Hvad kræver kontrol A.3.28?
Informationssikkerhedskrav relateret til behandling af personoplysninger skal identificeres, specificeres og godkendes ved udvikling eller anskaffelse af applikationer.
Denne kontrol ligger inden for Delte sikkerhedskontroller bilag (A.3) og kræver en struktureret tilgang til at definere sikkerhedskrav til applikationer, der håndterer personoplysninger. Dette gælder både for applikationer, der er bygget internt, og dem, der er erhvervet fra tredjeparter. Nøgleordet er "godkendt" - sikkerhedskrav skal ikke blot identificeres og dokumenteres, men også formelt underskrives, før udvikling eller indkøb fortsætter.
Hvad står der i implementeringsvejledningen i bilag B?
Bilag B (afsnit B.3.28) indeholder følgende vejledning:
- Kryptering for netværk, der ikke er tillid til — Organisationen bør sikre, at personoplysninger, der transmitteres via upålidelige datatransmissionsnetværk, er krypterede til transmission.
- Definition af upålidelige netværk — Ikke-tillidstjenlige netværk kan omfatte det offentlige internet og andre faciliteter uden for organisationens operationelle kontrol
- Praktiske begrænsninger — I nogle tilfælde (f.eks. udveksling af e-mail) kan de iboende egenskaber ved upålidelige datatransmissionsnetværk kræve, at visse header- eller trafikdata eksponeres for effektiv transmission.
- Se også A.3.29: Sikker systemarkitektur og tekniske principper for relaterede krav
- Se også A.3.30: Outsourcet udvikling for relaterede krav
Vejledningen fokuserer specifikt på kryptering under transit som et grundlæggende sikkerhedskrav for applikationer. Dette afspejler den kendsgerning, at applikationer, der behandler personoplysninger, næsten altid overfører data over netværk, og kryptering er den grundlæggende beskyttelse mod aflytning. Anerkendelsen af praktiske begrænsninger (såsom e-mailheadere) viser en pragmatisk tilgang – standarden anerkender, at ikke alle data kan krypteres under alle omstændigheder.
Hvordan relaterer dette sig til GDPR?
Kontrol A.3.28 knyttes til følgende GDPR artikler:
- Artikel 5, stk. 1, litra f) — Princippet om integritet og fortrolighed, der kræver passende sikkerhed for personoplysninger
- Artikel 32 (1) (a) — Kravet om at implementere passende tekniske og organisatoriske foranstaltninger, herunder kryptering af personoplysninger
Begge artikler understøtter princippet om, at applikationer, der håndterer personoplysninger, skal have passende sikkerhedsforanstaltninger indbygget fra starten og ikke tilføjet som eftertanke.
For den fulde GDPR-til-ISO 27701-kortlægning, se Vejledning til overholdelse af GDPR.
Hvad har ændret sig fra ISO 27701:2019?
For en trinvis fremgangsmåde, se Overgangen fra 2019 til 2025.
I 2019-udgaven var dette krav dækket af klausul 6.11.1.2 (sikring af applikationstjenester på offentlige netværk) og 6.11.1.3 (beskyttelse af applikationstjenestetransaktioner). 2025-udgaven konsoliderer disse i A.3.28 med et bredere omfang, der dækker alle applikationssikkerhedskrav, ikke kun sikkerhed for offentlige netværk og transaktioner. Se Bilag F korrespondancetabel for den fulde kortlægning.
Start din gratis prøveperiode
Vil du udforske?
Tilmeld dig din gratis prøveperiode i dag, og få fat i alle de overholdelsesfunktioner, som ISMS.online har at tilbyde
Hvilken dokumentation forventer revisorer?
Ved vurdering af overholdelse af A.3.28 vil revisorer typisk se efter:
- Sikkerhedskravspecifikation — Dokumenterede sikkerhedskrav for hver applikation, der behandler personoplysninger, herunder autentificering, autorisation, kryptering, inputvalidering, logning og datahåndtering
- Godkendelsesregistre — Dokumentation for, at sikkerhedskravene formelt er blevet gennemgået og godkendt af en relevant myndighed (f.eks. sikkerhedsteam, databeskyttelsesrådgiver eller arkitekturgennemgangsudvalg) før udvikling eller indkøb
- Kryptering i transit — Bevis for, at alle applikationer, der sender personoplysninger via upålidelige netværk, bruger TLS 1.2 eller højere, med korrekt konfigurerede certifikater.
