Sikring af informationssikkerhed i outsourcet udvikling: ISO 27002 kontrol 8.30
Outsourcing af it-systemer og softwareudvikling til eksterne parter har mange fordele for virksomheder såsom reducerede omkostninger og større skalerbarhed. Disse effektivitetsgevinster bør dog ikke komme på bekostning af sikkerheden.
For eksempel kan eksterne tjenesteudbydere ikke have strenge adgangskontroller til netværk på plads, eller de kan undlade at anvende kryptering på industriniveau på data, der er lagret i skyen, hvilket fører til kompromittering af it-systemer og softwareprodukter.
Dette kan resultere i databrud og tab af tilgængelighed, fortrolighed eller integritet af informationsaktiver.
Ifølge en rapport fra Trustwave, spillede outsourcing af software og it-udvikling en rolle i mere end 60 % af alle databrud.
I betragtning af, at outsourcing uundgåeligt fører til tab af kontrol over udviklingsprocessen og gør det sværere at anvende og vedligeholde informationssikkerhedskrav, bør organisationer sikre, at eksterne parter overholder de informationssikkerhedskrav, som organisationen opstiller.
Formål med kontrol 8.30
Kontrol 8.30 gør det muligt for organisationer at sikre, at de etablerede informationssikkerhedskrav overholdes, når system- og softwareudviklingen outsources til eksterne leverandører.
Kontrolattributter 8.30
Kontrol 8.30 er både detektiv og forebyggende: Det kræver, at organisationer overvåger og overvåger alle outsourcingaktiviteter og sikrer, at den outsourcede udviklingsproces opfylder kravene til informationssikkerhed.
| Kontrol type | Informationssikkerhedsegenskaber | Cybersikkerhedskoncepter | Operationelle evner | Sikkerhedsdomæner |
|---|---|---|---|---|
| #Forebyggende | #Fortrolighed | #Identificere | #System- og netværkssikkerhed | #Governance og økosystem |
| #Detektiv | #Integritet | #Beskytte | #Applikationssikkerhed | #Beskyttelse |
| #Tilgængelighed | #Opdage | #Sikkerhed for leverandørforhold |
ISO 27001 gjort nemt
Et forspring på 81% fra dag ét
Vi har gjort det hårde arbejde for dig, hvilket giver dig en 81% forspring fra det øjeblik, du logger på. Alt du skal gøre er at udfylde de tomme felter.
Ejerskab af kontrol 8.30
Chief Information Security Officer bør være ansvarlig for at etablere og implementere nødvendige procedurer og kontroller for at sikre, at disse informationssikkerhedskrav kommunikeres til, accepteres af og overholdes af eksterne leverandører.
Generel vejledning om overholdelse
Generel vejledning fremhæver, at organisationer løbende bør overvåge og verificere, at leveringen af outsourcet udviklingsarbejde opfylder de krav til informationssikkerhed, der stilles til den eksterne tjenesteudbyder.
Control 8.30 anbefaler, at organisationer tager følgende 11 faktorer i betragtning, når de outsourcer udvikling:
- Indgåelse af aftaler, herunder licensaftaler, der omhandler ejerskab over kode og intellektuelle ejendomsrettigheder.
- Indførelse af passende kontraktmæssige krav til sikker design og kodning i overensstemmelse med kontrol 8.25 og 8.29.
- Etablering af en trusselsmodel, der skal vedtages af tredjepartsudviklere.
- Udførelse af en accepttestprocedure for at sikre kvaliteten og nøjagtigheden af leveret arbejde.
- Bevis på, at minimalt nødvendige privatlivs- og sikkerhedsfunktioner er opnået. Dette kan opnås via forsikringsrapporter.
- Opbevaring af dokumentation for, hvordan tilstrækkelig test er blevet udført for at beskytte det leverede it-system eller software mod skadeligt indhold.
- Opbevaring af beviser for, hvordan tilstrækkelig test er blevet anvendt til at beskytte mod identificerede sårbarheder.
- Indførelse af escrow-aftaler, der dækker softwarens kildekode. Det kan for eksempel omhandle, hvad der vil ske, hvis den eksterne leverandør går konkurs.
- Aftalen med leverandøren bør indebære ret for organisationen til at udføre revision af udviklingsprocesser og kontroller.
- Etablering og implementering af sikkerhedskrav til udviklingsmiljøet.
