Sikre sikkerhet fra utvikling til distribusjon: ISO 27002-kontroll 8.29 forklart
Cyberkriminelle finner stadig opp nye måter og forbedrer strategiene sine for å infiltrere bedriftsnettverk og få tilgang til sensitiv informasjonsressurser.
For eksempel kan cyberangripere utnytte en sårbarhet knyttet til autentiseringsmekanismen i kildekoden for å trenge inn i nettverk. Videre kan de også forsøke å manipulere sluttbrukere på klientsiden til å utføre handlinger for å infiltrere nettverk, få tilgang til data eller utføre løsepenge-angrep.
Hvis en applikasjon, programvare eller IT-system er utplassert i den virkelige verden med sårbarheter, vil dette utsette sensitive informasjonsressurser for risikoen for kompromittering.
Derfor bør organisasjoner etablere og implementere en passende sikkerhetstestingsprosedyre for å identifisere og utbedre alle sårbarheter i IT-systemer før de distribueres til den virkelige verden.
Formål med kontroll 8.29
Kontroll 8.29 gjør det mulig for organisasjoner å verifisere at alle informasjonssikkerhetskrav er oppfylt når nye applikasjoner, databaser, programvare eller kode settes i drift ved å etablere og anvende en robust sikkerhetstestingsprosedyre.
Dette hjelper organisasjoner med å oppdage og eliminere sårbarheter i koden, nettverkene, serverne, applikasjonene eller andre IT-systemer før de brukes i den virkelige verden.
Kontrollattributter 8.29
Kontroll 8.29 er forebyggende. Det krever at organisasjoner utsetter nye informasjonssystemer og deres nye/oppdaterte versjoner for en sikkerhetstestprosess før de slippes ut i produksjonsmiljøet.
| Kontrolltype | Informasjonssikkerhetsegenskaper | Konsepter for cybersikkerhet | Operasjonelle evner | Sikkerhetsdomener |
|---|---|---|---|---|
| #Forebyggende | #Konfidensialitet | #Identifisere | #Applikasjonssikkerhet | #Beskyttelse |
| #Integritet | #Informasjonssikkerhetsforsikring | |||
| #Tilgjengelighet | #System- og nettverkssikkerhet |
ISO 27001 gjort enkelt
Et forsprang på 81 % fra dag én
Vi har gjort det harde arbeidet for deg, og gir deg 81 % forsprang fra det øyeblikket du logger på. Alt du trenger å gjøre er å fylle ut de tomme feltene.
Eierskap til kontroll 8.29
Tatt i betraktning at Kontroll 8.29 innebærer etablering, vedlikehold og implementering av en sikkerhetstestingsprosedyre som vil gjelde for alle nye informasjonssystemer, enten de er utviklet internt eller av eksterne parter, bør informasjonssikkerhetsansvarlig være ansvarlig for overholdelse.
Generell veiledning om samsvar
Organisasjoner bør inkludere sikkerhetstesting i testprosessen for alle systemer og de må sikre at alle nye informasjonssystemer og deres nye/oppdaterte versjoner tilfredsstiller kravene til informasjonssikkerhet når de er i produksjonsmiljøet.
Kontroll 8.29 viser tre elementer som bør inkluderes i sikkerhetstestprosessen:
- Sikkerhetsfunksjoner som brukerautentisering som definert i kontroll 8..5, tilgangsbegrensning som foreskrevet i kontroll 8.3, og kryptografi som adressert i kontroll 8.24.
- Sikker koding som beskrevet i Kontroll 8.28.
- Sikre konfigurasjoner som foreskrevet i kontroller 8.9, 8.20, 8.22. Dette kan dekke brannmurer og operativsystemer.
Hva bør en testplan inneholde?
Ved utforming av sikkerhetstestingsplaner bør organisasjoner ta hensyn til kritikalitetsnivået og informasjonssystemets natur.
Sikkerhetstestingsplanen bør dekke følgende:
- Etablering av en detaljert tidsplan for aktivitetene og testingen som skal gjennomføres.
- Innganger og utganger som forventes å skje under et gitt sett med forhold.
- Kriterier for å vurdere resultatene.
- Hvis det er hensiktsmessig, beslutninger om å iverksette tiltak basert på resultatene.
Frigjør deg fra et fjell av regneark
Bygg inn, utvid og skaler samsvarsstyringen din uten rot. IO gir deg robustheten og selvtilliten til å vokse sikkert.
Intern utvikling
Når IT-systemer utvikles av det interne utviklingsteamet, bør dette teamet utføre den innledende sikkerhetstestingen for å sikre at IT-systemet tilfredsstiller sikkerhetskravene.
Denne innledende testingen bør deretter følges av en uavhengig akseptansetesting i samsvar med kontroll 5.8.
I forhold til egenutviklingen bør følgende vurderes:
- Gjennomføring av kodegjennomgangsaktiviteter for å oppdage og eliminere sikkerhetsfeil, inkludert forventede inndata og forhold.
- Utføre sårbarhetsskanning for å oppdage usikre konfigurasjoner og andre sårbarheter.
- Gjennomføring av penetrasjonstester for å oppdage usikker kode og design.
Outsourcing
Organisasjoner bør følge en streng anskaffelsesprosess når de outsourcer utvikling eller når de kjøper IT-komponenter fra eksterne parter.
Organisasjoner bør inngå en avtale med sine leverandører, og denne avtalen bør ivareta informasjonssikkerhetskravene som foreskrevet i Kontroll 5.20.
