ISO 27001:2022 Bilag A 8.25 – Sikker udviklingslivscyklus

• Se ISO 27002:2022 Kontrol 8.25 for mere information.
• Se ISO 27001:2013 Bilag A 14.2.1 for mere information.

Sikring af sikkerhed gennem hele softwareudviklingens livscyklus (SDLC) i ISO 27001

I 90'erne implementerede virksomheder kun sikkerhedstests for softwareprodukter og -systemer i den sidste fase af softwareudviklingens livscyklus.

Konsekvensen af ​​deres uagtsomhed var, at de ikke opdagede og rettede væsentlige sårbarheder, fejl og mangler.

Organisationer bør sikre, at der tages hensyn til sikkerhedsproblemer fra starten, fra planlægning til implementering. Dette vil sætte dem i stand til at opdage og løse eventuelle sikkerhedssårbarheder tidligt.

ISO 27001: 2022 Bilag A 8.25 beskriver de regler, organisationer bør indføre for at skabe sikre softwareprodukter og -systemer.

Formål med ISO 27001:2022 bilag A 8.25

ISO 27001:2022 Annex A 8.25 giver organisationer mulighed for at udarbejde informationssikkerhedsstandarder og implementere dem på tværs af hele den sikre udviklingslivscyklus for softwareprodukter og -systemer.

Ejerskab af bilag A 8.25

Chief Information Security Officer har pligt til at udvikle, eksekvere og opretholde regler og sikkerhedsforanstaltninger for at beskytte udviklingens livscyklus.

Generel vejledning om ISO 27001:2022 Bilag A 8.25 Overholdelse

ISO 27001: 2022 Bilag A Kontrol 8.25 pålægger, at organisationer overholder 10 krav til konstruktion af sikre softwareprodukter, systemer og arkitektur:

1. Udviklings-, test- og produktionsmiljøer bør holdes adskilt i overensstemmelse med ISO 27001:2022 Annex A 8.31.
2. Organisationer bør tilbyde vejledning vedrørende:
• Sikkerhed er en afgørende faktor i softwareudvikling i henhold til ISO 27001:2022 Annex A Kontrol 8.27 og 8.28. Det skal derfor tages i betragtning, når en metode udarbejdes.
• Sørg for, at hvert programmeringssprog har sikker kodning, der overholder ISO 27001:2022 Annex A 8.28.
3. Organisationer bør implementere sikkerhedskrav i henhold til ISO 27001:2022 Annex A 5.8 under specifikations- og designfasen.
4. Organisationer bør udvikle en sikkerhedstjekliste i overensstemmelse med ISO 27001:2022 bilag A 5.8.
5. Organisationer bør deltage i sikkerheds- og systemtests, såsom penetrationstest og kodescanning, i overensstemmelse med bilag A kontrol 8.29 i ISO 27001:2022.
6. Organisationer skal etablere sikre arkiver til lagring af kildekoder og konfigurationer i overensstemmelse med bilag A kontrol 8.4 og 8.9.
7. Organisationer bør sikre sikkerhed i deres versionskontrol i henhold til ISO 27001:2022 Annex A 8.32.
8. Organisationer bør garantere, at alt personale, der er involveret i udvikling, har den nødvendige viden om applikationssikkerhed, og den relevante uddannelse som defineret i ISO 27001:2022 bilag A 8.28 er givet.
9. Udviklere bør have kapacitet til at genkende og afværge sikkerhedsfejl i overensstemmelse med ISO 27001:2022 Bilag A 8.28.
10. Organisationer skal overholde licensreglerne og vurdere, om der er nogen levedygtige, omkostningseffektive alternativer i overensstemmelse med ISO 27001:2022 bilag A 8.30.

Hvis en organisation beslutter sig for at outsource udviklingsopgaver, skal den sikre, at eventuelle eksterne agenter overholder deres regler og protokoller vedrørende sikker udvikling af software og systemer.

Supplerende vejledning om ISO 27001:2022 Bilag A 8.25

ISO 27001:2022 Annex A 8.25 angiver, at softwareprodukter, arkitekturer og systemer kan udvikles i applikationer, databaser eller browsere.

Ændringer og forskelle fra ISO 27001:2013

ISO 27001:2022 Bilag A 8.25 erstatter ISO 27001:2013 Annex A 14.2.1 i den reviderede 2022-standard.

Sammenfattende er der to hovedskel.

ISO 27001:2022-versionen sætter to nye krav

2022-versionen af ​​ISO 27001 ligner stort set 2013-versionen, dog introducerer bilag A Kontrol 8.25 i ISO 27001:2022 to nye krav til organisationer:

• Organisationer skal opfylde licensbestemmelser og vurdere det praktiske ved andre omkostningseffektive tilgange, som beskrevet i ISO 27001:2022 bilag A 8.30.
• Organisationer bør udføre sikkerheds- og systemtest, såsom penetrationstest og kodescanning, i overensstemmelse med ISO 27001:2022 bilag A 8.29.

ISO 27001:2013-versionen er eksplicit henvist til genbrug af koden

2013-versionen gjorde eksplicit anvendelsen af ​​bilag A kontrol 14.2.1 til både nye udviklinger og tilfælde af kodegenbrug. ISO 27001:2022 bilag A 8.25 indeholdt dog ikke henvisning til genbrug af kode.

Tabel over alle ISO 27001:2022 bilag A kontroller

I tabellen nedenfor finder du mere information om hver enkelt ISO 27001:2022 Annex A-kontrol.

Hvordan ISMS.online Hjælp

Vores tjekliste giver en nem at følge guide til ISO 27001 implementering. Det fungerer som din omfattende compliance løsning til ISO/IEC 27001:2022.

• Få op til 81 % fremgang, når du logger ind.
• Total og enkel compliance-løsning.

Kontakt os nu for at arrangere en demonstration.