ISO 27001:2022 Bilag A 8.31 – Adskillelse af udviklings-, test- og produktionsmiljøer

• Se ISO 27002:2022 Kontrol 8.31 for mere information.
• Se ISO 27001:2013 Bilag A 12.1.4 for mere information.
• Se ISO 27001:2013 Bilag A 14.2.6 for mere information.

ISO 27001 Annex A 8.31: Hvorfor det er kritisk at adskille udviklings-, test- og produktionsmiljøer

Hvis udviklings-, test- og produktionsmiljøer ikke adskilles nøjagtigt, kan det føre til tab af tilgængelighed, fortrolighed og integritet af informationsaktiver.

For eksempel satte Uber fejlagtigt et kodelager op på Github, som inkluderede adgangskoder fra deres produktionsmiljø, hvilket kompromitterede fortroligheden af ​​følsomme data.

Organisationer bør etablere passende protokoller og regler for at adskille udviklings-, test- og produktionsindstillinger for at udrydde sikkerhedsrisici.

Formål med ISO 27001:2022 bilag A 8.31

ISO 27001: 2022 Bilag A 8.31 letter organisationer med at bevare fortroligheden, integriteten og tilgængeligheden af ​​følsomme informationsaktiver via passende processer, kontroller og regler. Det gør det ved at isolere udviklings-, test- og produktionsmiljøer.

Ejerskab af bilag A 8.31

Chief Information Security Officer, med bistand fra udviklingsteamet, være i sidste ende ansvarlig for at overholde ISO 27001:2022 Annex A 8.31, som kræver etablering og implementering af organisationsdækkende processer og kontroller for at adskille forskellige softwaremiljøer.

Generel vejledning om ISO 27001:2022 Bilag A 8.31 Overholdelse

Organisationer bør overveje de produktionsproblemer, der bør undgås, når de beslutter sig for den nødvendige grad af adskillelse mellem de tre miljøer.

Bilag A 8.31 foreslår, at organisationer skal huske på syv kriterier:

1. Adskillelse af udviklings- og produktionssystemer til et tilfredsstillende niveau anbefales. For eksempel kunne brug af forskellige virtuelle og fysiske miljøer til produktion være en levedygtig løsning.
2. Regler og autorisationsprocedurer skal udarbejdes, dokumenteres og implementeres vedrørende brug af software i produktionsmiljøet, efter at det har passeret udviklingsmiljøet.
3. Organisationer bør evaluere og prøve ændringer af applikationer og produktionssystemer i et isoleret testmiljø, udelukket fra produktionsmiljøet, før de implementeres i produktionsmiljøet.
4. Ingen test i produktionsmiljøer bør finde sted, medmindre det er præcist defineret og godkendt på forhånd.
5. Udviklingsressourcer, såsom compilere og redaktører, bør ikke være tilgængelige i produktionsmiljøer, medmindre det er absolut nødvendigt.
6. For at reducere fejl, bør korrekte miljømærkater være fremtrædende i menuerne.
7. Ingen følsomme informationsaktiver bør overføres til nogen udviklings- eller testsystemer, medmindre tilsvarende sikkerhedsforanstaltninger er på plads.

Vejledning om beskyttelse af udviklings- og testmiljøer

Organisationer bør beskytte udviklings- og testmiljøer mod potentielle sikkerhedsrisici under hensyntagen til følgende:

• Sørg for, at alle udviklings-, integrations- og testværktøjer, f.eks. bygherrer, integratorer og biblioteker, jævnligt lappes og holdes ajour.
• Sørg for, at alle systemer og software er sikkert sat op.
• Passende kontroller skal være på plads for adgang til miljøer.
• Ændringer i miljøer og deres koder bør overvåges og gennemgås.
• Sikker overvågning og gennemgang af miljøer bør foretages.
• Miljøer bør sikres med sikkerhedskopier.

Intet individ bør have ret til at foretage ændringer i både udviklings- og produktionsmiljøer uden forudgående godkendelse. For at undgå dette kan organisationer adskille adgangsrettigheder eller indføre og udføre adgangskontroller.

