ISO 27001:2022 Bilag A 8.30 – Outsourcet udvikling

• Se ISO 27002:2022 Kontrol 8.30 for mere information.
• Se ISO 27001:2013 Bilag A 14.2.7 for mere information.

Hvad er formålet med ISO 27001:2022 Annex A 8.30?

ISO 27001:2022 Annex A 8.30 hjælper organisationer med at sikre, at de etablerede informationssikkerhed krav overholdes ved outsourcing af system- og softwareudvikling til tredjepart.

Virksomheder kan reducere omkostninger og øge skalerbarheden ved at outsource it-systemer og softwareudvikling til eksterne parter. Sikkerheden må dog ikke kompromitteres for at opnå disse effektivitetsgevinster.

For eksempel kan udbydere af eksterne tjenester muligvis ikke anvende kryptering på brancheniveau til cloud-data eller har muligvis ikke streng kontrol på plads for adgang, hvilket resulterer i kompromitterede it-systemer og software.

Som et resultat, overtrædelse af data kan forekomme, og informationsaktiver kan miste deres tilgængelighed, fortrolighed og integritet.

I en Trustwave-rapport tegnede outsourcing af software og it-udvikling sig for mere end 60 % af alle databrud.

Organisationer skal sikre, at eksterne parter overholder de informationssikkerhedskrav, som din organisation har stillet, da outsourcing uundgåeligt fører til tab af kontrol over udviklingsprocessen og gør det sværere at anvende og vedligeholde informationssikkerhedskrav.

Hvem har ejerskab til bilag A 8.30?

For at eksterne leverandører kan overholde krav til informationssikkerhed, skal Chief Information Security Officer (CISO) bør etablere og implementere passende procedurer og kontroller.

Generel vejledning om ISO 27001:2022 Bilag A 8.30

I henhold til generel vejledning bør organisationer løbende overvåge og verificere, at outsourcet udviklingsarbejde opfylder de krav til informationssikkerhed, som din organisation har opstillet.

Følgende 11 faktorer skal tages i betragtning ved outsourcing af udvikling i overensstemmelse med ISO 27001:2022 Annex A 8.30:

1. Udvikling og indgåelse af licensaftaler, der dækker kodeejerskab og intellektuelle ejendomsrettigheder.
2. Implementering af passende kontraktmæssige krav relateret til sikker design og kodning i overensstemmelse med bilag A 8.25 og 8.29.
3. Implementering af en trusselsmodel, som tredjeparter kan anvende.
4. Udførelse af en accepttestprocedure for at sikre kvaliteten og nøjagtigheden af ​​det leverede arbejde.
5. Demonstration af, at minimumskravene til privatliv og sikkerhed er opfyldt. Dette kan opnås gennem revisionsrapporter.
6. Dokumentation for, hvordan den leverede software eller it-system er blevet testet for skadeligt indhold.
7. Vedligeholdelse af beviser for, at der er udført tilstrækkelige tests for at løse identificerede sårbarheder.
8. Sørg for, at softwarens kildekode er beskyttet af escrow-aftaler. Det kan for eksempel omhandle, hvad der vil ske, hvis den eksterne leverandør ophører med at operere.
9. Som en del af aftalen med leverandøren bør organisationen have lov til det revidere udviklingsprocessen og kontrol.
10. Sikkerhedskrav til udviklingsmiljøet bør etableres og implementeres.
11. Derudover bør organisationer overveje gældende love, vedtægter og regler.

Yderligere vejledning til bilag A 8.30

Organisationer kan finde yderligere information om håndtering af leverandørforhold i ISO/IEC 27036.

Hvad er ændringerne fra ISO 27001:2013?

ISO 27001:2022 Bilag A 8.30 erstatter ISO 27001:2013 Bilag A 14.2.7 (Outsourcet udvikling). Generelt er der ingen væsentlig forskel mellem de to versioner.

Tabel over alle ISO 27001:2022 bilag A kontroller

I tabellen nedenfor finder du mere information om hver enkelt person ISO 27001:2022 Bilag A Kontrollere.

Hvordan ISMS.online Hjælp

Ved at bruge ISMS.online kan virksomheder administrere deres sikkerhedspolitikker og -procedurer, opdatere dem efter behov, teste dem og overvåge deres effektivitet i at opnå Overholdelse af ISO 27001:2022.

Med vores cloud-baserede platform kan du nemt administrere alle aspekter af dit ISMS, herunder risikostyring, politikker, planer, procedurer og mere. Med sin intuitive brugerflade er platformen nem at lære og bruge.

Kontakt i dag for book en demo.