ISO 27002:2022 – Kontrol 8.4 – Adgang til kildekode

Formål med kontrol 8.4

Med henblik på ISO 27002, Kontrol 8.4 definerer "kildekode" som den underliggende kode, specifikationer og planer, der bruges til at skabe applikationer, programmer og processer, der er organisationens egen ejendom.

Når man diskuterer adgang til kildekode, lægger Control 8.4 lige så stor vægt på udviklingsværktøjer (kompilatorer, testmiljøer osv.).

Håndtering af kildekode repræsenterer en unik risiko til enhver organisation, der har behov for at opbevare den. Elementer af forretningskritisk kildekode omfatter produktionsdata, beskyttede konfigurationsdetaljer og aspekter af en organisations IP.

Kontrol 8.4 er en forebyggende kontrol at ændrer risikoen ved at etablere et sæt underliggende dataadgangsprincipper (i overensstemmelse med en organisations bredere sæt af adgangskontroller), der styrer læse/skriveadgang til:

• Kildekode
• Udviklingsværktøjer
• Software biblioteker

Attributter Kontroltabel 8.4

Ejerskab af kontrol 8.4

Kontrol 8.4 omhandler en organisations evne til at kontrollere adgangen til forretningskritiske data vedrørende kildekode, udviklingsværktøjer og kommercielt følsomme oplysninger såsom softwarebiblioteker.

Som sådan bør ejerskabet ligge hos Chief Information Security Officer (eller tilsvarende organisatorisk), som har ansvar for organisationens overordnede informations- og datasikkerhed praksis.

Generel vejledning om kontrol 8.4

Control 8.4 går ind for et kildekodestyringssystem, der giver organisationer mulighed for centralt at administrere adgang til og deres ændring af kildekode på tværs af deres IKT-område.

Kontrol 8.4 beder organisationer om at overveje adgang til kildekode sammen med et sæt strenge læse- og/eller skriverettigheder, baseret på kildekodens art, hvor der tilgås den, og hvem der får adgang til den.

Når organisationer søger at kontrollere adgangen til kildekoden, bør de:

• Kontroller adgangen til kildekoden i overensstemmelse med offentliggjorte procedurer.
• Giv læse- og/eller skriveadgang til kildekoden i forbindelse med et sæt klart definerede forretningskrav fra sag til sag eller bruger-til-bruger-basis.
• Overhold et klart sæt af ændringsstyringsprocedurer (se kontrol 8.32) ved administration af adgang til kildekode, herunder korrekt autorisation baseret på en række adgangsvariabler (brugertype, business case osv.).
• Undgå direkte adgang af kildekode af udviklere, og i stedet give adgang gennem en række udviklingsværktøjer, der giver en top-down visning af adgangsrettigheder og læse/skrive privilegier.
• Giv en sikker plads til at gemme programoversigter og læse-/skriverettigheder.
• Oprethold et samtidig revisionsspor af alle kildekoderelaterede aktiviteter, herunder brugeradgangstidsstempler og ændringsrelaterede aktiviteter.
• Sørg for, at der bruges digitale signaturer til ethvert stykke kode, der skal offentliggøres uden for organisationen.

Understøttende kontroller

• 8.32

Ændringer og forskelle fra ISO 27002:2013

27002:2022-8.4 replaces 27002:2014-9.4.5 (Adgang til kildekode), og indeholder tre hovedforskelle i sin tilgang til etablering af et kildekodestyringssystem (et koncept, der er fraværende fra 27002:2014-9.4.5)

1. Tilvejebringelse af læse-/skriveadgang efter et strengt sæt forretningskrav.
2. Behovet for at give udviklere indirekte adgang til kildekode via et sæt udviklingsværktøjer og/eller testmiljøer.
3. Behovet for at udføre ændringer af kildekodeadgangsaktiviteter i overensstemmelse med nyligt offentliggjorte ændringsstyringsprocedurer indeholdt i Kontrol 8.32.

Nye ISO 27002 kontroller

Hvordan hjælper ISMS.online

ISMS.Online forenkler processen med at implementere ISO 27002 ved at levere alle de nødvendige ressourcer, informationer og værktøjer på ét sted. Det giver dig mulighed for oprette en ISMS med blot et par klik med musen, hvilket ellers ville tage lang tid, hvis det blev gjort manuelt.

Vil du se det i aktion?

Kontakt i dag for book en demo.