ISO 27001:2022 Vedlegg A Kontroll 8.29

Generell veiledning for ISO 27001:2022 vedlegg A 8.29 Samsvar

Organisasjoner bør inkludere sikkerhetstesting i testprosessen for alle systemer, og garantere at alle nye informasjonssystemer, samt deres nye/oppdaterte versjoner, tilfredsstiller krav til informasjonssikkerhet når de er i produksjonsmiljøet.

ISO 27001:2022 vedlegg A Kontroll 8.29 skisserer tre elementer som essensielle komponenter i sikkerhetstesting:

1. Sikre sikkerhet gjennom brukerautentisering i henhold til ISO 27001:2022 vedlegg A 8.5, tilgangsbegrensning i henhold til ISO 27001:2022 vedlegg A 8.3, og kryptografi i henhold til ISO 27001:2022 vedlegg A 8.24.
2. Sørg for at koden er sikkert skrevet i samsvar med ISO 27001:2022 vedlegg A 8.28.
3. Sørg for at konfigurasjoner oppfyller kravene skissert i vedlegg A 8.9, 8.20 og 8.22, som kan involvere brannmurer og operativsystemer.

Hva bør en testplan inneholde?

Når organisasjoner utarbeider sikkerhetstestplaner, bør organisasjoner vurdere nødvendigheten og karakteren til informasjonssystemet som er involvert.

Denne sikkerhetstestingsplanen bør inneholde følgende elementer:

• Lag en omfattende agenda for foretakene og testene som skal gjennomføres.
• Forventede utfall når visse betingelser er oppfylt inkluderer både input og output.
• Kriterier for vurdering av utfall må fastsettes.
• Når resultatene er oppnådd, kan det tas beslutninger om hva som skal iverksettes.

Intern utvikling

Det interne utviklingsteamet bør gjennomføre den første sikkerhetstestingen for å garantere at IT-systemet overholder sikkerhetsspesifikasjonene.

En første runde med testing bør gjennomføres, etterfulgt av uavhengig aksepttesting i tråd med ISO 27001:2022 vedlegg A 5.8.

Når det gjelder egenutvikling, bør følgende tas i betraktning:

• Gjennomføre kodegjennomganger for å identifisere og adressere sikkerhetsproblemer, inkludert forventede inndata og situasjoner.
• Utføre sårbarhetsskanninger for å identifisere usikre innstillinger og andre potensielle svakheter.
• Utføre penetrasjonstester for å identifisere svak koding og design.

Outsourcing

Organisasjoner bør følge en streng anskaffelsesprosedyre når de delegerer utvikling eller kjøpe IT-elementer fra eksterne kilder.

Organisasjoner bør inngå en kontrakt med sine leverandører som oppfyller informasjonssikkerhetskriteriene fastsatt i ISO 27001:2022 vedlegg A 5.20.

Organisasjoner bør garantere at varene og tjenestene de anskaffer er i tråd med sikkerhetsstandardene for informasjonssikkerhet.

Supplerende veiledning om ISO 27001:2022 vedlegg A 8.29

Organisasjoner kan generere flere testmiljøer for å gjennomføre en rekke tester, inkludert funksjonelle, ikke-funksjonelle og ytelsesmessige. De kan lage virtuelle testmiljøer, konfigurere dem til å teste IT-systemer i forskjellige driftsinnstillinger, og avgrense dem deretter.

Vedlegg A 8.29 understreker behovet for effektiv sikkerhetstesting, noe som gjør at organisasjoner må teste og overvåke testmiljøene, verktøyene og teknologiene.

Organisasjoner bør vurdere nivået av følsomhet og viktighet når de bestemmer hvor mange lag med meta-testing som skal brukes.

Endringer og forskjeller fra ISO 27001:2013

ISO 27001:2022 vedlegg A 8.29 erstatter ISO 27001:2013 Vedlegg A 14.2.8 og 14.2.9 i den nyeste revisjonen.

Strukturelle endringer

ISO 27001: 2022 konsoliderer sikker testing i én kontroll, i motsetning til ISO 27001:2013, som refererte til sikker testing i to forskjellige kontroller; Systemsikkerhetstesting (vedlegg A 14.2.8) og systemaksepttesting (vedlegg A 14.2.9).

ISO 27001:2022 vedlegg A 8.29 gir mer omfattende krav

I motsetning til ISO 27001:2013 inneholder ISO 27001:2022-revisjonen mer omfattende krav og råd om:

• En sikkerhetstestingsplan som bør inneholde en rekke elementer.
• Kriterier for vurdering av sikkerhet ved egenutvikling av IT-systemer.
• Hva bør inkluderes i sikkerhetstestingsprosessen.
• Det er viktig å bruke flere testmiljøer. Det sikrer grundighet og nøyaktighet i prosessen.

ISO 27001:2013 var mer detaljert i forhold til aksepttesting

I motsetning til ISO 27001:2022 var ISO 27001:2013 mer detaljert angående systemaksepttesting. Det inkluderte sikkerhetstesting for innkommende komponenter og bruk av automatiserte verktøy.

Tabell over alle ISO 27001:2022 vedlegg A kontroller

I tabellen nedenfor finner du mer informasjon om hver enkelt ISO 27001:2022 vedlegg A-kontroll.

Hvordan ISMS.online Hjelp

ISMS.online forenkler implementeringsprosessen for ISO 27001:2022 gjennom et sofistikert skybasert rammeverk, som gir dokumentasjon av prosesser og sjekklister for informasjonssikkerhetsstyring for å sikre kompatibilitet med aksepterte standarder.

Kontakt oss for å arrangere en demonstrasjon.