Revisionstests spiller en afgørende rolle i at opdage og eliminere sikkerhedsrisici og sårbarheder i informationssystemerne.
Imidlertid revisionsproces, uanset om de udføres i drifts-, test- eller udviklingsmiljøer, kan udsætte følsom information for risici for uautoriseret offentliggørelse eller tab af integritet og tilgængelighed.
Kontrol 8.34 omhandler, hvordan organisationer kan vedligeholde sikkerhed for informationsaktiver under revisionsprøver.
Kontrol 8.34 gør det muligt for organisationer at eliminere og mindske risici for informationssystemers sikkerhed og til kontinuiteten i forretningsdriften ved at etablere og anvende passende foranstaltninger og kontroller såsom adgangsbegrænsninger og skrivebeskyttede adgangsbegrænsninger.
Kontrol 8.34 er af forebyggende karakter, da den kræver øverste ledelse og revisor til at planlægge og aftale revisionstestning procedurer, restriktioner og kontroller forud for udførelse af revisioner.
| Kontrol type | Informationssikkerhedsegenskaber | Cybersikkerhedskoncepter | Operationelle evner | Sikkerhedsdomæner |
|---|---|---|---|---|
| #Forebyggende | #Fortrolighed #Integritet #Tilgængelighed | #Beskytte | #System- og netværkssikkerhed #Informationsbeskyttelse | #Governance og økosystem #Beskyttelse |
IT ledelsesteamet bør være ansvarligt for at planlægge og aftale revisionsprocedurer og at skabe og anvende nødvendige foranstaltninger.
Kontrol 8.34 angiver otte specifikke krav, som organisationer bør overveje:
Når der udføres audit på test- eller udviklingsmiljøer, bør organisationer være forsigtige over for følgende risici:
27002:2022/8.34 replace 27002:2013/(12.7.1)
Selvom 2022-versionen i høj grad ligner 2013-versionen, er der to vigtige forskelle.
2022-versionen introducerer følgende krav, som ikke blev henvist til i 2013-versionen:
Hvis en adgangsanmodning er godkendt, bør organisationer først verificere, at enheder, der bruges til at få adgang til systemer, opfylder sikkerhedskravene, før de giver adgang.
I den supplerende vejledning advarer 2022-versionen organisationer mod sikkerhedsrisici på grund af audit udført på test- og udviklingsmiljøer. 2013-versionen henviste tværtimod ikke til test- og udviklingsmiljøerne.
ISO 27002 implementering er enklere med vores trin-for-trin tjekliste, der guider dig gennem hele processen, fra at definere omfanget af dit ISMS til risikoidentifikation og kontrolimplementering.
Vores platform er intuitiv og nem at bruge. Det er ikke kun for meget tekniske mennesker; det er for alle i din organisation. Vi opfordrer dig til at involvere medarbejdere på alle niveauer af din virksomhed i processen med at opbygge din ismer, fordi det hjælper dig med at bygge et virkelig bæredygtigt system.
Kontakt i dag for book en demo.
Vi giver dig et forspring på 81 %
fra det øjeblik du logger ind
Book din demo
| ISO/IEC 27002:2022 kontrolidentifikator | ISO/IEC 27002:2013 Kontrolidentifikator | Kontrolnavn |
|---|---|---|
| 5.7 | Ny | Trusselsintelligens |
| 5.23 | Ny | Informationssikkerhed til brug af cloud-tjenester |
| 5.30 | Ny | IKT-parathed til forretningskontinuitet |
| 7.4 | Ny | Fysisk sikkerhedsovervågning |
| 8.9 | Ny | Konfigurationsstyring |
| 8.10 | Ny | Sletning af oplysninger |
| 8.11 | Ny | Datamaskering |
| 8.12 | Ny | Forebyggelse af datalækage |
| 8.16 | Ny | Overvågning af aktiviteter |
| 8.23 | Ny | Webfiltrering |
| 8.28 | Ny | Sikker kodning |
| ISO/IEC 27002:2022 kontrolidentifikator | ISO/IEC 27002:2013 Kontrolidentifikator | Kontrolnavn |
|---|---|---|
| 6.1 | 07.1.1 | Screening |
| 6.2 | 07.1.2 | Vilkår og betingelser for ansættelse |
| 6.3 | 07.2.2 | Informationssikkerhedsbevidsthed, uddannelse og træning |
| 6.4 | 07.2.3 | Disciplinær proces |
| 6.5 | 07.3.1 | Ansvar efter opsigelse eller ændring af ansættelsesforhold |
| 6.6 | 13.2.4 | Aftaler om fortrolighed eller tavshedspligt |
| 6.7 | 06.2.2 | Fjernbetjening |
| 6.8 | 16.1.2, 16.1.3 | Informationssikkerhedshændelsesrapportering |
| ISO/IEC 27002:2022 kontrolidentifikator | ISO/IEC 27002:2013 Kontrolidentifikator | Kontrolnavn |
|---|---|---|
| 7.1 | 11.1.1 | Fysiske sikkerhedsomkredse |
| 7.2 | 11.1.2, 11.1.6 | Fysisk adgang |
| 7.3 | 11.1.3 | Sikring af kontorer, lokaler og faciliteter |
| 7.4 | Ny | Fysisk sikkerhedsovervågning |
| 7.5 | 11.1.4 | Beskyttelse mod fysiske og miljømæssige trusler |
| 7.6 | 11.1.5 | Arbejde i sikre områder |
| 7.7 | 11.2.9 | Overskueligt skrivebord og klar skærm |
| 7.8 | 11.2.1 | Udstyrsplacering og beskyttelse |
| 7.9 | 11.2.6 | Sikkerhed af aktiver uden for lokalerne |
| 7.10 | 08.3.1, 08.3.2, 08.3.3, 11.2.5 | Lagermedier |
| 7.11 | 11.2.2 | Understøttende hjælpeprogrammer |
| 7.12 | 11.2.3 | Kabler sikkerhed |
| 7.13 | 11.2.4 | Vedligeholdelse af udstyr |
| 7.14 | 11.2.7 | Sikker bortskaffelse eller genbrug af udstyr |
