Hvad er ISO 27002 Control 8.25, og hvorfor er det vigtigt?
I 90'erne plejede virksomheder kun at udføre sikkerhedstests for softwareprodukter og -systemer under testfasen, i den sidste fase af softwareudviklingens livscyklus.
Som følge heraf undlod de ofte at opdage og eliminere kritiske sårbarheder, fejl og mangler.
For at identificere og adressere sikkerhedssårbarheder tidligt, bør organisationer integrere sikkerhedsovervejelser i alle faser af udviklingens livscyklus, fra planlægningen til implementeringsfasen.
Kontrol 8.25 omhandler, hvordan organisationer kan opstille og implementere regler for at bygge sikre softwareprodukter og systemer.
Formål med kontrol 8.25
Control 8.25 gør det muligt for organisationer at designe informationssikkerhedsstandarder og anvende disse standarder på tværs af hele den sikre udviklingslivscyklus for softwareprodukter og -systemer.
Attributter Kontroltabel 8.25
Kontrol 8.25 er af forebyggende karakter, da det kræver, at organisationer proaktivt designer og implementerer regler og kontroller, der styrer hele udviklingslivscyklussen for hvert nyt softwareprodukt og -system.
| Kontrol type | Informationssikkerhedsegenskaber | Cybersikkerhedskoncepter | Operationelle evner | Sikkerhedsdomæner |
|---|---|---|---|---|
| #Forebyggende | #Fortrolighed | #Beskytte | #Applikationssikkerhed | #Beskyttelse |
| #Integritet | #System- og netværkssikkerhed | |||
| #Tilgængelighed |
ISO 27001 gjort nemt
Et forspring på 81% fra dag ét
Vi har gjort det hårde arbejde for dig, hvilket giver dig en 81% forspring fra det øjeblik, du logger på. Alt du skal gøre er at udfylde de tomme felter.
Ejerskab af kontrol 8.25
Chief Information Security Officer bør være ansvarlig for oprettelse, implementering og vedligeholdelse af regler og foranstaltninger til sikring af sikkerheden i udviklingens livscyklus.
Generel vejledning om overholdelse
Kontrol 8.25 indeholder 10 krav, som organisationer skal overholde for at bygge sikre softwareprodukter, systemer og arkitektur:
- Udviklings-, test- og produktionsmiljøer bør adskilles i henhold til kontrol 8.31.
- Organisationer bør give vejledning om:
- Sikkerhedshensyn i softwareudviklingsmetodikken i henhold til kontrol 8.27 og 8.28.
- Sikker kodning for hvert programmeringssprog i overensstemmelse med 8.28.
- Organisationer bør etablere og implementere sikkerhedskrav, der gælder for specifikations- og designfasen i overensstemmelse med kontrol 5.8.
- Organisationer bør definere sikkerhedstjeklister for projekterne i henhold til kontrol 5.8.
- Organisationer bør udføre sikkerheds- og systemtest såsom penetrationstest og kodescanning i overensstemmelse med Kontrol 8.29.
- Organisationer bør oprette sikre arkiver, der gemmer kildekoder og konfiguration i overensstemmelse med kontrol 8.4 og 8.9.
- Organisationer bør opretholde sikkerheden i versionskontrollen som foreskrevet i Kontrol 8.32.
- Organisationer bør sikre, at alt personale involveret i udviklingen har tilstrækkelig viden om applikationssikkerhed og er forsynet med den nødvendige uddannelse som defineret i Kontrol 8.28.
- Udviklere bør være i stand til at identificere og forhindre sikkerhedssårbarheder som beskrevet i Kontrol 8.28.
- Organisationer bør overholde licenskravene og bør vurdere gennemførligheden af alternative omkostningseffektive metoder som foreskrevet i Kontrol 8.30.
Hvis en organisation udliciterer visse udviklingsopgaver til eksterne parter, skal den endvidere sikre, at den eksterne part overholder organisationens regler og procedurer for sikker udvikling af software og system.
Supplerende vejledning om kontrol 8.25
Kontrol 8.25 bemærker, at softwareprodukter, arkitekturer og systemer også kan udvikles i applikationer, databaser eller browsere.
Administrer al din compliance, alt på ét sted
ISMS.online understøtter over 100 standarder og regler, hvilket giver dig en enkelt platform til alle dine overholdelsesbehov.
