ISO 27002:2022, Kontroll 8.31 – Separasjon av utviklings-, test- og produksjonsmiljøer

Eierskap til kontroll 8.31

Tatt i betraktning at Kontroll 8.31 innebærer etablering og implementering av organisasjonsomfattende prosesser og kontroller for å separere ulike programvaremiljøer, skal informasjonssikkerhetssjef, med hjelp av utviklingsteamet, være det endelige ansvaret for overholdelse.

Generell veiledning om samsvar

Organisasjoner bør ta hensyn til potensielle produksjonsproblemer som bør forhindres når de bestemmer det nødvendige nivået av separasjon mellom de tre miljøene.

Spesielt anbefaler Control 8.31 organisasjoner å vurdere følgende syv kriterier:

1. Segregering og drift av utviklings- og produksjonssystemer i tilstrekkelig grad. For eksempel kan bruk av separate virtuelle og fysiske miljøer for produksjon være en effektiv metode.
2. Hensiktsmessige regler og autorisasjonsprosedyrer bør etableres, dokumenteres og brukes for bruk av programvare i produksjonsmiljøet etter å ha gått gjennom utviklingsmiljøet.
3. Organisasjoner bør gjennomgå og teste endringer som er gjort i applikasjoner og produksjonssystemer i et testmiljø atskilt fra produksjonsmiljøet før disse endringene brukes i produksjonsmiljøet.
4. Testing i produksjonsmiljøer bør ikke tillates med mindre slik testing er definert og godkjent før testing.
5. Utviklingsverktøy som kompilatorer og redaktører skal ikke være tilgjengelig fra produksjonsmiljøene med mindre denne tilgangen er absolutt nødvendig.
6. For å minimere feil, bør riktige miljøidentifikasjonsetiketter vises tydelig i menyene.
7. Sensitive informasjonsressurser bør ikke overføres til utviklings- og testmiljøer med mindre tilsvarende sikkerhetstiltak brukes i utviklings- og testsystemene.

Supplerende veiledning om beskyttelse av utviklings- og testmiljøer

Organisasjoner bør beskytte utviklings- og testmiljøer mot sikkerhetsrisikoer ved å ta hensyn til følgende:

• Alle utviklings-, integrasjons- og testverktøy som byggere, integratorer og biblioteker bør lappes og oppdateres regelmessig.
• Alle systemer og programvare bør konfigureres sikkert.
• Tilgang til miljøer bør være underlagt passende kontroller.
• Endringer i miljøer og kode som er lagret i det bør overvåkes og gjennomgås.
• Miljøer bør overvåkes og gjennomgås på en sikker måte.
• Miljøer bør sikkerhetskopieres.

Videre bør ingen enkeltperson gis privilegiet til å gjøre endringer i både utviklings- og produksjonsmiljøer uten å ha fått godkjenning først. For å forhindre dette kan organisasjoner skille tilgangsrettigheter eller etablere og implementere tilgangskontroller.

I tillegg kan organisasjoner også vurdere ekstra tekniske kontroller som logging av alle tilgangsaktiviteter og sanntidsovervåking av all tilgang til disse miljøene.

Supplerende veiledning om kontroll 8.31

Hvis organisasjoner ikke gjennomfører nødvendige tiltak, kan informasjonssystemene deres stå overfor betydelige sikkerhetsrisikoer.

For eksempel kan utviklere og testere med tilgang til produksjonsmiljøet gjøre uønskede endringer i filer eller systemmiljøer, kjøre uautorisert kode eller ved et uhell avsløre sensitiv informasjon.

Derfor trenger organisasjoner et stabilt miljø for å utføre robuste tester på koden og for å hindre utviklere fra å få tilgang til produksjonsmiljøene der sensitive data fra den virkelige verden er vert for og behandlet.

Organisasjoner bør også ta i bruk tiltak som utpekte roller sammen med krav til pliktseparasjon.

En annen trussel mot konfidensialiteten til produksjonsdata er utviklings- og testpersonell. Når utviklings- og testteamene utfører sine aktiviteter ved å bruke de samme dataenhetene, kan de ved et uhell gjøre endringer i sensitiv informasjon eller programvare.

Organisasjoner anbefales å etablere støttende prosesser for bruk av produksjonsdata i test- og utviklingssystemer i samsvar med kontroll 8.33.

Dessuten bør organisasjoner ta hensyn til tiltakene som er adressert i denne kontrollen når de utfører sluttbrukeropplæring i opplæringsmiljøer.

Sist, men ikke minst, kan organisasjoner bevisst viske ut grensene mellom utviklings-, test- og produksjonsmiljøer. For eksempel kan testing utføres i et utviklingsmiljø eller produkttesting kan utføres ved faktisk bruk av produktet av ansatte i organisasjonen.

Endringer og forskjeller fra ISO 27002:2013

27002:2022/8.31 erstatter 27002:2013/(12.1.4 og 14.2.6)

Selv om de to versjonene er like i stor grad, er det to forskjeller som bør fremheves.

Kontroll 14.2.6 i 2013-versjonen har gitt mer detaljert veiledning om sikre utviklingsmiljøer

Kontroll 14.2.6 i 2013-versjonen tar for seg sikre utviklingsmiljøer og lister opp 10 anbefalinger som organisasjoner bør ta hensyn til når de bygger et utviklingsmiljø.

2022-versjonen, derimot, inneholdt ikke noen av disse anbefalingene, for eksempel sikkerhetskopiering på et sted utenfor stedet og restriksjoner på overføring av data.

Kontroll 8.31 Omhandler produkttesting og bruk av produksjonsdata

I motsetning til 2013-versjonen gir kontroll 8.31 i 2022-versjonen veiledning om hvordan produkttesting skal utføres og om bruk av produksjonsdata i henhold til kontroll 8.33.

Hvordan ISMS.online hjelper

ISMS.Online-plattformen hjelper med alle aspekter ved implementering av ISO 27002, fra styring av risikovurderingsaktiviteter til utvikling av retningslinjer, prosedyrer og retningslinjer for å overholde standardens krav.

Det gir en måte å dokumentere funnene dine og kommunisere dem med teammedlemmene dine på nettet. ISMS.Online lar deg også lage og lagre sjekklister for alle oppgavene som er involvert i implementeringen av ISO 27002, slik at du enkelt kan spore fremdriften til organisasjonens sikkerhetsprogram.

Med sitt automatiserte verktøysett gjør ISMS.Online det enkelt for organisasjoner å demonstrere samsvar med ISO 27002-standarden.

Kontakt oss i dag for planlegg en demonstrasjon.