Sikring af sikkerhed fra udvikling til implementering: ISO 27002 kontrol 8.29 forklaret
Cyberkriminelle opfinder konstant nye måder og forbedrer deres strategier for at infiltrere virksomhedsnetværk og få adgang til følsomme informationsaktiver.
For eksempel kan cyberangribere udnytte en sårbarhed relateret til autentificeringsmekanismen i kildekoden til at trænge ind i netværk. Desuden kan de også forsøge at manipulere slutbrugere på klientsiden til at udføre handlinger for at infiltrere netværk, få adgang til data eller udføre ransomware-angreb.
Hvis en applikation, software eller it-system implementeres i den virkelige verden med sårbarheder, vil dette udsætte følsomme informationsaktiver for risikoen for kompromittering.
Derfor bør organisationer etablere og implementere en passende sikkerhedstestprocedure for at identificere og afhjælpe alle sårbarheder i it-systemer, før de implementeres til den virkelige verden.
Formål med kontrol 8.29
Kontrol 8.29 gør det muligt for organisationer at verificere, at alle informationssikkerhedskrav er opfyldt, når nye applikationer, databaser, software eller kode sættes i drift ved at etablere og anvende en robust sikkerhedstestprocedure.
Dette hjælper organisationer med at opdage og eliminere sårbarheder i koden, netværk, servere, applikationer eller andre it-systemer, før de bruges i den virkelige verden.
Kontrolattributter 8.29
Kontrol 8.29 er af forebyggende karakter. Det kræver, at organisationer udsætter nye informationssystemer og deres nye/opdaterede versioner for en sikkerhedstestproces, før de frigives til produktionsmiljøet.
| Kontrol type | Informationssikkerhedsegenskaber | Cybersikkerhedskoncepter | Operationelle evner | Sikkerhedsdomæner |
|---|---|---|---|---|
| #Forebyggende | #Fortrolighed | #Identificere | #Applikationssikkerhed | #Beskyttelse |
| #Integritet | #Informationssikkerhedsgaranti | |||
| #Tilgængelighed | #System- og netværkssikkerhed |
ISO 27001 gjort nemt
Et forspring på 81% fra dag ét
Vi har gjort det hårde arbejde for dig, hvilket giver dig en 81% forspring fra det øjeblik, du logger på. Alt du skal gøre er at udfylde de tomme felter.
Ejerskab af kontrol 8.29
I betragtning af, at kontrol 8.29 involverer etablering, vedligeholdelse og implementering af en sikkerhedstestprocedure, der vil gælde for alle nye informationssystemer, uanset om de er udviklet internt eller af eksterne parter, bør den informationssikkerhedsansvarlige være ansvarlig for overholdelse.
Generel vejledning om overholdelse
Organisationer bør indarbejde sikkerhedstestning i testprocessen for alle systemer, og de skal sikre, at alle nye informationssystemer og deres nye/opdaterede versioner opfylder informationssikkerhedskravene, når de er i produktionsmiljøet.
Kontrol 8.29 lister tre elementer, der bør inkluderes i sikkerhedstestprocessen:
- Sikkerhedsfunktioner såsom brugergodkendelse som defineret i kontrol 8..5, adgangsbegrænsning som foreskrevet i kontrol 8.3 og kryptografi som adresseret i kontrol 8.24.
- Sikker kodning som beskrevet i Kontrol 8.28.
- Sikre konfigurationer som foreskrevet i kontrolelementer 8.9, 8.20, 8.22. Dette kan dække firewalls og operativsystemer.
Hvad skal en testplan indeholde?
Når de designer sikkerhedstestplaner, bør organisationer tage højde for kritiskhedsniveauet og arten af det aktuelle informationssystem.
Sikkerhedstestplanen bør dække følgende:
- Etablering af en detaljeret tidsplan for de aktiviteter og de test, der skal udføres.
- Input og output forventes at forekomme under et givet sæt betingelser.
- Kriterier for at vurdere resultaterne.
- Hvis det er relevant, beslutninger om at træffe foranstaltninger baseret på resultaterne.
Frigør dig selv fra et bjerg af regneark
Integrer, udvid og skaler din compliance uden besvær. IO giver dig robustheden og selvtilliden til at vokse sikkert.
In-house udvikling
Når it-systemer udvikles af det interne udviklingsteam, bør dette team udføre den indledende sikkerhedstest for at sikre, at it-systemet opfylder sikkerhedskravene.
Denne indledende test bør derefter efterfølges af en uafhængighedsaccepttest i overensstemmelse med kontrol 5.8.
I forhold til den interne udvikling bør følgende overvejes:
- Udførelse af kodegennemgangsaktiviteter for at opdage og eliminere sikkerhedsfejl, herunder forventede input og forhold.
- Udførelse af sårbarhedsscanning for at opdage usikre konfigurationer og andre sårbarheder.
- Udførelse af penetrationstests for at detektere usikker kode og design.
outsourcing
Organisationer bør følge en streng indkøbsproces, når de outsourcer udvikling, eller når de køber it-komponenter fra eksterne parter.
Organisationer bør indgå en aftale med deres leverandører, og denne aftale bør omhandle informationssikkerhedskravene som foreskrevet i Kontrol 5.20.
Endvidere bør organisationer sikre, at de produkter og tjenester, de køber, er i overensstemmelse med informationssikkerhedsstandarderne.
