ISO 27001:2022 Bilag A 8.26 – Applikationssikkerhedskrav

• Se ISO 27002:2022 Kontrol 8.26 for mere information.
• Se ISO 27001:2013 Bilag A 14.1.2 for mere information.
• Se ISO 27001:2013 Bilag A 14.1.3 for mere information.

Forståelse af ISO 27001:2022 Annex A 8.26 – Application Security Essentials

Applikationssoftware såsom webapps, grafikprogrammer, databaser og betalingsbehandling er afgørende for mange forretningsaktiviteter.

Applikationer er ofte sårbare over for sikkerhedsproblemer, som kan føre til eksponering af fortrolige data.

Som et eksempel forsømte det amerikanske kreditbureau Equifax at anvende en sikkerhedsrettelse til den webapplikationsramme, de brugte til at håndtere kundeklager. Denne forsømmelse gjorde det muligt for cyberangribere at udnytte sikkerhedssvaghederne ved webapplikationen, infiltrere Equifax' virksomhedsnetværk og stjæle følsom information fra omkring 145 millioner mennesker.

ISO 27001:2022 Bilag A 8.26 beskriver, hvordan organisationer kan implementere og implementere informationssikkerhed krav til applikationer under deres udvikling, brug og erhvervelse. Det sikrer, at sikkerhedsforanstaltninger er integreret i applikationernes livscyklus.

Formål med ISO 27001:2022 bilag A 8.26

ISO 27001: 2022 Bilag A 8.26 giver organisationer mulighed for at forsvare deres dataaktiver, der er lagret på eller behandlet af applikationer, gennem anerkendelse og anvendelse af passende informationssikkerhedsspecifikationer.

Ejerskab af bilag A 8.26

Chief Information Security Officer, bakket op af informationssikkerhedseksperter, bør påtage sig identifikation, godkendelse og implementering af informationskrav vedrørende erhvervelse, anvendelse og udvikling af applikationer.

Generel vejledning om ISO 27001:2022 Bilag A 8.26 Overholdelse

Organisationer bør foretage en risikovurdering for at etablere de nødvendige informationssikkerhedskrav til en bestemt applikation.

Indhold og typer af informationssikkerhedskrav kan variere afhængigt af applikationen, men disse bør dække:

• Baseret på ISO 27001:2022 Annex A 5.17, 8.2 og 8.5, det tillidsniveau, der er tildelt en specifik enheds identitet.
• Klassificering af de informationsaktiver, der skal gemmes eller håndteres af softwaren, skal identificeres.
• Er der behov for at adskille adgang til funktioner og data, der er gemt på appen.
• Vurder, om applikationen er robust over for cyberpenetrationer som SQL-injektioner eller utilsigtede aflytninger som bufferoverløb.
• Lovmæssigt skal lovmæssige og lovbestemte krav og standarder være opfyldt, når der håndteres transaktioner, der behandles, genereres, gemmes eller afsluttes af appen.
• Privatliv er af største vigtighed for alle involverede.
• Det er vigtigt at sikre, at fortrolige data beskyttes.
• Det er altafgørende at sikre oplysningernes sikkerhed, når de anvendes, overføres eller opbevares.
• Det er vigtigt, at alle relevante parter har sikker kryptering af deres kommunikation Hvis det er nødvendigt.
• Implementering af inputkontroller, såsom validering af input og udførelse af integritetstjek, garanterer nøjagtighed.
• Udførelse af automatiserede kontroller.
• Sikring af, at adgangsrettigheder, samt hvem der kan se output, tages i betragtning ved outputkontrol.
• Det er vigtigt at pålægge grænser for, hvad der kan inkluderes i "fritekst"-felter for at beskytte mod utilsigtet distribution af fortrolige oplysninger.
• Regulatoriske krav, såsom dem, der regulerer logning af transaktioner og ikke-afvisning.
• Andre sikkerhedskontroller kan kræve overholdelse af specifikke krav; for eksempel datalækagedetektionssystemer.
• Hvordan din organisation håndterer fejlmeddelelser.

