{"licence":{"name":"CC BY-SA 4.0","spdx":"CC-BY-SA-4.0","url":"https://creativecommons.org/licenses/by-sa/4.0/","attribution":"Atlas, a bilingual technical dictionary (https://cmaintz.github.io/tech-atlas/)"},"id":"security/technical-control","url":{"en":"https://cmaintz.github.io/tech-atlas/en/terms/security/technical-control/","da":"https://cmaintz.github.io/tech-atlas/da/terms/security/technical-control/"},"term":{"en":"Technical control","da":"Teknisk kontrol"},"aka":{"en":["technological control","logical control"],"da":["teknisk foranstaltning","teknologisk kontrol"]},"domain":["security"],"cluster":"controls","layer":"host","status":"current","summary":{"en":"A safeguard built into hardware or software, which works automatically once it is set up.","da":"En beskyttelse, der er bygget ind i hardware eller software og virker automatisk, når den først er sat op."},"body":{"formal":{"en":"A security control carried out by technology rather than by people or written rules - for example encryption, MFA, a firewall, backups or logging - one of the four control themes in ISO 27002.","da":"En sikkerhedskontrol, der udføres af teknologi frem for af mennesker eller skrevne regler - fx kryptering, MFA, en firewall, backup eller logning - et af de fire kontroltemaer i ISO 27002."},"plain":{"en":"Like the automatic lock on a car that clicks shut when you walk away - it protects you whether or not you remember.","da":"Som den automatiske lås på en bil, der klikker i, når man går fra den - den beskytter, uanset om man husker det."},"inPractice":{"en":"At a Danish university, the IT department no longer just asks staff not to plug in unknown USB sticks; it blocks them on every staff laptop through one central setting.","da":"På et dansk universitet nøjes IT-afdelingen ikke længere med at bede de ansatte om ikke at sætte ukendte USB-nøgler i; den blokerer dem på alle de ansattes bærbare med én central indstilling."},"whyItMatters":{"en":"Machines apply a rule the same way every time, but a technical control set up wrongly gives false comfort, so it still needs rules and people around it.","da":"Maskiner håndhæver en regel ens hver gang, men en teknisk kontrol, der er sat forkert op, giver falsk tryghed, så den har stadig brug for regler og mennesker omkring sig."}},"deepDive":{"en":"ISO/IEC 27002:2022 clause 8 groups 34 technological controls, from 8.1 (user endpoint devices) to 8.34 (protection of information systems during audit testing). They cluster into identity and access (8.2 privileged access rights, 8.3 information access restriction, 8.4 access to source code, 8.5 secure authentication), host and malware protection (8.7), vulnerability and configuration management (8.8, 8.9), data protection (8.10 information deletion, 8.11 data masking, 8.12 data leakage prevention, 8.24 use of cryptography), resilience (8.13 backup, 8.14 redundancy), detection (8.15 logging, 8.16 monitoring activities, 8.17 clock synchronisation), network security (8.20-8.23, including web filtering) and secure development (8.25-8.33). Controls 8.9, 8.10, 8.11, 8.12, 8.16, 8.23 and 8.28 (secure coding) were new in the 2022 edition.\n\nThe US literature uses \"technical\" or \"logical\" controls in the same sense, and NIST SP 800-53 historically labelled families as management, operational or technical before dropping those class designations in Revision 4. As with the other ISO themes, the category says what implements the control, not what it does: a technical control may be preventive (a firewall rule, MFA), detective (an IDS signature, file integrity monitoring) or corrective (automatic rollback, restore from backup), which ISO 27002 captures in its separate control-type attribute.\n\nThe main advantage of technical controls is consistency and scale: they apply the same decision to every request at machine speed and produce evidence (logs, configuration states) that can be checked automatically. Their characteristic failure modes are different from those of organisational or people controls. Misconfiguration silently removes protection while the dashboard stays green; exceptions accumulate (a firewall \"any-any\" rule added for a migration and never removed); controls fail open under load or error; coverage gaps leave assets outside the control's reach; and controls can be bypassed or disabled by an attacker with sufficient privilege. Technical controls therefore need their own monitoring - alerting when an EDR sensor goes silent, configuration compliance scanning, periodic rule reviews - and an organisational owner.