ISO 27001:2022 Vedlegg A Kontroll 8.28

Samsvarsretningslinjer for ISO 27001:2022 vedlegg A 8.28

Organisasjoner må utvikle og implementere sikre kodeprosesser som gjelder for produkter levert av eksterne parter og programvarekomponenter med åpen kildekode, som skissert i ISO 27001 vedlegg A Kontroll 8.28.

I tillegg bør organisasjoner holde seg informert om nye sikkerhetstrusler i den virkelige verden og den nyeste informasjonen om kjente eller potensielle sikkerhetssårbarheter i programvaren. Ved å bruke denne tilnærmingen kan organisasjoner utvikle robuste, sikre kodeprinsipper å bekjempe utviklende cybertrusler.

Utfyllende veiledning om planlegging

Det er viktig at både nye kodeprosjekter og gjenbruksoperasjoner av programvare overholder sikre programvarekodingsprinsipper.

Disse prinsippene bør følges både ved utvikling av programvare internt og ved overføring av programvareprodukter eller tjenester.

Organisasjoner bør vurdere følgende faktorer når de utvikler en plan for sikker kodingsprinsipper og fastsetter forutsetninger for sikker koding:

• Sikkerhetsforventninger bør tilpasses organisasjonens spesifikke behov, og det bør etableres godkjente prinsipper for sikker programvarekode som gjelder intern programvare utvikling og outsourcet komponenter.
• Organisasjoner bør identifisere og dokumentere de mest utbredte og historiske kodedesignfeilene og dårlig kodingspraksis for å forhindre datasikkerhetsbrudd.
• Organisasjoner bør implementere og konfigurere programvareutviklingsverktøy for å sikre sikkerheten til all kode som lages. Integrerte utviklingsmiljøer (IDE) er et eksempel på slike verktøy.
• Programvareutviklingsverktøy bør gi veiledning og instruksjoner for å hjelpe organisasjoner med å overholde retningslinjene og instruksjonene.
• Utviklingsverktøy som kompilatorer bør gjennomgås, vedlikeholdes og brukes sikkert av organisasjoner.

Supplerende veiledning om sikkerhet under koding

For å sikre sikker kodingspraksis og prosedyrer, bør følgende vurderes under kodingsprosessen:

• Kodeprinsipper for sikker programvare bør skreddersys til hvert programmeringsspråk og teknikk.
• Testdrevet utvikling og parprogrammering er eksempler på sikre programmeringsteknikker og metoder.
• Implementering av strukturerte programmeringsteknikker.
• Dokumentasjon av koden og fjerning av mangler i koden.
• Bruk av usikre programvarekodingsmetoder som ikke-godkjente kodeeksempler eller hardkodede passord er forbudt.

En sikkerhetstest bør utføres under og etter utvikling, som spesifisert i ISO 27001 vedlegg A Kontroll 8.29.

Organisasjoner bør vurdere følgende elementer før de implementerer programvaren i et levende applikasjonsmiljø:

• Er det en angrepsflate?
• Følges minste privilegiet-prinsippet?
• Analysere de mest utbredte programmeringsfeilene og dokumentere eliminering av dem.

Supplerende veiledning for gjennomgangsprosessen

Etter implementeringen av koden i produksjonsmiljøet

• En sikker metode bør brukes for å ta i bruk oppdateringer.
• Per ISO 27001:2022 vedlegg A Kontroll 8.8, sikkerhetssårbarheter bør adresseres.
• Det bør føres journal over mistenkte angrep og feil på informasjonssystemer, og disse journalene bør gjennomgås regelmessig slik at nødvendige endringer kan gjøres.
• Bruk av verktøy som administrasjonsverktøy bør brukes for å forhindre uautorisert tilgang, bruk eller endring av kildekoden.