Vejledning om transaktionstjenester

ISO 27001:2022 Bilag A 8.26 kræver, at organisationer overvejer følgende syv anbefalinger, når de leverer transaktionstjenester mellem dem selv og en partner:

• Graden af ​​tro, hver part skal have på den andens identitet, er afgørende i enhver transaktion.
• Troværdigheden af ​​data, der sendes eller behandles, skal sikres, og et egnet system til at genkende eventuelle integritetsmangler, herunder hashing og digitale signaturer, skal identificeres.
• Virksomheden skal oprette et system til at bestemme, hvem der er autoriseret til at godkende, underskrive og underskrive kritiske transaktionsdokumenter.
• Sikring af hemmeligholdelse og nøjagtighed af væsentlige dokumenter og verifikation af transmission og modtagelse af nævnte dokumenter.
• Bevarelse af fortroligheden og nøjagtigheden af ​​transaktioner, dette kan være ordrer og fakturaer.
• Krav til, hvordan transaktioner skal forblive fortrolige i en bestemt periode.
• Kontraktlige forpligtelser og forsikringskrav skal opfyldes.

Vejledning om elektronisk bestilling og betalingsansøgninger

Organisationer bør overveje følgende, når de integrerer betalings- og elektroniske bestillingsfunktioner i applikationer:

• Det er vigtigt at sikre fortrolighed og integritet af ordreoplysninger.
• Etablering af et passende bekræftelsesniveau for bekræftelse af betalingsoplysningerne fra en kunde.
• Undgå fejlplacering eller replikering af transaktionsdata.
• Sørg for, at information vedrørende information holdes væk fra et offentligt tilgængeligt område, f.eks. et lagringsmedie placeret på organisationens intranet.
• Når en organisation er afhængig af en ekstern myndighed til at udstede digitale signaturer, skal den sikre, at sikkerheden er integreret i hele processen.

Vejledning om netværk

Når applikationer tilgås via netværk, kan de blive udsat for kontraktlige uenigheder, svigagtig adfærd, vildledning, ikke-godkendte ændringer af indholdet af kommunikation eller fortroligheden af ​​følsomme data kan blive brudt.

ISO 27001:2022 Annex A 8.26 råder organisationer til at udføre grundige risikovurderinger for at identificere passende kontroller, såsom kryptografi, for at beskytte sikkerheden ved informationsoverførsler.

Ændringer og forskelle fra ISO 27001:2013

ISO 27001:2022 Bilag A 8.26 erstatter ISO 27001:2013 Annex A 14.1.2 og 14.1.3 i den reviderede 2022-standard.

Der er tre store forskelle mellem de to versioner.

Alle applikationer vs applikationer, der passerer gennem offentlige netværk

ISO 27001:2013 skitserer en liste over informationssikkerhedskrav, der skal tages i betragtning for applikationer, der skal transmitteres via offentlige netværk.

ISO 27001:2022 Bilag A 8.26 giver derimod en liste over informationssikkerhedskrav, der gælder for alle applikationer.

Yderligere vejledning om elektronisk bestilling og betalingsansøgninger

ISO 27001:2022 Annex A 8.26 giver specifik vejledning om elektroniske bestillings- og betalingsansøgninger, noget som ikke blev behandlet i 2013-versionen.

Krav til transaktionstjenester

Mens 2022-udgaven og 2013-udgaven er næsten ens med hensyn til forudsætningerne for transaktionsydelser, introducerer 2022-udgaven et ekstra krav, der ikke er taget højde for i 2013-udgaven:

• Organisationer bør huske kontraktlige forpligtelser og forsikringsbestemmelser.

Tabel over alle ISO 27001:2022 bilag A kontroller

I tabellen nedenfor finder du mere information om hver enkelt person ISO 27001:2022 Bilag A Kontrollere.

Hvordan ISMS.online Hjælp

ISMS.online er et cloud-baseret system som hjælper organisationer med at demonstrere tilpasning til ISO 27001:2022. Dette system kan bruges til at overvåge ISO 27001-kravene og sikre, at din organisation forbliver i overensstemmelse med standarden.

Vores platformen er brugervenlig og tilgængelig for alle. Det kræver ikke kompleks teknisk viden; alle i din virksomhed kan gøre brug af det.

Kontakt os nu for at planlægge en demonstration.