Organisationer kan overveje yderligere tekniske kontroller, såsom at logge alle adgangsaktiviteter og overvåge adgangen til disse miljøer i realtid.

Supplerende vejledning om bilag A 8.31

Hvis organisationer ikke tager de nødvendige skridt, kan deres informationssystemer blive udsat for væsentlige sikkerhedsrisici.

Udviklere og testere med adgang til produktionsmiljøet kan foretage utilsigtede ændringer af filer eller systemindstillinger, køre uautoriseret kode eller utilsigtet afsløre følsomme data.

Organisationer kræver en stabil indstilling for at udføre grundige test af deres kode, hvilket forhindrer udviklere i at få adgang til produktionsmiljøer, der lagrer og behandler følsomme data fra den virkelige verden.

Organisationer bør tildele specifikke roller og håndhæve adskillelse af opgaver.

Udviklings- og testholdene kan risikere at kompromittere de fortrolige produktionsdata, hvis de bruger de samme computerenheder. Utilsigtede ændringer af følsomme oplysninger eller softwareprogrammer kan foretages.

Organisationer opfordres til at etablere hjælpeprocesser til at bruge produktionsdata i test- og udviklingssystemer i overensstemmelse med ISO 27001:2022 bilag A 8.33.

Organisationer bør overveje de foranstaltninger, der er diskuteret i dette bilag A Kontrol, når de udfører slutbrugeruddannelse i træningsmiljøer.

Endelig kan organisationer sløre grænserne mellem udvikling, test og produktionsindstillinger. For eksempel kan test udføres i et udviklingsmiljø, eller personale kan teste produktet ved faktisk at bruge det.

Ændringer og forskelle fra ISO 27001:2013

ISO 27001:2022 Bilag A 8.31 erstatter ISO 27001:2013 Bilag A 12.1.4 og ISO 27001:2013 Bilag A 14.2.6. Denne revision foretager de nødvendige justeringer for at bringe standarden i overensstemmelse med den mest aktuelle praksis.

De to versioner har meget til fælles, men to forskelle er bemærkelsesværdige.

ISO 27001:2013 Bilag A 14.2.6 Leveret mere detaljeret vejledning om sikre udviklingsmiljøer

ISO 27001:2013 Annex A 14.2.6 omhandler sikre udviklingsmiljøer og skitserer 10 anbefalinger, som organisationer skal overveje, når de konstruerer et udviklingsmiljø.

Til sammenligning indeholder ISO 27001:2022 Annex A 8.33 ikke visse forslag, som f.eks. at have en sikkerhedskopi på et fjerntliggende sted og begrænsninger for dataoverførsel.

ISO 27001:2022 Bilag A 8.31 omhandler produkttestning og brug af produktionsdata

I sammenligning med ISO 27001:2013 tilbyder ISO 27001:2022 Annex A 8.31 vejledning om produkttestning og udnyttelse af produktionsdata i overensstemmelse med ISO 27001:2022 Annex A 8.33.

Tabel over alle ISO 27001:2022 bilag A kontroller

I tabellen nedenfor finder du mere information om hver enkelt ISO 27001:2022 Bilag A Kontrollere.

Hvordan ISMS.online Hjælp

ISMS.Online yder support til hele ISO 27001 implementering, fra risikovurdering til udarbejdelse af politikker, procedurer og retningslinjer for at overholde standarden.

ISMS.Online tilbyder en bekvem tilgang til at registrere opdagelser og dele dem med kolleger online. Det giver dig yderligere mulighed for at udarbejde og gemme tjeklister for hver ISO 27001-opgave, så du nemt kan overvåge din organisations sikkerhedsprogram.

Vi forsyner også organisationer med et automatiseret værktøjssæt, som letter overholdelse af ISO 27001-standarden. Dens brugervenlige design gør det nemt at bevise overensstemmelse.

Kontakt os nu for at arrangere en demonstration.