Målet med prinsippet: Virksomheten har kontroll på informasjonsflyten mellom ulike deler av systemer slik at enheter kun kan kommunisere sammen etter vedtatte regler. Virksomheten har også kontroll på informasjonsflyten inn og ut av virksomheten.

Hvorfor er dette viktig?

Et dataangrep starter ofte med overtakelse av en mindre viktig datamaskin. En angriper ønsker normalt å bevege seg videre til en annen del av nettverket for å øke sine rettigheter. Det er viktig med kontrollert dataflyt i virksomhetens systemer av flere grunner, blant annet for å:

  • hindre at kompromittering av enhet eller sone kan spre seg videre i nettverket. Med god kontroll på dataflyt kan man begrense skaden.
  • tvinge datatrafikk til å gå igjennom virksomhetens sikkerhetstiltak.
  • isolere enheter som er spesielt kritiske, sårbare eller eksponerte.
Anbefalte tiltak: Kontroller dataflyt

Kontrollert dataflyt er viktig uansett hvor fysisk eller virtualisert («sky-basert») infrastruktur man har.

Anbefalte tiltak: Kontroller dataflyt
IDBeskrivelse
2.5.1Styr dataflyt mellom nettverks-soner. a) Bruk oppdelingen i prinsipp 2.2 - Etabler en sikker IKT-arkitektur til å filtrere ønsket (godkjentlistet) nettverkstrafikk mellom soner og mot Internett. Filtrering kan være basert på kriterier som IP-adresse, sone-identifikator, protokoll, applikasjon, bruker, mm. b) Reglene (inkl. endringer) for trafikken mellom sonene bør dokumenteres og begrunnes. c) Sjekk regelmessig at den faktiske konfigurasjonen for dataflyt er i tråd med ønsket dataflyt.
2.5.2Begrens tilgangen til interne tjenester fra eksterne lokasjoner. a) Tillat kun bruk av virksomhetsforvaltede enheter for å nå kritiske interne tjenester. b) Tilgang til interne tjenester fra ikkeforvaltede og private enheter bør kun tillates etter en kritikalitetsvurdering av tjenesten. Det kan for eksempel være behov for tilgang til e-post og timeregistrering. I slike tilfeller bør risikoreduserende tiltak vurderes, for eksempel ved å tilby mindre funksjonalitet, kortere søkehistorikk, ett ekstra lag med autentisering osv.
2.5.3 Sperr all direkte-trafikk mellom klienter. Applikasjoner som har behov for «peer-to-peer» bør i stedet benytte en server-tjeneste. Alternativt reduser direkte trafikk mellom klienter til et absolutt minimum og basert på tjenstlig behov.
2.5.4Isoler utstyr som er sårbart og har lav tillitt, eksempelvis: a) Utdaterte applikasjoner og gamle servere med ikke-støttede operativsystemer bør isoleres (filtrerings-kriterier som nevnt i 2.5.1.a samt underlegges stram aksesskontroll) slik at kun én godt sikret server/proxy har direkte tilgang. b) Skrivere med svak sikkerhetskonfigurasjon og manglende sikkerhetsoppdatering.
2.5.5Styr dataflyten til spesielt eksponerte tjenester. a) Eksponerte tjenester som web og epost med eksternt innhold til brukerne bør kontrolleres spesielt. b) Det bør ikke være mulighet for direkte dataflyt mellom slike eksponerte tjenester og virksomhetens mest kritiske tjenester.
2.5.6 Beskytt spesielt kritiske tjenester med egen dataflyt. a) Vurder hvilke tjenester som er spesielt kritiske og som bør ha egne regler for dataflyt. Tjenesten for sikkerhetskopiering kan være et eksempel. b) Vurder validering av kritiske tjenester på applikasjonslaget, f.eks. med en applikasjonsbrannmur.
2.5.7Ha kontroll på trafikk mellom virksomheten og samarbeidspartnere/ tjenesteleverandører. Angrep kan treffe virksomheten via systemene til samarbeidspartnere eller tjenesteleverandører. Trafikken til og fra disse bør styres til kun de relevante delene av virksomhetens system.
2.5.8Styr all trafikk (ikke bare interne tjenester) til og fra forvaltede mobile klienter via virksomhetens nett, og ikke direkte til internett. Forvaltede mobile klienter bør alltid (uansett hvor de befinner seg) underlegges sikkerhetsfunksjonalitet i virksomhetens systemer, bl.a. for å hindre og detektere datalekkasje fra kompromitterte klienter.
Utdypende informasjon

Hvordan kontrollere dataflyt: For å kontrollere dataflyt brukes bl.a. sone-inndelingen i prinsipp 2.2 - Etabler en sikker IKT-arkitektur. Verktøyene for å kontrollere dataflyt kan f.eks. være svitsjer, rutere, brannmurer (også verts-brannmurer), domeneskiller, proxyer, DMZ-soner og nettverksbaserte deteksjons- (IDS) og beskyttelsessystemer (IPS). Virksomheter med et høyt sikkerhetsbehov bør vurdere å bruke flere verktøy for å ha forsvar i dybden.

Det er viktig at dataflyten oppleves som hensiktsmessig. I motsatt fall risikerer virksomheten at sluttbrukere finner sine egne og gjerne usikre løsninger, for eksempel minnepinner eller privat skylagring.