ISO 27001:2022 Vedlegg A Kontroll 8.26

Generell veiledning for ISO 27001:2022 vedlegg A 8.26 Samsvar

Organisasjoner bør gjennomføre en risikovurdering for å etablere nødvendige informasjonssikkerhetskrav for en bestemt applikasjon.

Innhold og typer informasjonssikkerhetskrav kan variere avhengig av applikasjonen, men disse bør dekke:

• Basert på ISO 27001:2022 vedlegg A 5.17, 8.2 og 8.5, tillitsnivået som er tildelt en spesifikk enhets identitet.
• Klassifisering av informasjonsmidlene som skal lagres eller håndteres av programvaren må identifiseres.
• Er det nødvendig å skille tilgang til funksjoner og data som er lagret på appen.
• Vurder om applikasjonen er robust mot cyberpenetrasjoner som SQL-injeksjoner eller utilsiktede avlyttinger som bufferoverflyt.
• Juridisk må regulatoriske og lovpålagte krav og standarder oppfylles når man håndterer transaksjoner behandlet, generert, lagret eller fullført av appen.
• Personvern er av største betydning for alle involverte.
• Det er viktig å sikre at konfidensielle data ivaretas.
• Det er viktig å sikre sikkerheten til informasjon når den brukes, overføres eller lagres.
• Det er viktig at alle relevante parter har sikker kryptering av kommunikasjonen deres hvis nødvendig.
• Implementering av inndatakontroller, som å validere inndata og utføre integritetskontroller, garanterer nøyaktighet.
• Utføre automatiserte kontroller.
• Sikre at tilgangsrettigheter, samt hvem som kan se utdata, tas i betraktning for utdatakontroll.
• Det er viktig å pålegge grenser for hva som kan inkluderes i "fritekst"-felt for å beskytte mot utilsiktet distribusjon av konfidensiell informasjon.
• Regulatoriske krav, for eksempel de som styrer logging av transaksjoner og ikke-avvisning.
• Andre sikkerhetskontroller kan kreve overholdelse av spesifikke krav; for eksempel datalekkasjedeteksjonssystemer.
• Hvordan organisasjonen din håndterer feilmeldinger.

Veiledning om transaksjonstjenester

ISO 27001:2022 vedlegg A 8.26 krever at organisasjoner vurderer følgende syv anbefalinger når de tilbyr transaksjonstjenester mellom seg selv og en partner:

• Graden av tro hver part trenger å ha på den andres identitet er avgjørende i enhver transaksjon.
• Troverdigheten til data som sendes eller behandles må sikres, og et egnet system for å gjenkjenne eventuelle integritetsmangler, inkludert hashing og digitale signaturer, må identifiseres.
• Selskapet må sette opp et system for å bestemme hvem som er autorisert til å godkjenne, signere og signere på kritiske transaksjonsdokumenter.
• Sikre hemmelighold og nøyaktighet av viktige dokumenter, og verifisere overføring og mottak av nevnte dokumenter.
• Ivaretakelse av konfidensialitet og nøyaktighet av transaksjoner, kan dette være bestillinger og fakturaer.
• Krav til hvordan transaksjoner skal forbli konfidensielle i en spesifisert tidsperiode.
• Kontraktsforpliktelser og forsikringskrav må oppfylles.

Veiledning om elektroniske bestillings- og betalingsapplikasjoner

Organisasjoner bør vurdere følgende når de integrerer betalings- og elektroniske bestillingsmuligheter i applikasjoner:

• Det er viktig å sikre konfidensialitet og integritet til ordreinformasjon.
• Etablere et passende nivå av bekreftelse for bekreftelse av betalingsinformasjonen gitt av en kunde.
• Unngå feilplassering eller replikering av transaksjonsdata.
• Sørg for at informasjon knyttet til informasjon holdes unna et offentlig tilgjengelig område, f.eks. et lagringsmedium som befinner seg på organisasjonens intranett.
• Når en organisasjon er avhengig av en ekstern myndighet for å utstede digitale signaturer, må den sørge for at sikkerheten er integrert gjennom hele prosessen.

Veiledning om nettverk

Når applikasjoner åpnes via nettverk, kan de bli utsatt for kontraktsmessige uenigheter, uredelig oppførsel, feilføring, ikke-godkjente endringer av innholdet i kommunikasjonen eller konfidensialiteten til sensitive data kan bli brutt.

ISO 27001:2022 vedlegg A 8.26 råder organisasjoner til å gjennomføre grundige risikovurderinger for å identifisere passende kontroller, for eksempel kryptografi, for å beskytte sikkerheten til informasjonsoverføringer.

Endringer og forskjeller fra ISO 27001:2013

ISO 27001:2022 vedlegg A 8.26 erstatter ISO 27001:2013 vedlegg A 14.1.2 og 14.1.3 i den reviderte 2022-standarden.

Det er tre store forskjeller mellom de to versjonene.

Alle applikasjoner vs applikasjoner som går gjennom offentlige nettverk

ISO 27001:2013 skisserer en liste over informasjonssikkerhetskrav som skal tas i betraktning for applikasjoner som skal overføres via offentlige nettverk.

ISO 27001:2022 vedlegg A 8.26, derimot, gir en liste over informasjonssikkerhetskrav som gjelder for alle applikasjoner.

Ytterligere veiledning om elektroniske bestillings- og betalingsapplikasjoner

ISO 27001:2022 vedlegg A 8.26 gir spesifikk veiledning om elektroniske bestillings- og betalingsapplikasjoner, noe som ikke ble behandlet i 2013-versjonen.

Krav til transaksjonstjenester

Mens 2022-utgaven og 2013-utgaven er nesten like når det gjelder forutsetninger for transaksjonstjenester, introduserer 2022-utgaven et ekstra krav som ikke er vurdert i 2013-utgaven:

• Organisasjoner bør huske på kontraktsmessige forpliktelser og forsikringsbestemmelser.

Tabell over alle ISO 27001:2022 vedlegg A kontroller

I tabellen nedenfor finner du mer informasjon om hver enkelt ISO 27001:2022 vedlegg A Kontroll.

Hvordan ISMS.online Hjelp

ISMS.online er et skybasert system som hjelper organisasjoner med å demonstrere samsvar med ISO 27001:2022. Dette systemet kan brukes til å overvåke ISO 27001-kravene, for å sikre at organisasjonen din forblir i samsvar med standarden.

Vår plattformen er brukervennlig og tilgjengelig for alle. Det krever ikke komplisert teknisk kunnskap; alle i virksomheten din kan bruke den.

Kontakt oss nå for å planlegge en demonstrasjon.