Videre bør organisasjoner sikre at produktene og tjenestene de kjøper er i samsvar med informasjonssikkerhetsstandardene.
Supplerende veiledning om kontroll 8.29
Organisasjoner kan opprette flere testmiljøer for å utføre ulike tester som funksjonell, ikke-funksjonell og ytelsestesting.
Videre kan de lage virtuelle testmiljøer og deretter konfigurere disse miljøene til å teste IT-systemene i ulike driftsinnstillinger.
Kontroll 8.29 bemerker også at effektiv sikkerhetstesting krever at organisasjoner tester og overvåker testmiljøene, verktøyene og teknologiene.
Til slutt bør organisasjoner ta hensyn til nivået av sensitivitet og kritiske data når de bestemmer antall lag med meta-testing.
Administrer all samsvarskontroll, alt på ett sted
ISMS.online støtter over 100 standarder og forskrifter, og gir deg én enkelt plattform for alle dine samsvarsbehov.
Endringer og forskjeller fra ISO 27002:2013
27002:2022/8.29 erstatter 27002:2013/(14.2.8 og 14.2.9)
Strukturelle endringer
Mens 2022-versjonen tar for seg sikker testing under én enkelt kontroll, refererte 2013-versjonen til sikker testing i to separate kontroller; Systemsikkerhetstesting i kontroll 14.2.8 og systemaksepttesting i kontroll 14.2.9
Kontroll 8.29 gir mer omfattende krav
I motsetning til 2013-versjonen inneholder 2022-versjonen mer detaljerte krav og anbefalinger om følgende:
- Plan for sikkerhetstesting og hva den skal inneholde.
- Kriterier for sikkerhetstesting for egenutvikling av IT-systemer.
- Sikkerhetstesting og hva den skal innebære.
- Bruk av flere testmiljøer.
2013-versjonen var mer detaljert i forhold til aksepttesting
I motsetning til 2022-versjonen var 2013-versjonen mer preskriptiv for systemaksepttesting. Det inkluderte krav som sikkerhetstesting på mottatte komponenter og bruk av automatiserte verktøy.
Nye ISO 27002 kontroller
| ISO/IEC 27002:2022 kontrollidentifikator | ISO/IEC 27002:2013 kontrollidentifikator | Kontrollnavn |
|---|---|---|
| 5.7 | NEW | Trusselintelligens |
| 5.23 | NEW | Informasjonssikkerhet for bruk av skytjenester |
| 5.30 | NEW | IKT-beredskap for forretningskontinuitet |
| 7.4 | NEW | Fysisk sikkerhetsovervåking |
| 8.9 | NEW | Konfigurasjonsstyring |
| 8.10 | NEW | Sletting av informasjon |
| 8.11 | NEW | Datamaskering |
| 8.12 | NEW | Forebygging av datalekkasje |
| 8.16 | NEW | Overvåking av aktiviteter |
| 8.23 | NEW | Web-filtrering |
| 8.28 | NEW | Sikker koding |
| ISO/IEC 27002:2022 kontrollidentifikator | ISO/IEC 27002:2013 kontrollidentifikator | Kontrollnavn |
|---|---|---|
| 6.1 | 07.1.1 | Screening |
| 6.2 | 07.1.2 | Vilkår og betingelser for ansettelsen |
| 6.3 | 07.2.2 | Informasjonssikkerhetsbevissthet, utdanning og opplæring |
| 6.4 | 07.2.3 | Disiplinær prosess |
| 6.5 | 07.3.1 | Ansvar etter oppsigelse eller endring av arbeidsforhold |
| 6.6 | 13.2.4 | Avtaler om konfidensialitet eller taushetsplikt |
| 6.7 | 06.2.2 | Fjernarbeid |
| 6.8 | 16.1.2, 16.1.3 | Informasjonssikkerhet hendelsesrapportering |
| ISO/IEC 27002:2022 kontrollidentifikator | ISO/IEC 27002:2013 kontrollidentifikator | Kontrollnavn |
|---|---|---|
| 7.1 | 11.1.1 | Fysiske sikkerhetsomkretser |
| 7.2 | 11.1.2, 11.1.6 | Fysisk inngang |
| 7.3 | 11.1.3 | Sikring av kontorer, rom og fasiliteter |
| 7.4 | NEW | Fysisk sikkerhetsovervåking |
| 7.5 | 11.1.4 | Beskyttelse mot fysiske og miljømessige trusler |
| 7.6 | 11.1.5 | Arbeid i sikre områder |
| 7.7 | 11.2.9 | Oversiktlig skrivebord og oversiktlig skjerm |
| 7.8 | 11.2.1 | Utstyrsplassering og beskyttelse |
| 7.9 | 11.2.6 | Sikkerhet av eiendeler utenfor lokaler |
| 7.10 | 08.3.1, 08.3.2, 08.3.3, 11.2.5 | Lagringsmedier |
| 7.11 | 11.2.2 | Støtteverktøy |
| 7.12 | 11.2.3 | Kablingssikkerhet |
| 7.13 | 11.2.4 | Vedlikehold av utstyr |
| 7.14 | 11.2.7 | Sikker avhending eller gjenbruk av utstyr |
Hvordan ISMS.online hjelper
ISMS.online strømlinjeformer ISO 27002-implementeringsprosessen ved å tilby et sofistikert skybasert rammeverk for å dokumentere prosedyrer for informasjonssikkerhetsstyringssystem og sjekklister for å sikre samsvar med anerkjente standarder.
Ta kontakt og bestill en demo.