- Vurdering af indkøbssikkerhed — For erhvervede applikationer, dokumentation for, at PII-sikkerhedskrav var inkluderet i indkøbskriterierne, og at det valgte produkt opfylder dem
- Sikkerhedsprøvning — Dokumentation for, at applikationer er testet i forhold til deres sikkerhedskrav, herunder penetrationstest eller resultater af gennemgang af sikkerhedskode
Hvad er de relaterede kontroller?
| kontrol | Relationship |
|---|---|
| A.3.27 Sikker udviklingslivscyklus | Krav til applikationssikkerhed indgår i den sikre udviklingsproces |
| A.3.26 Brug af kryptografi | Kryptografiske krav til applikationer er underlagt kryptografipolitikken |
| A.3.23 Sikker godkendelse | Godkendelse er et centralt sikkerhedskrav for applikationer |
| A.3.10 Leverandøraftaler | Erhvervede applikationer skal opfylde sikkerhedskravene angivet i leverandøraftaler |
| A.3.25 Logføring | Krav til applikationslogning bør defineres som en del af sikkerhedsspecifikationen. |
Hvem gælder denne kontrol for?
A.3.28 er en delt kontrol Det gælder både for PII-ansvarlige og PII-behandlere. Enhver organisation, der udvikler eller erhverver applikationer til PII-behandling, skal identificere og godkende sikkerhedskrav, før de fortsætter. Dette omfatter webapplikationer, mobilapplikationer, API'er, interne værktøjer, SaaS-produkter og al anden software, der håndterer personoplysninger.
Administrer al din compliance, alt på ét sted
ISMS.online understøtter over 100 standarder og regler, hvilket giver dig en enkelt platform til alle dine overholdelsesbehov.
Hvorfor vælge ISMS.online til administration af applikationssikkerhed?
ISMS.online giver praktiske værktøjer til håndtering af applikationssikkerhedskrav:
- Kravskabeloner — Færdigbyggede skabeloner til sikkerhedskrav til almindelige applikationstyper, der kan tilpasses din organisations specifikke behov for behandling af personoplysninger
- Godkendelse arbejdsgange — Led sikkerhedskrav gennem formelle gennemgangs- og godkendelsesprocesser med revisionsspor og godkendelsessporing
- Leverandørvurdering — Vurder tredjepartsapplikationer i forhold til dine sikkerhedskrav ved hjælp af strukturerede spørgeskemaer og scoring
- Risikovurderinger — Kør risikovurderinger på applikationsniveau, der bidrager direkte til dine sikkerhedskrav, og sørg for, at kravene står i forhold til risikoen.
- Evidenshåndtering — Opbevar resultater af sikkerhedstest, godkendelsesregistre og dokumentation for overholdelse af regler i et struktureret, revisionsklart format, der er knyttet til hver applikation
Ofte Stillede Spørgsmål
Hvilke sikkerhedskrav bør specificeres for applikationer til behandling af personoplysninger?
Applikationer, der behandler personoplysninger, bør som minimum have krav, der dækker: autentificering og autorisation (hvem kan tilgå personoplysninger og på hvilket niveau), kryptering i hvile og under transit, inputvalidering og outputkodning (for at forhindre injektionsangreb), sessionsstyring, logføring og revisionsspor, fejlhåndtering (for at forhindre lækage af personoplysninger i fejlmeddelelser), muligheder for dataopbevaring og -sletning samt samtykkehåndtering, hvor det er relevant. Kravene bør stå i forhold til de personoplysningers følsomhed og applikationens risikoprofil.
Hvordan gælder denne kontrol for SaaS-indkøb?
Når organisationen anskaffer SaaS-applikationer, der behandler personoplysninger, bør den inkludere sikkerhedskrav til personoplysninger i kriterierne for indkøbsevaluering. Dette omfatter vurdering af leverandørens krypteringspraksis, godkendelsesmuligheder, dataopbevaring, adgangskontrol, logføringsfunktioner og compliance-certificeringer. Vurderingen bør dokumenteres og godkendes, før indkøbsbeslutningen træffes. Løbende compliance bør overvåges gennem leverandørstyringsprocesser (A.3.10 Leverandøraftaler).
Hvad menes der med upålidelige netværk?
Ikke-tillidfulde netværk omfatter det offentlige internet og alle netværksfaciliteter uden for organisationens direkte operationelle kontrol. Dette kan omfatte tredjepartsnetværksudbydere, offentlig Wi-Fi, mobile datanetværk og forbindelser mellem lokationer, der krydser offentlig infrastruktur. For personligt identificerbare oplysninger er den sikre antagelse at behandle ethvert netværk uden for din organisations direkte fysiske og logiske kontrol som ikke-tillid og at kryptere alle PII-transmissioner i overensstemmelse hermed.
SaaS-platforme kan finde skræddersyet vejledning i vores vejledning til SaaS-platforme.
Dokumentér denne kontrol i din Anvendelseserklæring.