- Organisationer bør også overveje gældende love, vedtægter og regler.
Supplerende vejledning
For mere detaljeret vejledning om håndtering af leverandørforhold kan organisationer henvise til ISO/IEC 27036.
Administrer al din compliance, alt på ét sted
ISMS.online understøtter over 100 standarder og regler, hvilket giver dig en enkelt platform til alle dine overholdelsesbehov.
Ændringer og forskelle fra ISO 27002:2013
27002:2022/8.30 replaces 27002:2013/(14.2.7)
Samlet set er der ingen væsentlig forskel mellem de to versioner.
Nye ISO 27002 kontroller
| ISO/IEC 27002:2022 kontrolidentifikator | ISO/IEC 27002:2013 kontrolidentifikator | Kontrolnavn |
|---|---|---|
| 5.7 | NY | Trusselsintelligens |
| 5.23 | NY | Informationssikkerhed til brug af cloud-tjenester |
| 5.30 | NY | IKT-parathed til forretningskontinuitet |
| 7.4 | NY | Fysisk sikkerhedsovervågning |
| 8.9 | NY | Konfigurationsstyring |
| 8.10 | NY | Sletning af oplysninger |
| 8.11 | NY | Datamaskering |
| 8.12 | NY | Forebyggelse af datalækage |
| 8.16 | NY | Overvågning af aktiviteter |
| 8.23 | NY | Webfiltrering |
| 8.28 | NY | Sikker kodning |
| ISO/IEC 27002:2022 kontrolidentifikator | ISO/IEC 27002:2013 kontrolidentifikator | Kontrolnavn |
|---|---|---|
| 6.1 | 07.1.1 | Screening |
| 6.2 | 07.1.2 | Vilkår og betingelser for ansættelse |
| 6.3 | 07.2.2 | Informationssikkerhedsbevidsthed, uddannelse og træning |
| 6.4 | 07.2.3 | Disciplinær proces |
| 6.5 | 07.3.1 | Ansvar efter opsigelse eller ændring af ansættelsesforhold |
| 6.6 | 13.2.4 | Aftaler om fortrolighed eller tavshedspligt |
| 6.7 | 06.2.2 | Fjernbetjening |
| 6.8 | 16.1.2, 16.1.3 | Informationssikkerhedshændelsesrapportering |
| ISO/IEC 27002:2022 kontrolidentifikator | ISO/IEC 27002:2013 kontrolidentifikator | Kontrolnavn |
|---|---|---|
| 7.1 | 11.1.1 | Fysiske sikkerhedsomkredse |
| 7.2 | 11.1.2, 11.1.6 | Fysisk adgang |
| 7.3 | 11.1.3 | Sikring af kontorer, lokaler og faciliteter |
| 7.4 | NY | Fysisk sikkerhedsovervågning |
| 7.5 | 11.1.4 | Beskyttelse mod fysiske og miljømæssige trusler |
| 7.6 | 11.1.5 | Arbejde i sikre områder |
| 7.7 | 11.2.9 | Overskueligt skrivebord og klar skærm |
| 7.8 | 11.2.1 | Udstyrsplacering og beskyttelse |
| 7.9 | 11.2.6 | Sikkerhed af aktiver uden for lokalerne |
| 7.10 | 08.3.1, 08.3.2, 08.3.3, 11.2.5 | Lagermedier |
| 7.11 | 11.2.2 | Understøttende hjælpeprogrammer |
| 7.12 | 11.2.3 | Kabler sikkerhed |
| 7.13 | 11.2.4 | Vedligeholdelse af udstyr |
| 7.14 | 11.2.7 | Sikker bortskaffelse eller genbrug af udstyr |
Hvordan ISMS.online hjælper
Virksomheder kan bruge ISMS.Online til at hjælpe dem med deres ISO 27002-overholdelsesbestræbelser ved at give dem en platform, der gør det nemt at administrere deres sikkerhedspolitikker og -procedurer, opdatere dem efter behov, teste dem og overvåge deres effektivitet.
Vores cloud-baserede platform giver dig mulighed for hurtigt og nemt at administrere alle aspekter af dit ISMS, herunder risikostyring, politikker, planer, procedurer og mere, på ét centralt sted. Platformen er nem at bruge og har en intuitiv brugerflade, der gør det nemt at lære at bruge.
Kontakt i dag for book en demo.
