Sikring af sikre informationssystemer under audits: ISO 27002 kontrol 8.34 forklaret
Revisionstest spiller en afgørende rolle i at opdage og eliminere sikkerhedsrisici og sårbarheder i informationssystemer.
Revisionsprocessen kan dog , uanset om den udføres i drifts-, test- eller udviklingsmiljøer, udsætte følsomme oplysninger for risikoen for uautoriseret videregivelse eller tab af integritet og tilgængelighed.
Kontrol 8.34 omhandler, hvordan organisationer kan opretholde sikkerheden af informationsaktiver under revisionstest.
Formål med kontrol 8.34
Kontrol 8.34 gør det muligt for organisationer at eliminere og afbøde risici for informationssystemernes sikkerhed og for forretningsdriftens kontinuitet ved at etablere og anvende passende foranstaltninger og kontroller, såsom adgangsbegrænsninger og skrivebeskyttede adgangsbegrænsninger.
Attributter Kontroltabel 8.34
Kontrol 8.34 er af forebyggende karakter, da den kræver, at den øverste ledelse og revisor planlægger og aftaler procedurer for revisionstest, begrænsninger og kontroller, inden revisioner udføres.
| Kontrol type | Informationssikkerhedsegenskaber | Cybersikkerhedskoncepter | Operationelle evner | Sikkerhedsdomæner |
|---|---|---|---|---|
| #Forebyggende | #Fortrolighed | #Beskytte | #System- og netværkssikkerhed | #Governance og økosystem |
| #Integritet | #Informationsbeskyttelse | #Beskyttelse | ||
| #Tilgængelighed |
ISO 27001 gjort nemt
Et forspring på 81% fra dag ét
Vi har gjort det hårde arbejde for dig, hvilket giver dig en 81% forspring fra det øjeblik, du logger på. Alt du skal gøre er at udfylde de tomme felter.
Ejerskab af kontrol 8.34
IT- ledelsesteamet bør være ansvarligt for at planlægge og aftale revisionsprocedurer samt for at udarbejde og anvende nødvendige foranstaltninger.
Generel vejledning om overholdelse
Kontrol 8.34 angiver otte specifikke krav, som organisationer bør overveje:
- Hensigtsmæssig ledelse og revisor bør aftale adgang til systemer og informationsaktiver.
- Aftale om omfanget af tekniske revisionstest, der skal udføres.
- Organisationer kan kun give skrivebeskyttet adgang til information og software. Hvis det ikke er muligt at anvende skrivebeskyttet teknik, kan en administrator med nødvendige adgangsrettigheder få adgang til systemer eller data på vegne af revisor.
- Hvis en adgangsanmodning er godkendt, bør organisationer først verificere, at enheder, der bruges til at få adgang til systemer, opfylder sikkerhedskravene, før de giver adgang.
- Adgang bør kun gives for isolerede kopier af filer udtrukket fra systemet. Disse kopier bør slettes permanent, når revisionen er afsluttet, medmindre der er en forpligtelse til at opbevare disse filer. Hvis skrivebeskyttet adgang er mulig, gælder denne kontrol ikke.
- Anmodninger fra revisorer om at udføre særlig behandling, såsom implementering af revisionsværktøjer, bør godkendes af ledelsen.
- Hvis et revision risikerer at påvirke systemets tilgængelighed, bør revisionen udføres uden for åbningstiden for at opretholde tilgængeligheden af oplysninger.
- Adgangsanmodninger lavet til revisioner skal logges til revisionssporet.
Supplerende vejledning om kontrol 8.34
Når der udføres audit på test- eller udviklingsmiljøer, bør organisationer være forsigtige over for følgende risici:
- Kompromittering af kodens integritet.
- Tab af fortrolighed af følsomme oplysninger.
Administrer al din compliance, alt på ét sted
ISMS.online understøtter over 100 standarder og regler, hvilket giver dig en enkelt platform til alle dine overholdelsesbehov.
Ændringer og forskelle fra ISO 27002:2013
27002:2022/8.34 replaces 27002:2013/(12.7.1)
Selvom 2022-versionen i høj grad ligner 2013-versionen, er der to vigtige forskelle.
