Outsourcing af it-systemer og softwareudvikling til eksterne parter har mange fordele for virksomheder såsom reducerede omkostninger og større skalerbarhed. Disse effektivitetsgevinster bør dog ikke komme på bekostning af sikkerheden.
For eksempel kan eksterne tjenesteudbydere ikke have strenge adgangskontroller til netværk på plads, eller de kan undlade at anvende kryptering på industriniveau på data, der er lagret i skyen, hvilket fører til kompromittering af it-systemer og softwareprodukter.
Dette kan resultere i databrud og tab af tilgængelighed, fortrolighed eller integritet af informationsaktiver.
Ifølge en rapport fra Trustwave, spillede outsourcing af software og it-udvikling en rolle i mere end 60 % af alle databrud.
I betragtning af, at outsourcing uundgåeligt fører til tab af kontrol over udviklingsprocessen og gør det sværere at anvende og vedligeholde informationssikkerhedskrav, bør organisationer sikre, at eksterne parter overholder de informationssikkerhedskrav, som organisationen opstiller.
Kontrol 8.30 gør det muligt for organisationer at sikre, at de etablerede informationssikkerhedskrav overholdes, når system- og softwareudviklingen outsources til eksterne leverandører.
Kontrol 8.30 er både detektiv og forebyggende: Det kræver, at organisationer overvåger og overvåger alle outsourcingaktiviteter og sikrer, at den outsourcede udviklingsproces opfylder kravene til informationssikkerhed.
| Kontrol type | Informationssikkerhedsegenskaber | Cybersikkerhedskoncepter | Operationelle evner | Sikkerhedsdomæner |
|---|---|---|---|---|
| #Forebyggende #Detektiv | #Fortrolighed #Integritet #Tilgængelighed | #Identificere #Beskytte #Opdage | #System- og netværkssikkerhed #Applikationssikkerhed #Sikkerhed for leverandørforhold | #Governance og økosystem #Beskyttelse |
Chief Information Security Officer bør være ansvarlig for at etablere og implementere nødvendige procedurer og kontroller for at sikre, at disse informationssikkerhedskrav kommunikeres til, accepteres af og overholdes af eksterne leverandører.
Generel vejledning fremhæver, at organisationer løbende bør overvåge og verificere, at leveringen af outsourcet udviklingsarbejde opfylder de krav til informationssikkerhed, der stilles til den eksterne tjenesteudbyder.
Control 8.30 anbefaler, at organisationer tager følgende 11 faktorer i betragtning, når de outsourcer udvikling:
For mere detaljeret vejledning om håndtering af leverandørforhold kan organisationer henvise til ISO/IEC 27036.
27002:2022/8.30 replace 27002:2013/(14.2.7)
Samlet set er der ingen væsentlig forskel mellem de to versioner.
Virksomheder kan bruge ISMS.Online til at hjælpe dem med deres ISO 27002-overholdelsesbestræbelser ved at give dem en platform, der gør det nemt at administrere deres sikkerhedspolitikker og -procedurer, opdatere dem efter behov, teste dem og overvåge deres effektivitet.
Vores cloud-baserede platform giver dig mulighed for hurtigt og nemt at administrere alle aspekter af dit ISMS, herunder risikostyring, politikker, planer, procedurer og mere, på ét centralt sted. Platformen er nem at bruge og har en intuitiv brugerflade, der gør det nemt at lære at bruge.
Kontakt i dag for book en demo.
| ISO/IEC 27002:2022 kontrolidentifikator | ISO/IEC 27002:2013 Kontrolidentifikator | Kontrolnavn |
|---|---|---|
| 5.7 | Ny | Trusselsintelligens |
| 5.23 | Ny | Informationssikkerhed til brug af cloud-tjenester |
| 5.30 | Ny | IKT-parathed til forretningskontinuitet |
| 7.4 | Ny | Fysisk sikkerhedsovervågning |
| 8.9 | Ny | Konfigurationsstyring |
| 8.10 | Ny | Sletning af oplysninger |
| 8.11 | Ny | Datamaskering |
| 8.12 | Ny | Forebyggelse af datalækage |
| 8.16 | Ny | Overvågning af aktiviteter |
| 8.23 | Ny | Webfiltrering |
| 8.28 | Ny | Sikker kodning |
| ISO/IEC 27002:2022 kontrolidentifikator | ISO/IEC 27002:2013 Kontrolidentifikator | Kontrolnavn |
|---|---|---|
| 6.1 | 07.1.1 | Screening |
| 6.2 | 07.1.2 | Vilkår og betingelser for ansættelse |
| 6.3 | 07.2.2 | Informationssikkerhedsbevidsthed, uddannelse og træning |
| 6.4 | 07.2.3 | Disciplinær proces |
| 6.5 | 07.3.1 | Ansvar efter opsigelse eller ændring af ansættelsesforhold |
| 6.6 | 13.2.4 | Aftaler om fortrolighed eller tavshedspligt |
| 6.7 | 06.2.2 | Fjernbetjening |
| 6.8 | 16.1.2, 16.1.3 | Informationssikkerhedshændelsesrapportering |
| ISO/IEC 27002:2022 kontrolidentifikator | ISO/IEC 27002:2013 Kontrolidentifikator | Kontrolnavn |
|---|---|---|
| 7.1 | 11.1.1 | Fysiske sikkerhedsomkredse |
| 7.2 | 11.1.2, 11.1.6 | Fysisk adgang |
| 7.3 | 11.1.3 | Sikring af kontorer, lokaler og faciliteter |
| 7.4 | Ny | Fysisk sikkerhedsovervågning |
| 7.5 | 11.1.4 | Beskyttelse mod fysiske og miljømæssige trusler |
| 7.6 | 11.1.5 | Arbejde i sikre områder |
| 7.7 | 11.2.9 | Overskueligt skrivebord og klar skærm |
| 7.8 | 11.2.1 | Udstyrsplacering og beskyttelse |
| 7.9 | 11.2.6 | Sikkerhed af aktiver uden for lokalerne |
| 7.10 | 08.3.1, 08.3.2, 08.3.3, 11.2.5 | Lagermedier |
| 7.11 | 11.2.2 | Understøttende hjælpeprogrammer |
| 7.12 | 11.2.3 | Kabler sikkerhed |
| 7.13 | 11.2.4 | Vedligeholdelse af udstyr |
| 7.14 | 11.2.7 | Sikker bortskaffelse eller genbrug af udstyr |
