Compliance
Din betroede partner inden for sikkerhed og overholdelse.
ISO/IEC 27001:2022
ISO/IEC 27001:2022 er den internationale standard for at opbygge og løbende forbedre et ledelsessystem for informationssikkerhed (ISMS), med stærkt fokus på risikobaserede kontroller, styring af adgang og sporbarhed fra ende til anden i hybride miljøer og cloudmiljøer. Denne side viser en kortlægning af ISO 27001-kontroller, der er tilpasset virkelige forretningsanvendelser, og viser, hvordan Devolutions' produktfunktioner direkte understøtter sikker fjernadgang, styring af privilegeret adgang og legitimationsoplysninger, identitetsstyring og reviderbar ansvarlighed.
5. Organisatoriske kontroller
ISO27001-kontroller
Devolutions-funktion
Tilknyttede produkter
5.3 Funktionsadskillelse
“Modstridende opgaver og modstridende ansvarsområder skal adskilles.”
Rolleadskillelse, RBAC
5.9 Fortegnelse over information og andre tilknyttede aktiver
“En fortegnelse over information og andre tilknyttede aktiver, herunder ejere, skal udarbejdes og vedligeholdes.”
Fortegnelse over adgang, identiteter og sessioner
5.15 Adgangsstyring
“Regler for styring af fysisk og logisk adgang til information og andre tilknyttede aktiver skal fastlægges og implementeres ud fra forretningsmæssige krav og krav til informationssikkerhed.”
Logisk adgangsstyring, PAM, finkornede tilladelser
5.16 Identitetsstyring
“Identiteters fulde livscyklus skal styres.”
Integration med AD, Azure AD, SCIM, SSO
5.17 Autentifikationsinformation
“Tildeling og styring af autentifikationsinformation skal styres af en ledelsesproces, herunder vejledning af personalet i hensigtsmæssig håndtering af autentifikationsinformation.”
Krypteret boks, rotation af adgangskoder, MFA
5.18 Adgangsrettigheder
“Adgangsrettigheder til information og andre tilknyttede aktiver skal tildeles, gennemgås, ændres og fjernes i overensstemmelse med organisationens emnespecifikke politik og regler for adgangsstyring.”
Styring af adgangens livscyklus
5.23 Informationssikkerhed ved brug af cloud-tjenester
“Processer for anskaffelse, brug, styring og ophør af brug af cloud-tjenester skal fastlægges i overensstemmelse med organisationens krav til informationssikkerhed.”
Styring af cloud-adgang, håndtering af hemmeligheder, sikker tunneling
5.24 Planlægning og forberedelse af håndtering af informationssikkerhedshændelser
“Organisationen skal planlægge og forberede håndtering af informationssikkerhedshændelser ved at definere, etablere og kommunikere processer, roller og ansvar for håndtering af informationssikkerhedshændelser.”
Revisionsspor, logning, hændelsesberedskab
5.25 Vurdering af og beslutning om informationssikkerhedshændelser
“Organisationen skal vurdere informationssikkerhedshændelser og beslutte, om de skal kategoriseres som informationssikkerhedsincidenter.”
Registrering/analyse via logfiler
5.26 Reaktion på informationssikkerhedsincidenter
“Informationssikkerhedsincidenter skal håndteres i overensstemmelse med de dokumenterede procedurer.”
Afhjælpning (rotation af hemmeligheder), hændelseshåndtering
5.27 Læring fra informationssikkerhedsincidenter
“Viden fra informationssikkerhedsincidenter skal bruges til at styrke og forbedre kontrollerne for informationssikkerhed.”
Revisionshistorik til at drive forbedringer
5.28 Indsamling af bevis
“Organisationen skal etablere og implementere procedurer for identifikation, indsamling, erhvervelse og bevaring af bevis relateret til informationssikkerhedshændelser.”
Sessionsoptagelse, tidsstemplede logfiler
6. Personrelaterede kontroller
ISO27001-kontroller
Devolutions-funktion
Tilknyttede produkter
6.7 Fjernarbejde
“Der skal implementeres sikkerhedsforanstaltninger, når personalet arbejder på afstand, for at beskytte information, der tilgås, behandles eller lagres uden for organisationens lokaler.”
Sikker fjernadgang, MFA, sikre tunneler
7. Fysiske kontroller
ISO27001-kontroller
Devolutions-funktion
Tilknyttede produkter
7.10 Lagringsmedier
“Lagringsmedier skal styres gennem deres livscyklus for anskaffelse, brug, transport og bortskaffelse i overensstemmelse med organisationens klassifikationsskema og håndteringskrav.”
Erstat lokal lagring med en krypteret central boks
8. Teknologiske kontroller
ISO27001-kontroller
Devolutions-funktion
Tilknyttede produkter
8.1 Brugeres slutpunktsenheder
“Information, der er lagret på, behandles af eller er tilgængelig via brugeres slutpunktsenheder, skal beskyttes.”
