ISO 27002:2022 – Kontrol 8.33 – Testinformation

ISO 27002 Kontrol 8.33: Nøglesikkerhedsovervejelser for testdata

Mens ikke-produktionstestmiljøer såsom iscenesættelsesmiljøer er afgørende for at bygge højkvalitets softwareprodukter og applikationer fri for fejl eller fejl, udsætter brugen af ​​reelle data og mangel på sikkerhedsforanstaltninger i disse miljøer informationsaktiver for øgede risici.

For eksempel kan udviklere bruge legitimationsoplysninger, der er nemme at huske (f.eks. "admin" for både brugernavn og adgangskode) til at teste miljøer, hvor følsomme dataaktiver er gemt.

Dette kan udnyttes af cyberangribere til at få nem adgang til testmiljøer og stjæle følsomme informationsaktiver.

Derfor bør organisationer indføre passende kontroller og procedurer for at beskytte virkelige data, der bruges til test.

Formål med kontrol 8.33

Kontrol 8.33 gør det muligt for organisationer at opnå to formål:

• For at beskytte og opretholde fortroligheden af ​​oplysninger, der bruges i testmiljøet.
• Udvælgelse og brug af testinformation, der vil give pålidelige resultater.

Attributter Kontroltabel 8.33

Kontrol 8.33 er en forebyggende form for kontrol, der kræver, at organisationer udvælger og beskytter de mest passende oplysninger til testfasen for at bevare oplysningernes fortrolighed og integritet.

Ejerskab af kontrol 8.33

I betragtning af, at kontrol 8.33 indebærer udvælgelse, beskyttelse og styring af de mest passende testoplysninger, der skal bruges til test, bør informationssikkerhedsansvarlige i samarbejde med udviklingsteamet være det endelige ansvar for at etablere passende kontroller og procedurer.

Generel vejledning om overholdelse

Organisationer bør ikke bruge følsomme oplysninger, herunder personlige data, i udviklings- og testmiljøer.

For at beskytte testoplysningerne mod tab af fortrolighed og integritet skal organisationer overholde følgende:

• Adgangskontroller, der anvendes i virkelige miljøer, bør også implementeres i testmiljøer.
• Etablering og implementering af en separat godkendelsesprocedure for kopiering af reel information til testmiljøer.
• For at holde et revisionsspor bør alle aktiviteter relateret til kopiering og brug af følsomme oplysninger i testmiljøer registreres.
• Hvis følsomme oplysninger vil blive brugt i testmiljøet, bør de beskyttes med passende kontroller, såsom datamaskering eller datafjernelse.
• Når testen er afsluttet, bør information, der bruges i testmiljøet, fjernes sikkert og permanent for at eliminere risikoen for uautoriseret adgang.

Endvidere bør organisationer anvende passende foranstaltninger for at sikre sikker opbevaring af informationsaktiver.

Supplerende vejledning om kontrol 8.33

Det bemærkes, at system- og accepttest kan kræve en enorm mængde testinformation, svarende til driftsinformation.

Ændringer og forskelle fra ISO 27002:2013

27002:2022/8.33 replaces 27002:2013/(14.3.1)

Selvom 2022-versionen i høj grad ligner 2013-versionen, introducerer 2022-versionen følgende krav:

• Hvis følsomme oplysninger vil blive brugt i testmiljøet, bør de beskyttes med passende kontroller, såsom datamaskering eller datafjernelse.

27002:2013-versionen indeholdt derimod ikke dette krav.

Nye ISO 27002 kontroller

Hvordan ISMS.online hjælper

ISMS.online er en cloud-baseret løsning, der hjælper virksomheder med at vise overholdelse af ISO 27002. ISMS.online-løsningen kan bruges til at håndtere kravene i ISO 27002 og sikre, at din organisation forbliver i overensstemmelse med den nye standard.

ISO 27002-standarden er blevet opdateret for at afspejle de voksende cybertrusler, vi står over for som samfund. Den nuværende standard blev først offentliggjort i 2005 og revideret i 2013 for at afspejle ændringer i teknologi, reguleringer og industristandarder. Den nye version af ISO 27002 inkorporerer disse opdateringer i ét dokument, ligesom den tilføjer nye krav til organisationer for at hjælpe dem bedre med at beskytte deres dataaktiver mod cyberangreb.

ISMS.online-løsningen hjælper organisationer med at implementere ISO 27002: 2022 ved at levere en letanvendelig ramme til dokumentation af informationssikkerhedspolitikker og -procedurer. Det giver også en central placering, hvor du kan gemme al din compliance-dokumentation, så den let kan tilgås af forskellige interessenter i virksomheden (f.eks. HR, IT).

Vores platform er brugervenlig og ligetil. Det er ikke kun for meget tekniske personer; det er for alle i din virksomhed.

Kontakt i dag for book en demo.