\n\nEvery technical control rests on organisational decisions: a DLP rule enforces a classification scheme, an access control list enforces an access policy, a patch deployment enforces a remediation SLA. Without the policy, the technical control encodes an undocumented guess. Conversely, where a rule can be technically enforced it usually should be, because enforcement is more reliable than instruction - the logic behind \"technical where possible, organisational where necessary\". In GDPR and NIS2 language these are the \"technical\" half of technical and organisational measures (GDPR Art. 32, NIS2 Art. 21(1)), and a compliance assessment has to look at both halves together.","da":"ISO/IEC 27002:2022 afsnit 8 samler 34 teknologiske kontroller, fra 8.1 (brugerendepunktsudstyr) til 8.34 (beskyttelse af informationssystemer under revisionstest). De grupperer sig i identitet og adgang (8.2 privilegerede adgangsrettigheder, 8.3 begrænsning af adgang til information, 8.4 adgang til kildekode, 8.5 sikker autentificering), beskyttelse af værter og mod malware (8.7), sårbarheds- og konfigurationsstyring (8.8, 8.9), databeskyttelse (8.10 sletning af information, 8.11 datamaskering, 8.12 forebyggelse af datalæk, 8.24 brug af kryptografi), robusthed (8.13 backup, 8.14 redundans), detektion (8.15 logning, 8.16 overvågningsaktiviteter, 8.17 tidssynkronisering), netværkssikkerhed (8.20-8.23, herunder webfiltrering) og sikker udvikling (8.25-8.33). Kontrollerne 8.9, 8.10, 8.11, 8.12, 8.16, 8.23 og 8.28 (sikker kodning) var nye i 2022-udgaven.\n\nAmerikansk litteratur bruger \"technical\" eller \"logical controls\" i samme betydning, og NIST SP 800-53 mærkede tidligere kontrolfamilierne som management, operational eller technical, før disse klassebetegnelser blev droppet i revision 4. Som ved de øvrige ISO-temaer siger kategorien, hvad der udfører kontrollen, ikke hvad den gør: en teknisk kontrol kan være forebyggende (en firewallregel, MFA), detekterende (en IDS-signatur, file integrity monitoring) eller korrigerende (automatisk tilbagerulning, gendannelse fra backup), hvilket ISO 27002 fanger i den separate attribut for kontroltype.\n\nDen store fordel ved tekniske kontroller er konsistens og skala: de træffer samme afgørelse for hver anmodning i maskinhastighed og efterlader dokumentation (logs, konfigurationstilstande), som kan kontrolleres automatisk. Deres typiske fejlmåder er anderledes end organisatoriske og menneskelige kontrollers. Fejlkonfiguration fjerner stille beskyttelsen, mens dashboardet forbliver grønt; undtagelser hober sig op (en \"any-any\"-regel i firewallen tilføjet til en migrering og aldrig fjernet); kontroller fejler åbent under belastning eller fejl; huller i dækningen efterlader aktiver uden for kontrollens rækkevidde; og en angriber med tilstrækkelige rettigheder kan omgå eller slå kontroller fra. Tekniske kontroller har derfor brug for deres egen overvågning - alarm når en EDR-sensor går tavs, scanning af konfigurationsoverholdelse, periodisk gennemgang af regler - og en organisatorisk ejer.\n\nEnhver teknisk kontrol hviler på organisatoriske beslutninger: en DLP-regel håndhæver en klassifikationsordning, en adgangsliste håndhæver en adgangspolitik, en patchudrulning håndhæver en frist for afhjælpning. Uden politikken koder den tekniske kontrol et udokumenteret gæt. Omvendt bør en regel, der kan håndhæves teknisk, som regel også håndhæves teknisk, fordi håndhævelse er mere pålidelig end instruktion - logikken bag \"teknisk hvor muligt, organisatorisk hvor nødvendigt\". I databeskyttelsesforordningens og NIS2's sprog er de den \"tekniske\" halvdel af tekniske og organisatoriske foranstaltninger (forordningens art. 32, NIS2 art. 21, stk. 1), og en vurdering af compliance må se på begge halvdele samlet."},"edges":[{"type":"kind-of","to":"security/control","confidence":"high","strength":"normal"},{"type":"mitigates","to":"security/vulnerability","why":{"en":"Settings, updates and filters close or shield technical weaknesses directly.","da":"Indstillinger, opdateringer og filtre lukker eller afskærmer tekniske svagheder direkte."},"confidence":"high","strength":"normal"},{"type":"used-with","to":"security/zero-trust","confidence":"high","strength":"normal"}],"depth":0,"sources":[{"title":"Cyber Security Fast Track - Kursuskompendium, Modul 1 og Ordliste (Kontrol)","tier":"course-material"},{"title":"ISO/IEC 27002:2022 (clause 8 - Technological controls)","tier":"standard"}],"draft":true}