ISO 27001:2022 Vedlegg A Kontroll 8.31

Generell veiledning for ISO 27001:2022 vedlegg A 8.31 Samsvar

Organisasjoner bør vurdere produksjonsspørsmålene som bør unngås når de bestemmer seg for nødvendig grad av separasjon mellom de tre miljøene.

Vedlegg A 8.31 foreslår at organisasjoner husker på syv kriterier:

1. Segregering av utviklings- og produksjonssystemer til et tilfredsstillende nivå anbefales. For eksempel kan bruk av distinkte virtuelle og fysiske miljøer for produksjon være en levedyktig løsning.
2. Regler og autorisasjonsprosedyrer skal utarbeides, dokumenteres og implementeres når det gjelder bruk av programvare i produksjonsmiljøet etter at den har gått gjennom utviklingsmiljøet.
3. Organisasjoner bør evaluere og prøve endringer av applikasjoner og produksjonssystemer i en isolert testsetting, ekskludert fra produksjonsmiljøet, før de implementeres i produksjonsmiljøet.
4. Ingen testing i produksjonsmiljøer skal utføres med mindre det er nøyaktig definert og autorisert på forhånd.
5. Utviklingsressurser, som kompilatorer og redaktører, bør ikke være tilgjengelig i produksjonsmiljøer med mindre det er helt avgjørende.
6. For å redusere feil, bør riktige miljøetiketter være fremtredende i menyene.
7. Ingen sensitiv informasjonsressurser skal overføres til noen utviklings- eller testsystemer med mindre tilsvarende sikkerhetstiltak er på plass.

Veiledning om beskyttelse av utviklings- og testmiljøer

Organisasjoner bør beskytte utviklings- og testmiljøer mot potensielle sikkerhetsfarer, med tanke på følgende:

• Sørg for at alle utviklings-, integrasjons- og testverktøy, f.eks. byggherrer, integratorer og biblioteker, blir jevnlig oppdatering og holdes oppdatert.
• Sørg for at alle systemer og programvare er sikkert konfigurert.
• Passende kontroller må være på plass for tilgang til miljøer.
• Endringer i miljøer og deres koder bør overvåkes og gjennomgås.
• Sikker overvåking og gjennomgang av miljøer bør foretas.
• Miljøer bør sikres med sikkerhetskopier.

Ingen skal gis rett til å gjøre endringer i både utviklings- og produksjonsmiljøer uten å ha fått godkjenning på forhånd. For å unngå dette kan organisasjoner skille tilgangsrettigheter eller sette på plass og utføre tilgangskontroller.

Organisasjoner kan vurdere ytterligere tekniske kontroller, for eksempel logging av alle tilgangsaktiviteter og overvåking av tilgang til disse miljøene i sanntid.

Supplerende veiledning om vedlegg A 8.31

Hvis organisasjoner ikke tar de nødvendige skritt, kan informasjonssystemene deres bli utsatt for betydelige sikkerhetsfarer.

Utviklere og testere med tilgang til produksjonsmiljøet kan gjøre utilsiktede endringer i filer eller systeminnstillinger, kjøre uautorisert kode eller utilsiktet avsløre sensitive data.

Organisasjoner krever en stabil innstilling for å utføre grundige tester på koden deres, og hindrer utviklere fra å få tilgang til produksjonsmiljøer som lagrer og behandler sensitive data fra den virkelige verden.

Organisasjoner bør tildele spesifikke roller og håndheve separasjon av oppgaver.

Utviklings- og testteamene kan risikere å kompromittere de konfidensielle produksjonsdataene hvis de bruker de samme dataenhetene. Utilsiktede endringer i sensitiv informasjon eller programvare kan bli gjort.

Organisasjoner oppfordres til å sette opp hjelpeprosesser for å bruke produksjonsdata i test- og utviklingssystemer i samsvar med ISO 27001:2022 vedlegg A 8.33.

Organisasjoner bør vurdere tiltakene omtalt i dette vedlegg A Kontroll når de gjennomfører opplæring av sluttbrukere i opplæringsmiljøer.

Til slutt kan organisasjoner skjule grensene mellom utvikling, testing og produksjonsinnstillinger. For eksempel kan testing utføres i et utviklingsmiljø, eller ansatte kan teste produktet ved å faktisk bruke det.

Endringer og forskjeller fra ISO 27001:2013

ISO 27001:2022 vedlegg A 8.31 erstatter ISO 27001:2013 Vedlegg A 12.1.4 og ISO 27001:2013 Vedlegg A 14.2.6. Denne revisjonen gjør de nødvendige justeringene for å bringe standarden i tråd med gjeldende praksis.

De to versjonene har mye til felles, men to forskjeller er bemerkelsesverdige.

ISO 27001:2013 vedlegg A 14.2.6 Gi mer detaljert veiledning om sikre utviklingsmiljøer

ISO 27001:2013 vedlegg A 14.2.6 omhandler sikre utviklingsmiljøer og skisserer 10 anbefalinger for organisasjoner å vurdere når de bygger et utviklingsmiljø.

Til sammenligning inkluderer ikke ISO 27001:2022 vedlegg A 8.33 visse forslag, som å ha en sikkerhetskopi på et fjerntliggende sted og begrensninger på dataoverføring.

ISO 27001:2022 vedlegg A 8.31 omhandler produkttesting og bruk av produksjonsdata

Sammenlignet med ISO 27001:2013, tilbyr ISO 27001:2022 Annex A 8.31 veiledning om produkttesting og bruk av produksjonsdata i tråd med ISO 27001:2022 Annex A 8.33.

Tabell over alle ISO 27001:2022 vedlegg A kontroller

I tabellen nedenfor finner du mer informasjon om hver enkelt ISO 27001:2022 Vedlegg A Kontroll.

Hvordan ISMS.online Hjelp

ISMS.Online gir støtte for hele ISO 27001 implementering, fra risikovurdering til utforming av retningslinjer, prosedyrer og retningslinjer for å følge standarden.

ISMS.Online tilbyr en praktisk tilnærming for å registrere funn og dele dem med kolleger på nettet. Den lar deg videre lage og lagre sjekklister for hver ISO 27001-oppgave, slik at du enkelt kan overvåke organisasjonens sikkerhetsprogram.

Vi gir også organisasjoner et automatisert verktøysett som letter overholdelse av ISO 27001-standarden. Det brukervennlige designet gjør det enkelt å bevise samsvar.

Ta kontakt med oss ​​nå for å arrangere en demonstrasjon.