ISO 27002:2022, Kontroll 8.25 – Sikker utviklingslivssyklus

Eierskap til kontroll 8.25

Informasjonssikkerhetssjefen bør være ansvarlig for opprettelse, implementering og vedlikehold av regler og tiltak for å sikre sikkerheten i utviklingslivssyklusen.

Generell veiledning om samsvar

Kontroll 8.25 inneholder 10 krav som organisasjoner bør overholde for å bygge sikre programvareprodukter, systemer og arkitektur:

1. Utviklings-, test- og produksjonsmiljøer bør adskilles i henhold til kontroll 8.31.
2. Organisasjoner bør gi veiledning om:
• Sikkerhetshensyn i programvareutviklingsmetodikken i henhold til kontroll 8.27 og 8.28.
• Sikker koding for hvert programmeringsspråk i henhold til 8.28.
3. Organisasjoner bør etablere og implementere sikkerhetskrav som gjelder for spesifikasjons- og designfasen i henhold til Kontroll 5.8.
4. Organisasjoner bør definere sikkerhetssjekklister for prosjektene i henhold til kontroll 5.8.
5. Organisasjoner bør utføre sikkerhets- og systemtesting som penetrasjonstester og kodeskanning i samsvar med Kontroll 8.29.
6. Organisasjoner bør opprette trygge depoter som lagrer kildekoder og konfigurasjon i samsvar med kontrollene 8.4 og 8.9.
7. Organisasjoner bør opprettholde sikkerheten i versjonskontrollen som foreskrevet i Kontroll 8.32.
8. Organisasjoner bør sikre at alt personell som er involvert i utviklingen har tilstrekkelig kunnskap om applikasjonssikkerhet og gis nødvendig opplæring som definert i Kontroll 8.28.
9. Utviklere bør være i stand til å identifisere og forhindre sikkerhetssårbarheter som beskrevet i kontroll 8.28.
10. Organisasjoner bør overholde lisenskravene og bør vurdere gjennomførbarheten av alternative kostnadseffektive metoder som foreskrevet i Kontroll 8.30.

Videre, dersom en organisasjon setter ut visse utviklingsoppgaver til eksterne parter, må den sørge for at den eksterne parten overholder organisasjonens regler og prosedyrer for sikker utvikling av programvare og system.

Supplerende veiledning om kontroll 8.25

Kontroll 8.25 bemerker at programvareprodukter, arkitekturer og systemer også kan utvikles i applikasjoner, databaser eller nettlesere.

Endringer og forskjeller fra ISO 27002:2013

27002:2022/8.25 replace 27002:2013/(14.2.1)

Totalt sett er det to viktige forskjeller.

ISO 27002:2022-versjonen stiller to nye krav

Mens 2022-versjonen i stor grad ligner på 2013-versjonen, stiller Control 8.25 to nye krav til organisasjoner:

• Organisasjoner bør overholde lisenskravene og bør vurdere gjennomførbarheten av alternative kostnadseffektive metoder som foreskrevet i Kontroll 8.30.
• Organisasjoner bør utføre sikkerhets- og systemtesting som penetrasjonstester og kodeskanning i samsvar med Kontroll 8.29.

ISO 27002:2013-versjonen er eksplisitt referert til gjenbruk av koden

2013-versjonen sa eksplisitt at kontroll 14.2.1 gjelder både for nyutvikling og for gjenbruk av kode. Kontroll 8.25 refererte derimot ikke til scenarier for gjenbruk av kode.

Hvordan ISMS.online hjelper

ISO 27002-implementering er enklere med vår trinnvise sjekkliste som veileder deg gjennom hele prosessen. Din komplette samsvarsløsning for ISO/IEC 27002:2022.

• Opptil 81 % fremgang fra du logger på.
• Enkel og total overholdelsesløsning.

Ta kontakt i dag for å bestill en demo.