ISO 27002:2022 – Kontrol 8.34 – Beskyttelse af informationssystemer under revisionstestning

Sikring af sikre informationssystemer under audits: ISO 27002 kontrol 8.34 forklaret

Revisionstests spiller en afgørende rolle i at opdage og eliminere sikkerhedsrisici og sårbarheder i informationssystemerne.

Imidlertid revisionsproces, uanset om de udføres i drifts-, test- eller udviklingsmiljøer, kan udsætte følsom information for risici for uautoriseret offentliggørelse eller tab af integritet og tilgængelighed.

Kontrol 8.34 omhandler, hvordan organisationer kan vedligeholde sikkerhed for informationsaktiver under revisionsprøver.

Formål med kontrol 8.34

Kontrol 8.34 gør det muligt for organisationer at eliminere og mindske risici for informationssystemers sikkerhed og til kontinuiteten i forretningsdriften ved at etablere og anvende passende foranstaltninger og kontroller såsom adgangsbegrænsninger og skrivebeskyttede adgangsbegrænsninger.

Attributter Kontroltabel 8.34

Kontrol 8.34 er af forebyggende karakter, da den kræver øverste ledelse og revisor til at planlægge og aftale revisionstestning procedurer, restriktioner og kontroller forud for udførelse af revisioner.

Ejerskab af kontrol 8.34

IT ledelsesteamet bør være ansvarligt for at planlægge og aftale revisionsprocedurer og at skabe og anvende nødvendige foranstaltninger.

Generel vejledning om overholdelse

Kontrol 8.34 angiver otte specifikke krav, som organisationer bør overveje:

1. Hensigtsmæssig ledelse og revisor bør aftale adgang til systemer og informationsaktiver.
2. Aftale om omfanget af tekniske revisionstest, der skal udføres.
3. Organisationer kan kun give skrivebeskyttet adgang til information og software. Hvis det ikke er muligt at anvende skrivebeskyttet teknik, kan en administrator med nødvendige adgangsrettigheder få adgang til systemer eller data på vegne af revisor.
4. Hvis en adgangsanmodning er godkendt, bør organisationer først verificere, at enheder, der bruges til at få adgang til systemer, opfylder sikkerhedskravene, før de giver adgang.
5. Adgang bør kun gives for isolerede kopier af filer udtrukket fra systemet. Disse kopier bør slettes permanent, når revisionen er afsluttet, medmindre der er en forpligtelse til at opbevare disse filer. Hvis skrivebeskyttet adgang er mulig, gælder denne kontrol ikke.
6. Anmodninger fra revisorer om at udføre særlig behandling, såsom implementering af revisionsværktøjer, bør godkendes af ledelsen.
7. Hvis et revision risikerer at påvirke systemets tilgængelighed, bør revisionen udføres uden for åbningstiden for at opretholde tilgængeligheden af ​​oplysninger.
8. Adgangsanmodninger lavet til revisioner skal logges til revisionssporet.

Supplerende vejledning om kontrol 8.34

Når der udføres audit på test- eller udviklingsmiljøer, bør organisationer være forsigtige over for følgende risici:

• Kompromittering af kodens integritet.
• Tab af fortrolighed af følsomme oplysninger.

Ændringer og forskelle fra ISO 27002:2013

27002:2022/8.34 replaces 27002:2013/(12.7.1)

Selvom 2022-versionen i høj grad ligner 2013-versionen, er der to vigtige forskelle.

ISO 27002:2022-versionen introducerer et nyt krav

2022-versionen introducerer følgende krav, som ikke blev henvist til i 2013-versionen:

Hvis en adgangsanmodning er godkendt, bør organisationer først verificere, at enheder, der bruges til at få adgang til systemer, opfylder sikkerhedskravene, før de giver adgang.

2022-versionen omhandler test- og udviklingsmiljøer

I den supplerende vejledning advarer 2022-versionen organisationer mod sikkerhedsrisici på grund af audit udført på test- og udviklingsmiljøer. 2013-versionen henviste tværtimod ikke til test- og udviklingsmiljøerne.

Nye ISO 27002 kontroller

Hvordan ISMS.online hjælper

ISO 27002 implementering er enklere med vores trin-for-trin tjekliste, der guider dig gennem hele processen, fra at definere omfanget af dit ISMS til risikoidentifikation og kontrolimplementering.

Vores platform er intuitiv og nem at bruge. Det er ikke kun for meget tekniske mennesker; det er for alle i din organisation. Vi opfordrer dig til at involvere medarbejdere på alle niveauer af din virksomhed i processen med at opbygge din ismer, fordi det hjælper dig med at bygge et virkelig bæredygtigt system.

Kontakt i dag for book en demo.