ISO 27002:2022, kontroll 8.26 – applikasjonssikkerhetskrav

Eierskap til kontroll 8.26

Chief Information Security Officer, med støtte fra informasjonssikkerhetsspesialister, bør være ansvarlig for identifisering, godkjenning og implementering av informasjonskrav for anskaffelse, bruk og utvikling av applikasjoner.

Generell veiledning om samsvar

Generell veiledning bemerker at organisasjoner bør gjennomføre en risikovurdering for å bestemme typen informasjonssikkerhetskrav passende for en bestemt applikasjon.

Mens innholdet og typene av krav til informasjonssikkerhet kan variere avhengig av søknadens art, kravene bør dekke følgende:

• Graden av tillit som er tildelt identiteten til spesifikke enheter i samsvar med kontroll 5.17, 8.2 og 8.5.
• Identifikasjon av klassifiseringsnivå tilordnet informasjonsmidler skal lagres på eller behandles av applikasjonen.
• Hvorvidt det er behov for å skille tilgangen til funksjoner og informasjon som er lagret på applikasjonen.
• Om applikasjonen er motstandsdyktig mot cyberangrep som SQL-injeksjoner eller utilsiktede avlyttinger som bufferoverløp.
• Juridiske, regulatoriske og lovpålagte krav og standarder som gjelder for transaksjonen som behandles, genereres, lagres eller fullføres av applikasjonen.
• Personvernhensyn for alle involverte parter.
• Krav til beskyttelse av konfidensielle data.
• Beskyttelse av informasjon når den er i bruk, under transport eller i hvile.
• Enten sikker kryptering av kommunikasjon mellom alle relevante parter er nødvendig.
• Implementering av inputkontroller som inputvalidering eller utførelse av integritetssjekker.
• Utføre automatiserte kontroller.
• Utføre utdatakontroller, tar hensyn til hvem som kan se utdata og autorisasjonen for Access.
• Behov for å pålegge begrensninger på innholdet i "fritekst"-felt for å beskytte spredning av konfidensielle data på en ukontrollerbar måte.
• Krav som oppstår som følge av forretningsbehov som logging av transaksjoner og krav om ikke-avvisning.
• Krav pålagt av andre sikkerhetskontroller som for eksempel datalekkasjedeteksjonssystemer.
• Hvordan håndtere feilmeldinger.

Supplerende veiledning om transaksjonstjenester

Kontroll 8.26 krever at organisasjoner tar hensyn til følgende syv anbefalinger når en applikasjon tilbyr transaksjonstjenester mellom organisasjonen og en partner:

• Graden av tillit hver part i transaksjonen krever i den andre partens identitet.
• Graden av tillit som kreves i integriteten til data som kommuniseres eller behandles og identifisering av en riktig mekanisme for å oppdage eventuell mangel på integritet, inkludert verktøy som hashing og digitale signaturer.
• Etablering av en autorisasjonsprosess for hvem som har lov til å godkjenne innholdet i, signere eller signere viktige transaksjonsdokumenter.
• Opprettholde konfidensialiteten og integriteten til de kritiske dokumentene og bevise sending og mottak av slike dokumenter.
• Beskytte og opprettholde integriteten og konfidensialiteten til alle transaksjoner som bestillinger og kvitteringer.
• Krav for hvilken tidsperiode transaksjoner skal holdes konfidensielle.
• Kontraktsmessige krav og krav knyttet til forsikring.

Supplerende veiledning om elektroniske bestillings- og betalingsapplikasjoner

Når applikasjoner inkluderer betalings- og elektronisk bestillingsfunksjonalitet, bør organisasjoner ta hensyn til følgende:

• Krav sikrer at konfidensialitet og integritet til ordreinformasjon ikke kompromitteres.
• Bestemme en passende grad av bekreftelse for å verifisere betalingsdetaljene oppgitt av en kunde.
• Forhindre tap eller duplisering av transaksjonsinformasjon.
• Sørge for at informasjon knyttet til informasjon lagres utenfor et offentlig tilgjengelig miljø, for eksempel på et lagringsmedium som ligger på organisasjonens eget intranett.
• Der organisasjoner er avhengige av en pålitelig ekstern myndighet, for eksempel for utstedelse av digitale signaturer, må de sørge for at sikkerheten er integrert i hele prosessen.

Supplerende veiledning om nettverk

Når applikasjoner åpnes via nettverk, er de sårbare for trusler som kontraktstvister, uredelige aktiviteter, feilruting, uautoriserte endringer i innholdet i kommunikasjon eller tap av konfidensialitet for sensitiv informasjon.

Kontroll 8.26 anbefaler at organisasjoner utfører omfattende risikovurderinger for å identifisere passende kontroller som bruk av kryptografi for å sikre sikkerheten ved informasjonsoverføringer.

Endringer og forskjeller fra ISO 27002:2013

27002:2022/8.26 erstatte 27002:2013/(14.1.2 og 14.1.3)

Det er tre store forskjeller mellom de to versjonene.

Alle applikasjoner vs applikasjoner som går gjennom offentlige nettverk

ISO 27002:2013-versjonen listet ikke opp krav som gjelder for alle applikasjoner: Den ga en liste over informasjonssikkerhetskrav som bør vurderes for applikasjoner som går gjennom offentlige nettverk.

Kontroller 8.26 i 2022-versjonentvert imot, ga en liste over informasjonssikkerhetskrav som gjelder for alle applikasjoner.

Ytterligere veiledning om elektroniske bestillings- og betalingsapplikasjoner

Kontroll 8.26 i 2022-versjonen inneholder spesifikk veiledning om Elektroniske bestillings- og betalingsapplikasjoner. I motsetning til dette tok ikke 2013-versjonen opp dette.

Ytterligere krav til transaksjonstjenester

Mens 2022-versjonen og 2013-versjonen er nesten identiske når det gjelder kravene til transaksjonstjenester, introduserer 2022-versjonen et tilleggskrav som ikke er adressert i 2013-versjonen:

• Organisasjoner bør vurdere kontraktsmessige krav og krav knyttet til forsikring.

Hvordan ISMS.online hjelper

ISMS.online er en skybasert løsning som hjelper bedrifter å vise samsvar med ISO 27002. ISMS.online-løsningen kan brukes til å håndtere kravene til ISO 27002 og sikre at organisasjonen din forblir kompatibel med den nye standarden.

Vår plattform er brukervennlig og grei. Det er ikke bare for svært tekniske personer; det er for alle i bedriften din.

Ta kontakt i dag for å bestill en demo.