控制項實施解析：8.9 組態管理

ISO 27001:2022 控制項要求

應建立、書面記錄、實作、監控並審查硬體、軟體、服務及網路之組態（包括安全組態）。

ISO 27002:2022 實施指引

組態標準化原則

組織應為硬體、軟體、服務和網路的安全配置定義標準範本（standard template），制訂時應考慮：

• 公開可用的組態指南（例如供應商或獨立安全組織提供的指引）
• 該系統所需的保護水準
• 組織的資訊安全政策與相關要求
• 這些安全組態在組織環境中的可行性與適用性

關鍵安全配置要素

標準範本中應納入的安全配置重點：

• a) 最小化具特權／管理員存取權限的身份數量
• b) 禁用不必要、未使用或不安全的身份
• c) 禁用或限制不必要的功能與服務
• d) 限制對強大實用程式（utility programs）與主機參數設置的存取
• e) 同步時鐘
• f) 安裝後立即更改預設的驗證資訊（如預設密碼）與安全參數
• g) 調用逾時（timeout）機制，於預定的不活動時段後自動登出
• h) 驗證是否符合授權（許可）要求

文件與記錄管理

所有配置應記錄於配置資料庫（CMDB）或範本中，記錄內容應包含：

• 資產所有者或聯絡人
• 負責維護該配置的人員
• 配置准予（核准）與實施的日期
• 審查日期或審查頻率
• 與其他配置的關聯與關係

監控與審查

• 使用系統管理工具持續監控組態
• 定期審查配置，驗證設定是否正確、評估密碼強度與已執行的活動
• 可將實際配置與定義的目標範本比較，透過自動化或手動分析找出並解決偏差

原始頁面：8.9 組態管理（舊站）