Ændringer og forskelle fra ISO 27002:2013
27002:2022/8.25 replace 27002:2013/(14.2.1)
Overordnet set er der to vigtige forskelle.
ISO 27002:2022-versionen sætter to nye krav
Mens 2022-versionen i høj grad ligner 2013-versionen, stiller Control 8.25 to nye krav til organisationer:
- Organisationer bør overholde licenskravene og bør vurdere gennemførligheden af alternative omkostningseffektive metoder som foreskrevet i Kontrol 8.30.
- Organisationer bør udføre sikkerheds- og systemtest såsom penetrationstest og kodescanning i overensstemmelse med Kontrol 8.29.
ISO 27002:2013-versionen er eksplicit henvist til genbrug af koden
2013-versionen anførte eksplicit, at kontrol 14.2.1 gælder både for nye udviklinger og genbrug af kode. I modsætning hertil henviste kontrol 8.25 ikke til scenarier for genbrug af kode.
Nye ISO 27002 kontroller
| ISO/IEC 27002:2022 kontrolidentifikator | ISO/IEC 27002:2013 kontrolidentifikator | Kontrolnavn |
|---|---|---|
| 5.7 | NY | Trusselsintelligens |
| 5.23 | NY | Informationssikkerhed til brug af cloud-tjenester |
| 5.30 | NY | IKT-parathed til forretningskontinuitet |
| 7.4 | NY | Fysisk sikkerhedsovervågning |
| 8.9 | NY | Konfigurationsstyring |
| 8.10 | NY | Sletning af oplysninger |
| 8.11 | NY | Datamaskering |
| 8.12 | NY | Forebyggelse af datalækage |
| 8.16 | NY | Overvågning af aktiviteter |
| 8.23 | NY | Webfiltrering |
| 8.28 | NY | Sikker kodning |
| ISO/IEC 27002:2022 kontrolidentifikator | ISO/IEC 27002:2013 kontrolidentifikator | Kontrolnavn |
|---|---|---|
| 6.1 | 07.1.1 | Screening |
| 6.2 | 07.1.2 | Vilkår og betingelser for ansættelse |
| 6.3 | 07.2.2 | Informationssikkerhedsbevidsthed, uddannelse og træning |
| 6.4 | 07.2.3 | Disciplinær proces |
| 6.5 | 07.3.1 | Ansvar efter opsigelse eller ændring af ansættelsesforhold |
| 6.6 | 13.2.4 | Aftaler om fortrolighed eller tavshedspligt |
| 6.7 | 06.2.2 | Fjernbetjening |
| 6.8 | 16.1.2, 16.1.3 | Informationssikkerhedshændelsesrapportering |
| ISO/IEC 27002:2022 kontrolidentifikator | ISO/IEC 27002:2013 kontrolidentifikator | Kontrolnavn |
|---|---|---|
| 7.1 | 11.1.1 | Fysiske sikkerhedsomkredse |
| 7.2 | 11.1.2, 11.1.6 | Fysisk adgang |
| 7.3 | 11.1.3 | Sikring af kontorer, lokaler og faciliteter |
| 7.4 | NY | Fysisk sikkerhedsovervågning |
| 7.5 | 11.1.4 | Beskyttelse mod fysiske og miljømæssige trusler |
| 7.6 | 11.1.5 | Arbejde i sikre områder |
| 7.7 | 11.2.9 | Overskueligt skrivebord og klar skærm |
| 7.8 | 11.2.1 | Udstyrsplacering og beskyttelse |
| 7.9 | 11.2.6 | Sikkerhed af aktiver uden for lokalerne |
| 7.10 | 08.3.1, 08.3.2, 08.3.3, 11.2.5 | Lagermedier |
| 7.11 | 11.2.2 | Understøttende hjælpeprogrammer |
| 7.12 | 11.2.3 | Kabler sikkerhed |
| 7.13 | 11.2.4 | Vedligeholdelse af udstyr |
| 7.14 | 11.2.7 | Sikker bortskaffelse eller genbrug af udstyr |
Hvordan ISMS.online hjælper
ISO 27002 implementering er enklere med vores trinvise tjekliste, der guider dig gennem hele processen. Din komplette overholdelsesløsning til ISO/IEC 27002:2022.
- Op til 81 % fremskridt fra du logger ind.
- Enkel og total compliance-løsning.
Kontakt i dag for book en demo.
