Mens ikke-produktionstestmiljøer såsom iscenesættelsesmiljøer er afgørende for at bygge højkvalitets softwareprodukter og applikationer fri for fejl eller fejl, udsætter brugen af reelle data og mangel på sikkerhedsforanstaltninger i disse miljøer informationsaktiver for øgede risici.
For eksempel kan udviklere bruge legitimationsoplysninger, der er nemme at huske (f.eks. "admin" for både brugernavn og adgangskode) til at teste miljøer, hvor følsomme dataaktiver er gemt.
Dette kan udnyttes af cyberangribere til at få nem adgang til testmiljøer og stjæle følsomme informationsaktiver.
Derfor bør organisationer indføre passende kontroller og procedurer for at beskytte virkelige data, der bruges til test.
Kontrol 8.33 gør det muligt for organisationer at opnå to formål:
Kontrol 8.33 er en forebyggende form for kontrol, der kræver, at organisationer udvælger og beskytter de mest passende oplysninger til testfasen for at bevare oplysningernes fortrolighed og integritet.
| Kontrol type | Informationssikkerhedsegenskaber | Cybersikkerhedskoncepter | Operationelle evner | Sikkerhedsdomæner |
|---|---|---|---|---|
| #Forebyggende | #Fortrolighed #Integritet | #Beskytte | #Informationsbeskyttelse | #Beskyttelse |
I betragtning af, at kontrol 8.33 indebærer udvælgelse, beskyttelse og styring af de mest passende testoplysninger, der skal bruges til test, bør informationssikkerhedsansvarlige i samarbejde med udviklingsteamet være det endelige ansvar for at etablere passende kontroller og procedurer.
Organisationer bør ikke bruge følsomme oplysninger, herunder personlige data, i udviklings- og testmiljøer.
For at beskytte testoplysningerne mod tab af fortrolighed og integritet skal organisationer overholde følgende:
Endvidere bør organisationer anvende passende foranstaltninger for at sikre sikker opbevaring af informationsaktiver.
Det bemærkes, at system- og accepttest kan kræve en enorm mængde testinformation, svarende til driftsinformation.
27002:2022/8.33 replace 27002:2013/(14.3.1)
Selvom 2022-versionen i høj grad ligner 2013-versionen, introducerer 2022-versionen følgende krav:
27002:2013-versionen indeholdt derimod ikke dette krav.
ISMS.online er en cloud-baseret løsning, der hjælper virksomheder med at vise overholdelse af ISO 27002. ISMS.online-løsningen kan bruges til at håndtere kravene i ISO 27002 og sikre, at din organisation forbliver i overensstemmelse med den nye standard.
ISO 27002-standarden er blevet opdateret for at afspejle de voksende cybertrusler, vi står over for som samfund. Den nuværende standard blev først offentliggjort i 2005 og revideret i 2013 for at afspejle ændringer i teknologi, reguleringer og industristandarder. Den nye version af ISO 27002 inkorporerer disse opdateringer i ét dokument, ligesom den tilføjer nye krav til organisationer for at hjælpe dem bedre med at beskytte deres dataaktiver mod cyberangreb.
ISMS.online-løsningen hjælper organisationer med at implementere ISO 27002: 2022 ved at levere en letanvendelig ramme til dokumentation af informationssikkerhedspolitikker og -procedurer. Det giver også en central placering, hvor du kan gemme al din compliance-dokumentation, så den let kan tilgås af forskellige interessenter i virksomheden (f.eks. HR, IT).
Vores platform er brugervenlig og ligetil. Det er ikke kun for meget tekniske personer; det er for alle i din virksomhed.
Kontakt i dag for book en demo.
Vi giver dig et forspring på 81 %
fra det øjeblik du logger ind
Book din demo
| ISO/IEC 27002:2022 kontrolidentifikator | ISO/IEC 27002:2013 Kontrolidentifikator | Kontrolnavn |
|---|---|---|
| 5.7 | Ny | Trusselsintelligens |
| 5.23 | Ny | Informationssikkerhed til brug af cloud-tjenester |
| 5.30 | Ny | IKT-parathed til forretningskontinuitet |
| 7.4 | Ny | Fysisk sikkerhedsovervågning |
| 8.9 | Ny | Konfigurationsstyring |
| 8.10 | Ny | Sletning af oplysninger |
| 8.11 | Ny | Datamaskering |
| 8.12 | Ny | Forebyggelse af datalækage |
| 8.16 | Ny | Overvågning af aktiviteter |
| 8.23 | Ny | Webfiltrering |
| 8.28 | Ny | Sikker kodning |
| ISO/IEC 27002:2022 kontrolidentifikator | ISO/IEC 27002:2013 Kontrolidentifikator | Kontrolnavn |
|---|---|---|
| 6.1 | 07.1.1 | Screening |
| 6.2 | 07.1.2 | Vilkår og betingelser for ansættelse |
| 6.3 | 07.2.2 | Informationssikkerhedsbevidsthed, uddannelse og træning |
| 6.4 | 07.2.3 | Disciplinær proces |
| 6.5 | 07.3.1 | Ansvar efter opsigelse eller ændring af ansættelsesforhold |
| 6.6 | 13.2.4 | Aftaler om fortrolighed eller tavshedspligt |
| 6.7 | 06.2.2 | Fjernbetjening |
| 6.8 | 16.1.2, 16.1.3 | Informationssikkerhedshændelsesrapportering |
| ISO/IEC 27002:2022 kontrolidentifikator | ISO/IEC 27002:2013 Kontrolidentifikator | Kontrolnavn |
|---|---|---|
| 7.1 | 11.1.1 | Fysiske sikkerhedsomkredse |
| 7.2 | 11.1.2, 11.1.6 | Fysisk adgang |
| 7.3 | 11.1.3 | Sikring af kontorer, lokaler og faciliteter |
| 7.4 | Ny | Fysisk sikkerhedsovervågning |
| 7.5 | 11.1.4 | Beskyttelse mod fysiske og miljømæssige trusler |
| 7.6 | 11.1.5 | Arbejde i sikre områder |
| 7.7 | 11.2.9 | Overskueligt skrivebord og klar skærm |
| 7.8 | 11.2.1 | Udstyrsplacering og beskyttelse |
| 7.9 | 11.2.6 | Sikkerhed af aktiver uden for lokalerne |
| 7.10 | 08.3.1, 08.3.2, 08.3.3, 11.2.5 | Lagermedier |
| 7.11 | 11.2.2 | Understøttende hjælpeprogrammer |
| 7.12 | 11.2.3 | Kabler sikkerhed |
| 7.13 | 11.2.4 | Vedligeholdelse af udstyr |
| 7.14 | 11.2.7 | Sikker bortskaffelse eller genbrug af udstyr |