ISO 27002:2022-versionen introducerer et nyt krav
2022-versionen introducerer følgende krav, som ikke blev henvist til i 2013-versionen:
Hvis en adgangsanmodning er godkendt, bør organisationer først verificere, at enheder, der bruges til at få adgang til systemer, opfylder sikkerhedskravene, før de giver adgang.
2022-versionen omhandler test- og udviklingsmiljøer
I den supplerende vejledning advarer 2022-versionen organisationer mod sikkerhedsrisici som følge af revisioner udført på test- og udviklingsmiljøer. 2013-versionen henviste derimod ikke til test- og udviklingsmiljøerne.
Nye ISO 27002 kontroller
| ISO/IEC 27002:2022 kontrolidentifikator | ISO/IEC 27002:2013 kontrolidentifikator | Kontrolnavn |
|---|---|---|
| 5.7 | NY | Trusselsintelligens |
| 5.23 | NY | Informationssikkerhed til brug af cloud-tjenester |
| 5.30 | NY | IKT-parathed til forretningskontinuitet |
| 7.4 | NY | Fysisk sikkerhedsovervågning |
| 8.9 | NY | Konfigurationsstyring |
| 8.10 | NY | Sletning af oplysninger |
| 8.11 | NY | Datamaskering |
| 8.12 | NY | Forebyggelse af datalækage |
| 8.16 | NY | Overvågning af aktiviteter |
| 8.23 | NY | Webfiltrering |
| 8.28 | NY | Sikker kodning |
| ISO/IEC 27002:2022 kontrolidentifikator | ISO/IEC 27002:2013 kontrolidentifikator | Kontrolnavn |
|---|---|---|
| 6.1 | 07.1.1 | Screening |
| 6.2 | 07.1.2 | Vilkår og betingelser for ansættelse |
| 6.3 | 07.2.2 | Informationssikkerhedsbevidsthed, uddannelse og træning |
| 6.4 | 07.2.3 | Disciplinær proces |
| 6.5 | 07.3.1 | Ansvar efter opsigelse eller ændring af ansættelsesforhold |
| 6.6 | 13.2.4 | Aftaler om fortrolighed eller tavshedspligt |
| 6.7 | 06.2.2 | Fjernbetjening |
| 6.8 | 16.1.2, 16.1.3 | Informationssikkerhedshændelsesrapportering |
| ISO/IEC 27002:2022 kontrolidentifikator | ISO/IEC 27002:2013 kontrolidentifikator | Kontrolnavn |
|---|---|---|
| 7.1 | 11.1.1 | Fysiske sikkerhedsomkredse |
| 7.2 | 11.1.2, 11.1.6 | Fysisk adgang |
| 7.3 | 11.1.3 | Sikring af kontorer, lokaler og faciliteter |
| 7.4 | NY | Fysisk sikkerhedsovervågning |
| 7.5 | 11.1.4 | Beskyttelse mod fysiske og miljømæssige trusler |
| 7.6 | 11.1.5 | Arbejde i sikre områder |
| 7.7 | 11.2.9 | Overskueligt skrivebord og klar skærm |
| 7.8 | 11.2.1 | Udstyrsplacering og beskyttelse |
| 7.9 | 11.2.6 | Sikkerhed af aktiver uden for lokalerne |
| 7.10 | 08.3.1, 08.3.2, 08.3.3, 11.2.5 | Lagermedier |
| 7.11 | 11.2.2 | Understøttende hjælpeprogrammer |
| 7.12 | 11.2.3 | Kabler sikkerhed |
| 7.13 | 11.2.4 | Vedligeholdelse af udstyr |
| 7.14 | 11.2.7 | Sikker bortskaffelse eller genbrug af udstyr |
Hvordan ISMS.online hjælper
ISO 27002- implementeringen er enklere med vores trinvise tjekliste, der guider dig gennem hele processen, fra definition af omfanget af dit ISMS til risikoidentifikation og implementering af kontrol.
Vores platform er intuitiv og brugervenlig. Den er ikke kun for meget teknisk kyndige personer; den er for alle i din organisation. Vi opfordrer dig til at involvere personale på alle niveauer i din virksomhed i processen med at opbygge dit ISMS , fordi det hjælper dig med at opbygge et virkelig bæredygtigt system.
Kontakt os i dag for at booke en demo.
