Przejdź do głównej zawartości

8.9 Zarządzanie konfiguracją ★

W skrócie: sprzęt, oprogramowanie, usługi i sieci mają ustalone bezpieczne konfiguracje bazowe, a odstępstwa od nich są wykrywane i korygowane.

Cel: zapewnienie, że sprzęt, oprogramowanie, usługi i sieci działają poprawnie z wymaganymi ustawieniami bezpieczeństwa, a konfiguracja nie zostanie zmieniona bez autoryzacji lub błędnie.

★ Zabezpieczenie nowe w wydaniu 2022 — nie ma odpowiednika w ISO/IEC 27002:2013.

Atrybuty​

Typ atrybutuWartości
Typ zabezpieczenia#Preventive (prewencyjne)
Właściwości bezpieczeństwa informacji#Confidentiality (poufność), #Integrity (integralność), #Availability (dostępność)
Koncepcje cyberbezpieczeństwa#Protect (ochrona)
Zdolności operacyjne#Secure_configuration (bezpieczna konfiguracja)
Domeny bezpieczeństwa#Protection (ochrona)

Znaczenie atrybutów opisuje 4.2 Tematy i atrybuty.

Wytyczne​

  • Organizacja określa i wdraża procesy i narzędzia egzekwowania konfiguracji (w tym bezpieczeństwa) dla sprzętu, oprogramowania, usług i sieci — zarówno nowo instalowanych, jak i systemów eksploatowanych przez cały ich cykl życia.
  • Role i odpowiedzialności za konfigurację są przypisane, a zmiany konfiguracji przechodzą przez zarządzanie zmianami (8.32).
  • Szablony bezpiecznej konfiguracji opracowuje się na podstawie publicznych wytycznych (np. dostawców, niezależnych organizacji), wymaganego poziomu ochrony, polityk organizacji i wykonalności. Przegląda się je okresowo i przy nowych zagrożeniach lub podatnościach.
  • Szablony uwzględniają m.in.: minimalną liczbę kont uprzywilejowanych, wyłączenie zbędnych funkcji i usług, zmianę domyślnych haseł i kont, synchronizację czasu (8.17), ograniczenie dostępu do narzędzi administracyjnych, wylogowanie po bezczynności.
  • Konfiguracje są zapisywane, a zmiany rejestrowane. Zapisy przechowuje się bezpiecznie, np. w bazie konfiguracji lub szablonach.
  • Konfiguracje monitoruje się narzędziami zarządzania systemami i regularnie przegląda. Odchylenia od szablonu wykrywa się i koryguje — automatycznie przywracając konfigurację docelową albo po analizie.
  • Dokumentacja konfiguracji zawiera m.in. właściciela, datę ostatniej zmiany, wersję szablonu i powiązania z innymi elementami konfiguracji.

W praktyce​

Przykłady i narzędzia poniżej to praktyka branżowa, nie treść normy.

  • Benchmarki CIS i wytyczne STIG jako punkt wyjścia do własnych szablonów.
  • Infrastruktura jako kod (Terraform, Ansible) i GitOps — konfiguracja w repozytorium, zmiany przez przegląd, wykrywanie dryfu.
  • Skanery konfiguracji (np. OpenSCAP, narzędzia CSPM w chmurze) raportujące zgodność z szablonem.

Powiązania​