ISO 27701 klausul 6.9.5: Styrkelse af softwaresikkerhedskontroller
Softwareimplementeringer, patches, opdateringer og nye installationer har potentiale til at påvirke PII og privatlivsrelaterede aktiver på et utal af måder.
Organisationer skal udvise stor omhu, når de installerer applikationer, hjælpeprogrammer og eksekverbar kode på operativsystemer.
Hvad er dækket af ISO 27701 klausul 6.9.5
ISO 27701 klausul 6.9.5 indeholder kun én underklausul (ISO 27701 6.9.5.1), der udelukkende omhandler installation af software på driftssystemer.
Der er ingen yderligere PIMS- eller PII-relaterede vejledningspunkter, og der er heller ingen forbundet UK GDPR artikler at overveje.
Administrer al din compliance, alt på ét sted
ISMS.online understøtter over 100 standarder og regler, hvilket giver dig en enkelt platform til alle dine overholdelsesbehov.
ISO 27701 paragraf 6.9.5.1 – Installation af software på operationelle systemer
Referencer ISO 27002 Kontrol 8.19
For at beskytte tilgængeligheden og integriteten af PII og administrere ændringer bør organisationer:
- Sørg for, at softwareopdateringer udføres af kompetent personale (se ISO 27002 Kontrol 8.5).
- Sørg for, at koden har forladt udviklingsstadiet sikkert og er fri for fejl.
- Test al software før opdatering eller installation for at sikre, at der ikke opstår konflikter eller fejl.
- Hold et opdateret softwarebibliotekssystem.
- Vedligeholde et 'konfigurationskontrolsystem' til at administrere driftssoftware.
- Udarbejd en 'tilbageføringsstrategi', der gendanner systemer til en tidligere fungerende tilstand for at sikre forretningskontinuitet.
- Oprethold en grundig log over eventuelle opdateringer, der udføres.
- Sørg for, at ubrugte softwareapplikationer – og alt deres tilhørende materiale – opbevares sikkert til videre brug og analyse.
- Arbejd med en softwarebegrænsningspolitik, der kører i overensstemmelse med organisationens forskellige roller og ansvarsområder.
Når du bruger software leveret af leverandøren, skal applikationer holdes i god stand og i overensstemmelse med udstederens retningslinjer.
ISO gør det eksplicit klart, at organisationer bør undgå at bruge ikke-understøttet software medmindre det er absolut nødvendigt. Organisationer bør søge at opgradere eksisterende systemer i stedet for at bruge forældede eller ikke-understøttede ældre applikationer.
En leverandør kan kræve adgang til en organisations netværk for at udføre en installation eller opdatering. Sådanne aktiviteter bør til enhver tid godkendes og overvåges (se ISO 27002 kontrol 5.22).
Supplerende vejledning
- Organisationer bør opgradere, patche og installere software i overensstemmelse med deres offentliggjorte ændringshåndteringsprocedurer.
- Patches, der udrydder sikkerhedssårbarheder eller på anden måde forbedrer organisatorisk beskyttelse af privatlivets fred, bør altid betragtes som en prioriteret ændring.
- Organisationer bør være meget omhyggelige med at bruge open source-software og bør identificere den seneste offentligt tilgængelige version for at sikre, at sikkerhedskravene bliver opfyldt i videst muligt omfang.
Understøttende kontroller
- ISO 27002 5.22
- ISO 27002 8.5
Understøttende kontroller fra ISO 27002 & GDPR
| ISO 27701 klausulidentifikator | ISO 27701-klausulens navn | ISO 27002 krav | Tilknyttede GDPR-artikler |
|---|---|---|---|
| 6.9.5.1 | Installation af software på operationelle systemer | 8.19 – Installation af software på operationelle systemer til ISO 27002 | Ingen |
Hvordan ISMS.online hjælper
Du skal oprette et Privacy Information Management System (PIMS) for at opfylde ISO 27701-standarderne. Ved at bruge vores prækonfigurerede PIMS kan du hurtigt og nemt organisere og administrere kunde-, leverandør- og medarbejderoplysninger for fuldt ud at opfylde ISO 27701-standarderne.
ISMS.online kan også rumme det voksende antal globale, regionale og sektorspecifikke regler om beskyttelse af personlige oplysninger.
Du skal først blive ISO 27001 (informationssikkerhed) certificeret for at opnå ISO 27701 (privatliv) certificering. Heldigvis kan vores platform hjælpe dig med begge disse certificeringer.
