ISO 27002:2022 – Kontrol 8.30 – Outsourcet udvikling

Sikring af informationssikkerhed i outsourcet udvikling: ISO 27002 kontrol 8.30

Outsourcing af it-systemer og softwareudvikling til eksterne parter har mange fordele for virksomheder såsom reducerede omkostninger og større skalerbarhed. Disse effektivitetsgevinster bør dog ikke komme på bekostning af sikkerheden.

For eksempel kan eksterne tjenesteudbydere ikke have strenge adgangskontroller til netværk på plads, eller de kan undlade at anvende kryptering på industriniveau på data, der er lagret i skyen, hvilket fører til kompromittering af it-systemer og softwareprodukter.

Dette kan resultere i databrud og tab af tilgængelighed, fortrolighed eller integritet af informationsaktiver.

Ifølge en rapport fra Trustwave, spillede outsourcing af software og it-udvikling en rolle i mere end 60 % af alle databrud.

I betragtning af, at outsourcing uundgåeligt fører til tab af kontrol over udviklingsprocessen og gør det sværere at anvende og vedligeholde informationssikkerhedskrav, bør organisationer sikre, at eksterne parter overholder de informationssikkerhedskrav, som organisationen opstiller.

Formål med kontrol 8.30

Kontrol 8.30 gør det muligt for organisationer at sikre, at de etablerede informationssikkerhedskrav overholdes, når system- og softwareudviklingen outsources til eksterne leverandører.

Kontrolattributter 8.30

Kontrol 8.30 er både detektiv og forebyggende: Det kræver, at organisationer overvåger og overvåger alle outsourcingaktiviteter og sikrer, at den outsourcede udviklingsproces opfylder kravene til informationssikkerhed.

Ejerskab af kontrol 8.30

Chief Information Security Officer bør være ansvarlig for at etablere og implementere nødvendige procedurer og kontroller for at sikre, at disse informationssikkerhedskrav kommunikeres til, accepteres af og overholdes af eksterne leverandører.

Generel vejledning om overholdelse

Generel vejledning fremhæver, at organisationer løbende bør overvåge og verificere, at leveringen af ​​outsourcet udviklingsarbejde opfylder de krav til informationssikkerhed, der stilles til den eksterne tjenesteudbyder.

Control 8.30 anbefaler, at organisationer tager følgende 11 faktorer i betragtning, når de outsourcer udvikling:

1. Indgåelse af aftaler, herunder licensaftaler, der omhandler ejerskab over kode og intellektuelle ejendomsrettigheder.
2. Indførelse af passende kontraktmæssige krav til sikker design og kodning i overensstemmelse med kontrol 8.25 og 8.29.
3. Etablering af en trusselsmodel, der skal vedtages af tredjepartsudviklere.
4. Udførelse af en accepttestprocedure for at sikre kvaliteten og nøjagtigheden af ​​leveret arbejde.
5. Bevis på, at minimalt nødvendige privatlivs- og sikkerhedsfunktioner er opnået. Dette kan opnås via forsikringsrapporter.
6. Opbevaring af dokumentation for, hvordan tilstrækkelig test er blevet udført for at beskytte det leverede it-system eller software mod skadeligt indhold.
7. Opbevaring af beviser for, hvordan tilstrækkelig test er blevet anvendt til at beskytte mod identificerede sårbarheder.
8. Indførelse af escrow-aftaler, der dækker softwarens kildekode. Det kan for eksempel omhandle, hvad der vil ske, hvis den eksterne leverandør går konkurs.
9. Aftalen med leverandøren bør indebære ret for organisationen til at udføre revision af udviklingsprocesser og kontroller.
10. Etablering og implementering af sikkerhedskrav til udviklingsmiljøet.
11. Organisationer bør også overveje gældende love, vedtægter og regler.

Supplerende vejledning

For mere detaljeret vejledning om håndtering af leverandørforhold kan organisationer henvise til ISO/IEC 27036.

Ændringer og forskelle fra ISO 27002:2013

27002:2022/8.30 replaces 27002:2013/(14.2.7)

Samlet set er der ingen væsentlig forskel mellem de to versioner.

Nye ISO 27002 kontroller

Hvordan ISMS.online hjælper

Virksomheder kan bruge ISMS.Online til at hjælpe dem med deres ISO 27002-overholdelsesbestræbelser ved at give dem en platform, der gør det nemt at administrere deres sikkerhedspolitikker og -procedurer, opdatere dem efter behov, teste dem og overvåge deres effektivitet.

Vores cloud-baserede platform giver dig mulighed for hurtigt og nemt at administrere alle aspekter af dit ISMS, herunder risikostyring, politikker, planer, procedurer og mere, på ét centralt sted. Platformen er nem at bruge og har en intuitiv brugerflade, der gør det nemt at lære at bruge.

Kontakt i dag for book en demo.