Supplerende vejledning om kontrol 8.29
Organisationer kan oprette flere testmiljøer til at udføre forskellige test såsom funktionel, ikke-funktionel og ydeevnetest.
Desuden kan de oprette virtuelle testmiljøer og derefter konfigurere disse miljøer til at teste it-systemerne i forskellige driftsindstillinger.
Kontrol 8.29 bemærker også, at effektiv sikkerhedstest kræver, at organisationer tester og overvåger testmiljøer, værktøjer og teknologier.
Endelig bør organisationer tage hensyn til niveauet af følsomhed og kritiskhed af data, når de bestemmer antallet af lag af meta-testning.
Administrer al din compliance, alt på ét sted
ISMS.online understøtter over 100 standarder og regler, hvilket giver dig en enkelt platform til alle dine overholdelsesbehov.
Ændringer og forskelle fra ISO 27002:2013
27002:2022/8.29 erstatter 27002:2013/(14.2.8 og 14.2.9)
Strukturelle ændringer
Der henviser til, at 2022-versionen omhandler sikker test under én enkelt kontrol, og 2013-versionen henviste til sikker test i to separate kontroller; Systemsikkerhedstest i kontrol 14.2.8 og systemaccepttest i kontrol 14.2.9
Kontrol 8.29 bringer mere omfattende krav
I modsætning til 2013-versionen indeholder 2022-versionen mere detaljerede krav og anbefalinger om følgende:
- Sikkerhedstestplan og hvad den skal indeholde.
- Kriterier for sikkerhedstest til egen udvikling af IT-systemer.
- Sikkerhedstestproces og hvad det skal indebære.
- Brug af flere testmiljøer.
2013-versionen var mere detaljeret i forhold til accepttest
I modsætning til 2022-versionen var 2013-versionen mere præskriptiv for systemaccepttest. Det omfattede krav såsom sikkerhedstest af modtagne komponenter og brug af automatiserede værktøjer.
Nye ISO 27002 kontroller
| ISO/IEC 27002:2022 kontrolidentifikator | ISO/IEC 27002:2013 kontrolidentifikator | Kontrolnavn |
|---|---|---|
| 5.7 | NY | Trusselsintelligens |
| 5.23 | NY | Informationssikkerhed til brug af cloud-tjenester |
| 5.30 | NY | IKT-parathed til forretningskontinuitet |
| 7.4 | NY | Fysisk sikkerhedsovervågning |
| 8.9 | NY | Konfigurationsstyring |
| 8.10 | NY | Sletning af oplysninger |
| 8.11 | NY | Datamaskering |
| 8.12 | NY | Forebyggelse af datalækage |
| 8.16 | NY | Overvågning af aktiviteter |
| 8.23 | NY | Webfiltrering |
| 8.28 | NY | Sikker kodning |
| ISO/IEC 27002:2022 kontrolidentifikator | ISO/IEC 27002:2013 kontrolidentifikator | Kontrolnavn |
|---|---|---|
| 6.1 | 07.1.1 | Screening |
| 6.2 | 07.1.2 | Vilkår og betingelser for ansættelse |
| 6.3 | 07.2.2 | Informationssikkerhedsbevidsthed, uddannelse og træning |
| 6.4 | 07.2.3 | Disciplinær proces |
| 6.5 | 07.3.1 | Ansvar efter opsigelse eller ændring af ansættelsesforhold |
| 6.6 | 13.2.4 | Aftaler om fortrolighed eller tavshedspligt |
| 6.7 | 06.2.2 | Fjernbetjening |
| 6.8 | 16.1.2, 16.1.3 | Informationssikkerhedshændelsesrapportering |
| ISO/IEC 27002:2022 kontrolidentifikator | ISO/IEC 27002:2013 kontrolidentifikator | Kontrolnavn |
|---|---|---|
| 7.1 | 11.1.1 | Fysiske sikkerhedsomkredse |
| 7.2 | 11.1.2, 11.1.6 | Fysisk adgang |
| 7.3 | 11.1.3 | Sikring af kontorer, lokaler og faciliteter |
| 7.4 | NY | Fysisk sikkerhedsovervågning |
| 7.5 | 11.1.4 | Beskyttelse mod fysiske og miljømæssige trusler |
| 7.6 | 11.1.5 | Arbejde i sikre områder |
| 7.7 | 11.2.9 | Overskueligt skrivebord og klar skærm |
| 7.8 | 11.2.1 | Udstyrsplacering og beskyttelse |
| 7.9 | 11.2.6 | Sikkerhed af aktiver uden for lokalerne |
| 7.10 | 08.3.1, 08.3.2, 08.3.3, 11.2.5 | Lagermedier |
| 7.11 | 11.2.2 | Understøttende hjælpeprogrammer |
| 7.12 | 11.2.3 | Kabler sikkerhed |
| 7.13 | 11.2.4 | Vedligeholdelse af udstyr |
| 7.14 | 11.2.7 | Sikker bortskaffelse eller genbrug af udstyr |
Hvordan ISMS.online hjælper
ISMS.online strømliner ISO 27002-implementeringsprocessen ved at levere en sofistikeret cloud-baseret ramme til dokumentation af informationssikkerhedsstyringssystemprocedurer og tjeklister for at sikre overholdelse af anerkendte standarder.
Tag kontakt og book en demo.