Ingen lokale hemmeligheder; injektion af legitimationsoplysninger
8.2 Privilegerede adgangsrettigheder
“Tildeling og brug af privilegerede adgangsrettigheder skal begrænses og styres.”
Fuld PAM, sessionsoptagelse
8.3 Begrænsning af adgang til information
“Adgang til information og andre tilknyttede aktiver skal begrænses i overensstemmelse med den fastlagte emnespecifikke politik for adgangsstyring.”
RBAC, segmentering
8.4 Adgang til kildekode
“Læse- og skriveadgang til kildekode, udviklingsværktøjer og softwarebiblioteker skal styres hensigtsmæssigt.”
Sikker opbevaring af hemmeligheder til DevOps og CI/CD
8.5 Sikker autentifikation
“Sikre autentifikationsteknologier og -procedurer skal implementeres ud fra begrænsninger i adgang til information og den emnespecifikke politik for adgangsstyring.”
MFA, FIDO2, OTP, push
8.7 Beskyttelse mod malware
“Beskyttelse mod malware skal implementeres og understøttes af passende brugerbevidsthed.”
Mindre phishing via injektion af legitimationsoplysninger
8.9 Konfigurationsstyring
“Konfigurationer, herunder sikkerhedskonfigurationer, af hardware, software, tjenester og netværk skal fastlægges, dokumenteres, implementeres, overvåges og gennemgås.”
Standardisering af forbindelser og adgang
8.11 Datamaskering
“Datamaskering skal anvendes i overensstemmelse med organisationens emnespecifikke politik for adgangsstyring og andre relaterede emnespecifikke politikker samt forretningskrav, under hensyntagen til gældende lovgivning.”
Injektion af legitimationsoplysninger (hemmeligheden vises aldrig), RBAC
8.12 Forebyggelse af datalækage
“Foranstaltninger til forebyggelse af datalækage skal anvendes på systemer, netværk og alle andre enheder, der behandler, lagrer eller overfører følsomme oplysninger.”
Boks + sessionsproxy, RBAC
8.13 Sikkerhedskopiering af information
“Sikkerhedskopier af information, software og systemer skal vedligeholdes og testes regelmæssigt i overensstemmelse med den aftalte emnespecifikke politik for sikkerhedskopiering.”
Krypterede sikkerhedskopier i DVLS/Devolutions Cloud
8.15 Logning
“Logfiler, der registrerer aktiviteter, undtagelser, fejl og andre relevante hændelser, skal oprettes, lagres, beskyttes og analyseres.”
Fuldt revisionsspor
8.16 Overvågningsaktiviteter
“Netværk, systemer og applikationer skal overvåges for afvigende adfærd, og der skal træffes passende foranstaltninger for at vurdere potentielle informationssikkerhedsincidenter.”
Overvågning + sessionsoptagelse
8.18 Brug af privilegerede hjælpeprogrammer
“Brugen af hjælpeprogrammer, der kan tilsidesætte system- og applikationskontroller, skal begrænses og styres stramt.”
PAM, begrænsninger af administratorværktøjer
8.22 Adskillelse af netværk
“Grupper af informationstjenester, brugere og informationssystemer skal adskilles i organisationens netværk.”
Segmentering via Gateway
8.24 Brug af kryptografi
“Regler for effektiv brug af kryptografi, herunder styring af kryptografiske nøgler, skal defineres og implementeres.”
AES-256-kryptering, TLS 1.2+
8.25 Sikker udviklingslivscyklus
“Regler for sikker udvikling af software og systemer skal fastlægges og anvendes.”
Håndtering af hemmeligheder i dev/test/prod
8.29 Sikkerhedstest i udvikling og accept
“Processer for sikkerhedstest skal defineres og implementeres i udviklingslivscyklussen.”
Sikrede testhemmeligheder
8.31 Adskillelse af udviklings-, test- og produktionsmiljøer
“Udviklings-, test- og produktionsmiljøer skal adskilles og sikres.”
Logisk adskillelse via bokse / RBAC
8.32 Ændringsstyring
“Ændringer af informationsbehandlingsfaciliteter og informationssystemer skal være underlagt procedurer for ændringsstyring.”
Revision og sporbarhed af ændringer
8.33 Testinformation
“Testinformation skal udvælges, beskyttes og styres hensigtsmæssigt.”
Beskyttelse af testhemmeligheder
Ressourcer
Udforsk flere indsigter og værktøjer, så du kan holde dig på forkant med it-sikkerheden.
Devolutions-blog
Sådan hjælper Devolutions organisationer med at opfylde centrale IAM-kontroller i ISO/IEC 27001:2022
Read the articles
Conveyor Devolutions
Central adgang til Devolutions' juridiske dokumentation og compliance-certificeringer.
Learn more
Devolutions-dokumentation
Knappen Sikkerhed, jura og privatliv sender dig videre til vores websted, hvor du kan finde alle relevante ressourcer
Consult the documentation
Need help navigating compliance?
Our team of experts can help you understand how Devolutions solutions meet your compliance requirements and guide you through the process.
