ISO 27001:2022 Bilag A Kontrol 8.26

Generel vejledning om ISO 27001:2022 Bilag A 8.26 Overholdelse

Organisationer bør foretage en risikovurdering for at etablere de nødvendige informationssikkerhedskrav til en bestemt applikation.

Indhold og typer af informationssikkerhedskrav kan variere afhængigt af applikationen, men disse bør dække:

• Baseret på ISO 27001:2022 Annex A 5.17, 8.2 og 8.5, det tillidsniveau, der er tildelt en specifik enheds identitet.
• Klassificering af de informationsaktiver, der skal gemmes eller håndteres af softwaren, skal identificeres.
• Er der behov for at adskille adgang til funktioner og data, der er gemt på appen.
• Vurder, om applikationen er robust over for cyberpenetrationer som SQL-injektioner eller utilsigtede aflytninger som bufferoverløb.
• Lovmæssigt skal lovmæssige og lovbestemte krav og standarder være opfyldt, når der håndteres transaktioner, der behandles, genereres, gemmes eller afsluttes af appen.
• Privatliv er af største vigtighed for alle involverede.
• Det er vigtigt at sikre, at fortrolige data beskyttes.
• Det er altafgørende at sikre oplysningernes sikkerhed, når de anvendes, overføres eller opbevares.
• Det er vigtigt, at alle relevante parter har sikker kryptering af deres kommunikation Hvis det er nødvendigt.
• Implementering af inputkontroller, såsom validering af input og udførelse af integritetstjek, garanterer nøjagtighed.
• Udførelse af automatiserede kontroller.
• Sikring af, at adgangsrettigheder, samt hvem der kan se output, tages i betragtning ved outputkontrol.
• Det er vigtigt at pålægge grænser for, hvad der kan inkluderes i "fritekst"-felter for at beskytte mod utilsigtet distribution af fortrolige oplysninger.
• Regulatoriske krav, såsom dem, der regulerer logning af transaktioner og ikke-afvisning.
• Andre sikkerhedskontroller kan kræve overholdelse af specifikke krav; for eksempel datalækagedetektionssystemer.
• Hvordan din organisation håndterer fejlmeddelelser.

Vejledning om transaktionstjenester

ISO 27001:2022 Bilag A 8.26 kræver, at organisationer overvejer følgende syv anbefalinger, når de leverer transaktionstjenester mellem dem selv og en partner:

• Graden af ​​tro, hver part skal have på den andens identitet, er afgørende i enhver transaktion.
• Troværdigheden af ​​data, der sendes eller behandles, skal sikres, og et egnet system til at genkende eventuelle integritetsmangler, herunder hashing og digitale signaturer, skal identificeres.
• Virksomheden skal oprette et system til at bestemme, hvem der er autoriseret til at godkende, underskrive og underskrive kritiske transaktionsdokumenter.
• Sikring af hemmeligholdelse og nøjagtighed af væsentlige dokumenter og verifikation af transmission og modtagelse af nævnte dokumenter.
• Bevarelse af fortroligheden og nøjagtigheden af ​​transaktioner, dette kan være ordrer og fakturaer.
• Krav til, hvordan transaktioner skal forblive fortrolige i en bestemt periode.
• Kontraktlige forpligtelser og forsikringskrav skal opfyldes.

Vejledning om elektronisk bestilling og betalingsansøgninger

Organisationer bør overveje følgende, når de integrerer betalings- og elektroniske bestillingsfunktioner i applikationer:

• Det er vigtigt at sikre fortrolighed og integritet af ordreoplysninger.
• Etablering af et passende bekræftelsesniveau for bekræftelse af betalingsoplysningerne fra en kunde.
• Undgå fejlplacering eller replikering af transaktionsdata.
• Sørg for, at information vedrørende information holdes væk fra et offentligt tilgængeligt område, f.eks. et lagringsmedie placeret på organisationens intranet.
• Når en organisation er afhængig af en ekstern myndighed til at udstede digitale signaturer, skal den sikre, at sikkerheden er integreret i hele processen.

Vejledning om netværk

Når applikationer tilgås via netværk, kan de blive udsat for kontraktlige uenigheder, svigagtig adfærd, vildledning, ikke-godkendte ændringer af indholdet af kommunikation eller fortroligheden af ​​følsomme data kan blive brudt.

ISO 27001:2022 Annex A 8.26 råder organisationer til at udføre grundige risikovurderinger for at identificere passende kontroller, såsom kryptografi, for at beskytte sikkerheden ved informationsoverførsler.

Ændringer og forskelle fra ISO 27001:2013

ISO 27001:2022 Bilag A 8.26 erstatter ISO 27001:2013 Annex A 14.1.2 og 14.1.3 i den reviderede 2022-standard.

Der er tre store forskelle mellem de to versioner.

Alle applikationer vs applikationer, der passerer gennem offentlige netværk

ISO 27001:2013 skitserer en liste over informationssikkerhedskrav, der skal tages i betragtning for applikationer, der skal transmitteres via offentlige netværk.

ISO 27001:2022 Bilag A 8.26 giver derimod en liste over informationssikkerhedskrav, der gælder for alle applikationer.

Yderligere vejledning om elektronisk bestilling og betalingsansøgninger

ISO 27001:2022 Annex A 8.26 giver specifik vejledning om elektroniske bestillings- og betalingsansøgninger, noget som ikke blev behandlet i 2013-versionen.

Krav til transaktionstjenester

Mens 2022-udgaven og 2013-udgaven er næsten ens med hensyn til forudsætningerne for transaktionsydelser, introducerer 2022-udgaven et ekstra krav, der ikke er taget højde for i 2013-udgaven:

• Organisationer bør huske kontraktlige forpligtelser og forsikringsbestemmelser.

Tabel over alle ISO 27001:2022 bilag A kontroller

I tabellen nedenfor finder du mere information om hver enkelt person ISO 27001:2022 Bilag A Kontrollere.

Hvordan ISMS.online Hjælp

ISMS.online er et cloud-baseret system som hjælper organisationer med at demonstrere tilpasning til ISO 27001:2022. Dette system kan bruges til at overvåge ISO 27001-kravene og sikre, at din organisation forbliver i overensstemmelse med standarden.

Vores platformen er brugervenlig og tilgængelig for alle. Det kræver ikke kompleks teknisk viden; alle i din virksomhed kan gøre brug af det.

Kontakt os nu for at planlægge en demonstration.