Organisasjoner bør vurdere følgende faktorer når de bruker eksterne verktøy

• Regelmessig overvåking og oppdatering av eksterne biblioteker bør utføres i henhold til deres utgivelsessykluser.
• En grundig gjennomgang, valg og godkjenning av programvarekomponenter er avgjørende, spesielt de som er relatert til kryptografi og autentisering.
• Innhenting av lisenser for eksterne komponenter og sikring av deres sikkerhet.
• Det bør være et system for sporing og vedlikehold av programvare. Dessuten må det sikres at det kommer fra en anerkjent kilde.
• Det er viktig å ha langsiktige utviklingsressurser tilgjengelig.

Følgende faktorer bør tas i betraktning når du gjør endringer i en programvarepakke:

• Integritetsprosesser eller innebygde kontroller kan utsette en organisasjon for risiko.
• Det er viktig å avgjøre om leverandøren har samtykket til endringene.
• Kan leverandørens samtykke innhentes til å utføre regelmessige oppdateringer av programvaren?
• Den sannsynlige virkningen av å vedlikeholde programvaren når den endres.
• Hvilken effekt vil endringene ha på andre programvarekomponenter organisasjonen bruker?

Ytterligere veiledning om ISO 27001:2022 vedlegg A 8.28

Organisasjoner må sørge for at de bruker sikkerhetsrelevant kode når det er nødvendig, og at den er motstandsdyktig mot tukling.

Vedlegg A Kontroll 8.28 i ISO 27001:2022 gir følgende anbefalinger for sikkerhetsrelevant kode:

• Mens programmer som lastes ned via binær kode vil inkludere sikkerhetsrelatert kode i selve applikasjonen, vil den være begrenset i omfang til data lagret internt i applikasjonen.
• Å holde styr på sikkerhetsrelevant kode er bare nyttig hvis den kjøres på en server som ikke kan nås av brukeren og er atskilt fra prosessene som bruker den slik at dataene holdes sikre i en annen database og trygt adskilt fra prosessene. som bruker det. Bruk av en skytjeneste for å kjøre en tolket kode er mulig, og du kan begrense tilgangen til koden til privilegerte administratorer for å begrense tilgangen til koden. Anbefalingen er at disse tilgangsrettighetene beskyttes med just-in-time administratorrettigheter og robuste autentiseringsmekanismer som bare gir tilgang til nettstedet til rett tid.
• En passende konfigurasjon bør implementeres på webservere for å forhindre uautorisert tilgang til og surfing av kataloger på serveren.
• For å utvikle sikker applikasjonskode må du anta at koden er sårbar for angrep på grunn av kodefeil og handlinger utført av ondsinnede aktører. En kritisk applikasjon bør utformes for å være immun mot interne feil på en måte som forhindrer at den er utsatt for feil. For eksempel, når man evaluerer utdataene til en algoritme, er det mulig å sikre at utdataene samsvarer med sikkerhetskravene før algoritmen kan brukes i kritiske applikasjoner, for eksempel de som er relatert til økonomi, før den kan brukes i applikasjonen.
• På grunn av mangel på god kodingspraksis er enkelte nettapplikasjoner svært utsatt for sikkerhetstrusler, for eksempel databaseinjeksjon og skriptangrep på tvers av nettsteder.
• Det anbefales at organisasjoner refererer til ISO/IEC 15408 for mer informasjon om IT-sikkerhetsevaluering og hvordan den gjennomføres.

Hva er endringene fra ISO 27001:2013?

Vedlegg A 8.28 er en ny vedlegg A-kontroll som er lagt til ISO 27001:2022-standarden.

Tabell over alle ISO 27001:2022 vedlegg A kontroller

I tabellen nedenfor finner du mer informasjon om hver enkelt ISO 27001:2022 vedlegg A-kontroll.

Hvordan ISMS.online hjelper

Enten du er helt ny på informasjonssikkerhet eller ønsker å lære om ISO 27001 konsist uten å måtte bruke tid på å lese lange og detaljerte dokumenter eller lære fra bunnen av, er plattformen vår designet spesielt for deg.

Ved å bruke ISMS.Online får du enkelt tilgang til dokumentmaler, sjekklister og retningslinjer som kan tilpasses dine behov.

Vil du se hvordan det fungerer?

Ta kontakt i dag for å bestill en demo.