrona), #Detect (wykrywanie) |
| Zdolności operacyjne | #Information_protection (ochrona informacji), #System_and_network_security (bezpieczeństwo systemów i sieci) |
| Domeny bezpieczeństwa | #Protection (ochrona), #Defence (obrona) |
Znaczenie atrybutów opisuje 4.2 Tematy i atrybuty.
Wytyczne
- Ochrona opiera się na oprogramowaniu wykrywającym i naprawczym, ale też na świadomości, kontroli dostępu i zarządzaniu zmianami. Samo oprogramowanie antywirusowe nie wystarcza.
- Norma wymienia m.in.: zasady zakazujące nieautoryzowanego oprogramowania, listy dozwolonych aplikacji, blokowanie znanych lub podejrzanych stron, ograniczanie podatności, które malware może wykorzystać (8.8), regularne przeglądy oprogramowania i danych systemów krytycznych.
- Oprogramowanie wykrywające skanuje pliki z sieci i nośników, załączniki i pobrania, strony internetowe — przed użyciem i regularnie.
- Narzędzia muszą być aktualne, z automatycznymi aktualizacjami sygnatur i silnika.
- Ustala się procedury reagowania na infekcję i odtwarzania, w tym kopie zapasowe (8.13) i plany ciągłości.
- Organizacja śledzi informacje o nowym malware i ostrzega użytkowników — weryfikując, czy ostrzeżenia są prawdziwe, a nie są fałszywymi alarmami.
- Gdzie to możliwe, izoluje się środowiska, w których malware mógłby mieć katastrofalne skutki. Niektóre narzędzia mogą zakłócać działanie systemów — trzeba to uwzględnić.
W praktyce
Przykłady i narzędzia poniżej to praktyka branżowa, nie treść normy.
- EDR lub XDR zamiast klasycznego antywirusa — wykrywanie zachowań, izolacja hosta, analiza po incydencie.
- Kontrola aplikacji (AppLocker, WDAC) na serwerach i stacjach o podwyższonym ryzyku.
- Kopie zapasowe odporne na ransomware: offline lub niezmienne (zob. 8.13).
- Wyłączenie makr z internetu w pakiecie biurowym.
Powiązania
- ISO/IEC 27001:2022: Załącznik A, A.8.7 — wykaz zabezpieczeń technologicznych.
- Pokrewne zabezpieczenia: 8.1 Urządzenia końcowe użytkowników, 8.8 Zarządzanie podatnościami technicznymi, 8.13 Kopie zapasowe informacji, 8.23 Filtrowanie stron internetowych, 6.3 Świadomość, edukacja i szkolenia w zakresie bezpieczeństwa informacji.
- ISO/IEC 27002:2013: 12.2.1.