ISO 27002:2022, Kontroll 8.30 – Utkontraktert utvikling

Eierskap til kontroll 8.30

Chief Information Security Officer bør være ansvarlig for å etablere og implementere nødvendige prosedyrer og kontroller for å sikre at disse informasjonssikkerhetskravene kommuniseres til, avtales av og overholdes av eksterne leverandører.

Generell veiledning om samsvar

Generell veiledning fremhever at organisasjoner kontinuerlig bør overvåke og verifisere at leveransen av utkontraktert utviklingsarbeid tilfredsstiller kravene til informasjonssikkerhet som stilles til den eksterne tjenesteleverandøren.

Control 8.30 anbefaler at organisasjoner tar hensyn til følgende 11 faktorer når de outsourcer utvikling:

1. Inngå avtaler, inkludert lisensavtaler, som tar for seg eierskap over kode og immaterielle rettigheter.
2. Pålegge hensiktsmessige kontraktskrav for sikker design og koding i tråd med kontroll 8.25 og 8.29.
3. Etablere en trusselmodell som skal tas i bruk av tredjepartsutviklere.
4. Gjennomføring av akseptprøvingsprosedyre for å sikre kvalitet og nøyaktighet på levert arbeid.
5. Bevis på at minimalt nødvendige personvern- og sikkerhetsfunksjoner er oppnådd. Dette kan oppnås via attestasjonsrapporter.
6. Oppbevare bevis på hvordan tilstrekkelig testing er utført for å beskytte det leverte IT-systemet eller programvaren mot skadelig innhold.
7. Oppbevar bevis på hvordan tilstrekkelig testing har blitt brukt for å beskytte mot identifiserte sårbarheter.
8. Sette på plass escrow-avtaler som dekker programvarekildekoden. Den kan for eksempel ta for seg hva som vil skje dersom den eksterne leverandøren går ut av drift.
9. Avtalen med leverandøren bør innebære rett for organisasjonen til å utføre revisjoner av utviklingsprosesser og kontroller.
10. Etablere og implementere sikkerhetskrav for utviklingsmiljøet.
11. Organisasjoner bør også vurdere gjeldende lover, vedtekter og forskrifter.

Supplerende veiledning

For mer detaljert veiledning om håndtering av leverandørforhold, kan organisasjoner henvise til ISO/IEC 27036.

Endringer og forskjeller fra ISO 27002:2013

27002:2022/8.30 replace 27002:2013/(14.2.7)

Totalt sett er det ingen vesentlig forskjell mellom de to versjonene.

Hvordan ISMS.online hjelper

Bedrifter kan bruke ISMS.Online for å hjelpe dem med deres ISO 27002-samsvarsarbeid ved å gi dem en plattform som gjør det enkelt å administrere sikkerhetspolicyer og -prosedyrer, oppdatere dem etter behov, teste dem og overvåke effektiviteten.

Vår skybaserte plattform lar deg raskt og enkelt administrere alle aspektene ved ISMS-en din, inkludert risikostyring, retningslinjer, planer, prosedyrer og mer, på ett sentralt sted. Plattformen er enkel å bruke og har et intuitivt grensesnitt som gjør det enkelt å lære å bruke.

Ta kontakt i dag for å bestill en demo.