ISO 27002 Kontrol 8.33: Nøglesikkerhedsovervejelser for testdata
Mens ikke-produktionstestmiljøer såsom iscenesættelsesmiljøer er afgørende for at bygge højkvalitets softwareprodukter og applikationer fri for fejl eller fejl, udsætter brugen af reelle data og mangel på sikkerhedsforanstaltninger i disse miljøer informationsaktiver for øgede risici.
For eksempel kan udviklere bruge legitimationsoplysninger, der er nemme at huske (f.eks. "admin" for både brugernavn og adgangskode) til at teste miljøer, hvor følsomme dataaktiver er gemt.
Dette kan udnyttes af cyberangribere til at få nem adgang til testmiljøer og stjæle følsomme informationsaktiver.
Derfor bør organisationer indføre passende kontroller og procedurer for at beskytte virkelige data, der bruges til test.
Formål med kontrol 8.33
Kontrol 8.33 gør det muligt for organisationer at opnå to formål:
- For at beskytte og opretholde fortroligheden af oplysninger, der bruges i testmiljøet.
- Udvælgelse og brug af testinformation, der vil give pålidelige resultater.
Attributter Kontroltabel 8.33
Kontrol 8.33 er en forebyggende form for kontrol, der kræver, at organisationer udvælger og beskytter de mest passende oplysninger til testfasen for at bevare oplysningernes fortrolighed og integritet.
| Kontrol type | Informationssikkerhedsegenskaber | Cybersikkerhedskoncepter | Operationelle evner | Sikkerhedsdomæner |
|---|---|---|---|---|
| #Forebyggende | #Fortrolighed | #Beskytte | #Informationsbeskyttelse | #Beskyttelse |
| #Integritet |
ISO 27001 gjort nemt
Et forspring på 81% fra dag ét
Vi har gjort det hårde arbejde for dig, hvilket giver dig en 81% forspring fra det øjeblik, du logger på. Alt du skal gøre er at udfylde de tomme felter.
Ejerskab af kontrol 8.33
I betragtning af, at kontrol 8.33 indebærer udvælgelse, beskyttelse og styring af de mest passende testoplysninger, der skal bruges til test, bør informationssikkerhedsansvarlige i samarbejde med udviklingsteamet være det endelige ansvar for at etablere passende kontroller og procedurer.
Generel vejledning om overholdelse
Organisationer bør ikke bruge følsomme oplysninger, herunder personlige data, i udviklings- og testmiljøer.
For at beskytte testoplysningerne mod tab af fortrolighed og integritet skal organisationer overholde følgende:
- Adgangskontroller, der anvendes i virkelige miljøer, bør også implementeres i testmiljøer.
- Etablering og implementering af en separat godkendelsesprocedure for kopiering af reel information til testmiljøer.
- For at holde et revisionsspor bør alle aktiviteter relateret til kopiering og brug af følsomme oplysninger i testmiljøer registreres.
- Hvis følsomme oplysninger vil blive brugt i testmiljøet, bør de beskyttes med passende kontroller, såsom datamaskering eller datafjernelse.
- Når testen er afsluttet, bør information, der bruges i testmiljøet, fjernes sikkert og permanent for at eliminere risikoen for uautoriseret adgang.
Endvidere bør organisationer anvende passende foranstaltninger for at sikre sikker opbevaring af informationsaktiver.
Supplerende vejledning om kontrol 8.33
Det bemærkes, at system- og accepttest kan kræve en enorm mængde testinformation, svarende til driftsinformation.
Administrer al din compliance, alt på ét sted
ISMS.online understøtter over 100 standarder og regler, hvilket giver dig en enkelt platform til alle dine overholdelsesbehov.
Ændringer og forskelle fra ISO 27002:2013
27002:2022/8.33 replaces 27002:2013/(14.3.1)
Selvom 2022-versionen i høj grad ligner 2013-versionen, introducerer 2022-versionen følgende krav:
- Hvis følsomme oplysninger vil blive brugt i testmiljøet, bør de beskyttes med passende kontroller, såsom datamaskering eller datafjernelse.
27002:2013-versionen indeholdt derimod ikke dette krav.
