Hva er ISO 27002 Control 8.25 og hvorfor er det viktig?
På 90-tallet pleide bedrifter å utføre sikkerhetstester for programvareprodukter og systemer kun under testfasen, i sluttfasen av livssyklusen for programvareutvikling.
Som et resultat klarte de ofte ikke å oppdage og eliminere kritiske sårbarheter, feil og mangler.
For å identifisere og adressere sikkerhetssårbarheter tidlig, bør organisasjoner legge inn sikkerhetshensyn i alle stadier av utviklingslivssyklusen, fra planlegging til utrullingsstadiet.
Kontroll 8.25 omhandler hvordan organisasjoner kan sette opp og implementere regler for å bygge sikre programvareprodukter og systemer.
Formål med kontroll 8.25
Control 8.25 gjør det mulig for organisasjoner å designe informasjonssikkerhetsstandarder og anvende disse standardene gjennom hele livssyklusen for sikker utvikling for programvareprodukter og -systemer.
Attributttabell for kontroll 8.25
Kontroll 8.25 er forebyggende ettersom den krever at organisasjoner proaktivt utformer og implementerer regler og kontroller som styrer hele utviklingslivssyklusen for hvert nytt programvareprodukt og system.
| Kontrolltype | Informasjonssikkerhetsegenskaper | Konsepter for cybersikkerhet | Operasjonelle evner | Sikkerhetsdomener |
|---|---|---|---|---|
| #Forebyggende | #Konfidensialitet | #Beskytte | #Applikasjonssikkerhet | #Beskyttelse |
| #Integritet | #System- og nettverkssikkerhet | |||
| #Tilgjengelighet |
ISO 27001 gjort enkelt
Et forsprang på 81 % fra dag én
Vi har gjort det harde arbeidet for deg, og gir deg 81 % forsprang fra det øyeblikket du logger på. Alt du trenger å gjøre er å fylle ut de tomme feltene.
Eierskap til kontroll 8.25
Informasjonssikkerhetssjefen bør være ansvarlig for opprettelse, implementering og vedlikehold av regler og tiltak for å sikre sikkerheten i utviklingslivssyklusen.
Generell veiledning om samsvar
Kontroll 8.25 inneholder 10 krav som organisasjoner bør overholde for å bygge sikre programvareprodukter, systemer og arkitektur:
- Utviklings-, test- og produksjonsmiljøer bør adskilles i henhold til kontroll 8.31.
- Organisasjoner bør gi veiledning om:
- Sikkerhetshensyn i programvareutviklingsmetodikken i henhold til kontroll 8.27 og 8.28.
- Sikker koding for hvert programmeringsspråk i henhold til 8.28.
- Organisasjoner bør etablere og implementere sikkerhetskrav som gjelder for spesifikasjons- og designfasen i henhold til Kontroll 5.8.
- Organisasjoner bør definere sikkerhetssjekklister for prosjektene i henhold til kontroll 5.8.
- Organisasjoner bør utføre sikkerhets- og systemtesting som penetrasjonstester og kodeskanning i samsvar med Kontroll 8.29.
- Organisasjoner bør opprette trygge depoter som lagrer kildekoder og konfigurasjon i samsvar med kontrollene 8.4 og 8.9.
- Organisasjoner bør opprettholde sikkerheten i versjonskontrollen som foreskrevet i Kontroll 8.32.
- Organisasjoner bør sikre at alt personell som er involvert i utviklingen har tilstrekkelig kunnskap om applikasjonssikkerhet og gis nødvendig opplæring som definert i Kontroll 8.28.
- Utviklere bør være i stand til å identifisere og forhindre sikkerhetssårbarheter som beskrevet i kontroll 8.28.
- Organisasjoner bør overholde lisenskravene og bør vurdere gjennomførbarheten av alternative kostnadseffektive metoder som foreskrevet i Kontroll 8.30.
Videre, dersom en organisasjon setter ut visse utviklingsoppgaver til eksterne parter, må den sørge for at den eksterne parten overholder organisasjonens regler og prosedyrer for sikker utvikling av programvare og system.
Supplerende veiledning om kontroll 8.25
Kontroll 8.25 bemerker at programvareprodukter, arkitekturer og systemer også kan utvikles i applikasjoner, databaser eller nettlesere.
Administrer all samsvarskontroll, alt på ett sted
ISMS.online støtter over 100 standarder og forskrifter, og gir deg én enkelt plattform for alle dine samsvarsbehov.
