ISO 27001 och underlag utifrån

Kontroller som inte finns med här handlar om policyer, människor och interna system, och kräver därför underlag inifrån organisationen. Varje fynd länkar till sin fullständiga förklaring. Fynden står på engelska, så som TrustSek rapporterar dem i dag.

Kopplingen kommer från poängmotorn och byggs ut. På några ställen pekar den ut den mildare varianten av ett fynd men inte den allvarligare, till exempel 50 eller fler subdomäner men inte 100 eller fler.

• A.5.7

  Threat intelligence

  Insamling och analys av threat intelligence motsägs av träffar i OTX, URLhaus och andra threat feeds som ingen har fångat upp.

  Fynd som talar emot kontrollen

  • Domain flagged as malicious by AlienVault OTX
  • Domain listed in URLhaus malware database
  • Active botnet command-and-control detected
  • Recent malware indicator match

• A.8.7

  Skydd mot skadlig kod

  Skyddet mot skadlig kod motsägs av träffar mot domänen i Google Safe Browsing eller URLhaus.

  Fynd som talar emot kontrollen

  • Domain flagged for malware by Google Safe Browsing
  • Domain listed in URLhaus malware database
  • Active botnet command-and-control detected
  • Recent malware indicator match

• A.8.8

  Hantering av tekniska sårbarheter

  Hanteringen av tekniska sårbarheter syns som föråldrad TLS, utgångna certifikat och saknade grundläggande webbheaders.

  Fynd som talar emot kontrollen

  • Security headers missing
  • Weak TLS version
  • SSL certificate expired
  • TLS certificate on malware blacklist

• A.8.9

  Konfigurationshantering

  Konfigurationshanteringen av säkerhetsinställningar motsägs av saknade headers, saknad HSTS och en svag DMARC-policy.

  Fynd som talar emot kontrollen

  • Security headers missing
  • HSTS header missing
  • DMARC policy set to none

• A.8.16

  Övervakningsaktiviteter

  Övervakningen motsägs av träffar i threat intelligence och uppgifter om ransomware som syns utifrån men som ingen har fångat upp.

  Fynd som talar emot kontrollen

  • Active ransomware claim: domain listed on leak site
  • Historical ransomware claim

• A.8.20

  Nätverkssäkerhet

  Nätverkssäkerhet syns utifrån som exponerade riskabla värdnamn och svag TLS på de adresserna.

  Fynd som talar emot kontrollen

  • High-Risk subdomains detected
  • Weak TLS version

• A.8.21

  Säkerhet för nätverkstjänster

  Säkerhet för nätverkstjänster kräver HTTPS med modern TLS och tvingande omdirigering.

  Fynd som talar emot kontrollen

  • No HTTPS: website served without encryption
  • Apex does not serve HTTPS directly
  • HTTPS not available
  • TLS handshake failed
  • Weak TLS version
  • HTTP not redirecting to HTTPS

• A.8.23

  Webbfiltrering

  Att webbfiltreringen fungerar motsägs av externa träffar för phishing eller skadliga webbadresser mot domänen.

  Fynd som talar emot kontrollen

  • Domain flagged for phishing by Google Safe Browsing
  • Domain listed as confirmed phishing
  • Domain listed in URLhaus malware database
  • Active botnet command-and-control detected
  • Recent malware indicator match

• A.8.24

  Användning av kryptografi

  Användning av kryptografi kräver HTTPS med ett giltigt, betrott certifikat, modern TLS och HSTS som tvingar fram det.

  Fynd som talar emot kontrollen

  • No HTTPS: website served without encryption
  • Apex does not serve HTTPS directly
  • HTTPS not available
  • TLS handshake failed
  • Weak TLS version
  • SSL certificate expired
  • TLS certificate on malware blacklist
  • Self-Signed certificate
  • HSTS header missing

• A.8.29

  Säkerhetstestning under utveckling och godkännande

  Säkerhetstestning under utvecklingen syns när produktionsmiljön saknar grundläggande säkerhetsheaders och HSTS.

  Fynd som talar emot kontrollen

  • Security headers missing
  • HSTS header missing

• NIS2⁠
• CIS Controls⁠
• SOC 2⁠

• Hantera leverantörsrisk steg för steg⁠

  Era leverantörer hanterar era uppgifter, driver era tjänster och är anslutna till era system. Så här bedömer ni deras cybersäkerhet på ett sätt som inte slutar vid ett frågeformulär.

• Cybersäkerhetslagen och leverantörerna: vad lagen kräver och vad underlag utifrån kan visa⁠

  Vad lagen och NIS2-direktivet faktiskt kräver av er leverantörskedja, och hur en kontroll av öppna uppgifter passar in i det arbetet utan att förväxlas med det.

• För företag⁠

  Bedöm er egen domän och de leverantörer ni är beroende av utifrån öppet underlag, och åtgärda det som en försäkringsgivare eller kund skulle hitta först.