Nye ISO 27002 kontroller
| ISO/IEC 27002:2022 kontrolidentifikator | ISO/IEC 27002:2013 kontrolidentifikator | Kontrolnavn |
|---|---|---|
| 5.7 | NY | Trusselsintelligens |
| 5.23 | NY | Informationssikkerhed til brug af cloud-tjenester |
| 5.30 | NY | IKT-parathed til forretningskontinuitet |
| 7.4 | NY | Fysisk sikkerhedsovervågning |
| 8.9 | NY | Konfigurationsstyring |
| 8.10 | NY | Sletning af oplysninger |
| 8.11 | NY | Datamaskering |
| 8.12 | NY | Forebyggelse af datalækage |
| 8.16 | NY | Overvågning af aktiviteter |
| 8.23 | NY | Webfiltrering |
| 8.28 | NY | Sikker kodning |
| ISO/IEC 27002:2022 kontrolidentifikator | ISO/IEC 27002:2013 kontrolidentifikator | Kontrolnavn |
|---|---|---|
| 6.1 | 07.1.1 | Screening |
| 6.2 | 07.1.2 | Vilkår og betingelser for ansættelse |
| 6.3 | 07.2.2 | Informationssikkerhedsbevidsthed, uddannelse og træning |
| 6.4 | 07.2.3 | Disciplinær proces |
| 6.5 | 07.3.1 | Ansvar efter opsigelse eller ændring af ansættelsesforhold |
| 6.6 | 13.2.4 | Aftaler om fortrolighed eller tavshedspligt |
| 6.7 | 06.2.2 | Fjernbetjening |
| 6.8 | 16.1.2, 16.1.3 | Informationssikkerhedshændelsesrapportering |
| ISO/IEC 27002:2022 kontrolidentifikator | ISO/IEC 27002:2013 kontrolidentifikator | Kontrolnavn |
|---|---|---|
| 7.1 | 11.1.1 | Fysiske sikkerhedsomkredse |
| 7.2 | 11.1.2, 11.1.6 | Fysisk adgang |
| 7.3 | 11.1.3 | Sikring af kontorer, lokaler og faciliteter |
| 7.4 | NY | Fysisk sikkerhedsovervågning |
| 7.5 | 11.1.4 | Beskyttelse mod fysiske og miljømæssige trusler |
| 7.6 | 11.1.5 | Arbejde i sikre områder |
| 7.7 | 11.2.9 | Overskueligt skrivebord og klar skærm |
| 7.8 | 11.2.1 | Udstyrsplacering og beskyttelse |
| 7.9 | 11.2.6 | Sikkerhed af aktiver uden for lokalerne |
| 7.10 | 08.3.1, 08.3.2, 08.3.3, 11.2.5 | Lagermedier |
| 7.11 | 11.2.2 | Understøttende hjælpeprogrammer |
| 7.12 | 11.2.3 | Kabler sikkerhed |
| 7.13 | 11.2.4 | Vedligeholdelse af udstyr |
| 7.14 | 11.2.7 | Sikker bortskaffelse eller genbrug af udstyr |
Hvordan ISMS.online hjælper
ISMS.online er en cloud-baseret løsning, der hjælper virksomheder med at vise overholdelse af ISO 27002. ISMS.online-løsningen kan bruges til at håndtere kravene i ISO 27002 og sikre, at din organisation forbliver i overensstemmelse med den nye standard.
ISO 27002-standarden er blevet opdateret for at afspejle de voksende cybertrusler, vi står over for som samfund. Den nuværende standard blev først offentliggjort i 2005 og revideret i 2013 for at afspejle ændringer i teknologi, reguleringer og industristandarder. Den nye version af ISO 27002 inkorporerer disse opdateringer i ét dokument, ligesom den tilføjer nye krav til organisationer for at hjælpe dem bedre med at beskytte deres dataaktiver mod cyberangreb.
ISMS.online-løsningen hjælper organisationer med at implementere ISO 27002: 2022 ved at levere en letanvendelig ramme til dokumentation af informationssikkerhedspolitikker og -procedurer. Det giver også en central placering, hvor du kan gemme al din compliance-dokumentation, så den let kan tilgås af forskellige interessenter i virksomheden (f.eks. HR, IT).
Vores platform er brugervenlig og ligetil. Det er ikke kun for meget tekniske personer; det er for alle i din virksomhed.
Kontakt i dag for book en demo.