Endringer og forskjeller fra ISO 27002:2013
27002:2022/8.25 replace 27002:2013/(14.2.1)
Totalt sett er det to viktige forskjeller.
ISO 27002:2022-versjonen stiller to nye krav
Mens 2022-versjonen i stor grad ligner på 2013-versjonen, stiller Control 8.25 to nye krav til organisasjoner:
- Organisasjoner bør overholde lisenskravene og bør vurdere gjennomførbarheten av alternative kostnadseffektive metoder som foreskrevet i Kontroll 8.30.
- Organisasjoner bør utføre sikkerhets- og systemtesting som penetrasjonstester og kodeskanning i samsvar med Kontroll 8.29.
ISO 27002:2013-versjonen er eksplisitt referert til gjenbruk av koden
2013-versjonen sa eksplisitt at kontroll 14.2.1 gjelder både for nyutvikling og for gjenbruk av kode. Kontroll 8.25 refererte derimot ikke til scenarier for gjenbruk av kode.
Nye ISO 27002 kontroller
| ISO/IEC 27002:2022 kontrollidentifikator | ISO/IEC 27002:2013 kontrollidentifikator | Kontrollnavn |
|---|---|---|
| 5.7 | NEW | Trusselintelligens |
| 5.23 | NEW | Informasjonssikkerhet for bruk av skytjenester |
| 5.30 | NEW | IKT-beredskap for forretningskontinuitet |
| 7.4 | NEW | Fysisk sikkerhetsovervåking |
| 8.9 | NEW | Konfigurasjonsstyring |
| 8.10 | NEW | Sletting av informasjon |
| 8.11 | NEW | Datamaskering |
| 8.12 | NEW | Forebygging av datalekkasje |
| 8.16 | NEW | Overvåking av aktiviteter |
| 8.23 | NEW | Web-filtrering |
| 8.28 | NEW | Sikker koding |
| ISO/IEC 27002:2022 kontrollidentifikator | ISO/IEC 27002:2013 kontrollidentifikator | Kontrollnavn |
|---|---|---|
| 6.1 | 07.1.1 | Screening |
| 6.2 | 07.1.2 | Vilkår og betingelser for ansettelsen |
| 6.3 | 07.2.2 | Informasjonssikkerhetsbevissthet, utdanning og opplæring |
| 6.4 | 07.2.3 | Disiplinær prosess |
| 6.5 | 07.3.1 | Ansvar etter oppsigelse eller endring av arbeidsforhold |
| 6.6 | 13.2.4 | Avtaler om konfidensialitet eller taushetsplikt |
| 6.7 | 06.2.2 | Fjernarbeid |
| 6.8 | 16.1.2, 16.1.3 | Informasjonssikkerhet hendelsesrapportering |
| ISO/IEC 27002:2022 kontrollidentifikator | ISO/IEC 27002:2013 kontrollidentifikator | Kontrollnavn |
|---|---|---|
| 7.1 | 11.1.1 | Fysiske sikkerhetsomkretser |
| 7.2 | 11.1.2, 11.1.6 | Fysisk inngang |
| 7.3 | 11.1.3 | Sikring av kontorer, rom og fasiliteter |
| 7.4 | NEW | Fysisk sikkerhetsovervåking |
| 7.5 | 11.1.4 | Beskyttelse mot fysiske og miljømessige trusler |
| 7.6 | 11.1.5 | Arbeid i sikre områder |
| 7.7 | 11.2.9 | Oversiktlig skrivebord og oversiktlig skjerm |
| 7.8 | 11.2.1 | Utstyrsplassering og beskyttelse |
| 7.9 | 11.2.6 | Sikkerhet av eiendeler utenfor lokaler |
| 7.10 | 08.3.1, 08.3.2, 08.3.3, 11.2.5 | Lagringsmedier |
| 7.11 | 11.2.2 | Støtteverktøy |
| 7.12 | 11.2.3 | Kablingssikkerhet |
| 7.13 | 11.2.4 | Vedlikehold av utstyr |
| 7.14 | 11.2.7 | Sikker avhending eller gjenbruk av utstyr |
Hvordan ISMS.online hjelper
ISO 27002-implementering er enklere med vår trinnvise sjekkliste som veileder deg gjennom hele prosessen. Din komplette samsvarsløsning for ISO/IEC 27002:2022.
- Opptil 81 % fremgang fra du logger på.
- Enkel og total overholdelsesløsning.
Ta kontakt i dag for å bestill en demo.
