Sikre sikre informasjonssystemer under revisjoner: ISO 27002 kontroll 8.34 forklart
Revisjonstester spiller en kritisk rolle i å oppdage og eliminere sikkerhetsrisikoer og sårbarheter i informasjonssystemene.
Imidlertid revisjonsprosess, enten utført i drifts-, test- eller utviklingsmiljøer, kan utsette sensitiv informasjon for risikoen for uautorisert avsløring eller tap av integritet og tilgjengelighet.
Kontroll 8.34 omhandler hvordan organisasjoner kan vedlikeholde sikkerhet for informasjonsmidler under revisjonstester.
Formål med kontroll 8.34
Kontroll 8.34 gjør det mulig for organisasjoner å eliminere og redusere risikoer for sikkerhet for informasjonssystemer og til kontinuiteten i forretningsdriften ved å etablere og anvende egnede tiltak og kontroller som tilgangsbegrensninger og lesetilgangsbegrensninger.
Attributttabell for kontroll 8.34
Kontroll 8.34 er forebyggende ettersom den krever øverste ledelse og revisor for å planlegge og avtale revisjonstesting prosedyrer, restriksjoner og kontroller før gjennomføring av revisjoner.
| Kontrolltype | Informasjonssikkerhetsegenskaper | Konsepter for cybersikkerhet | Operasjonelle evner | Sikkerhetsdomener |
|---|---|---|---|---|
| #Forebyggende | #Konfidensialitet | #Beskytte | #System- og nettverkssikkerhet | #Governance og økosystem |
| #Integritet | #Informasjonsbeskyttelse | #Beskyttelse | ||
| #Tilgjengelighet |
ISO 27001 gjort enkelt
Et forsprang på 81 % fra dag én
Vi har gjort det harde arbeidet for deg, og gir deg 81 % forsprang fra det øyeblikket du logger på. Alt du trenger å gjøre er å fylle ut de tomme feltene.
Eierskap til kontroll 8.34
IT Ledergruppen bør være ansvarlig for å planlegge og bli enige om revisjonsprosedyrer og å opprette og iverksette nødvendige tiltak.
Generell veiledning om samsvar
Kontroll 8.34 viser åtte spesifikke krav som organisasjoner bør vurdere:
- Hensiktsmessig ledelse og revisor bør bli enige om tilgang til systemer og informasjonsressurser.
- Enighet om omfanget av tekniske revisjonstester som skal utføres.
- Organisasjoner kan bare gi skrivebeskyttet tilgang til informasjon og programvare. Dersom det ikke er mulig å bruke skrivebeskyttet teknikk, kan en administrator med nødvendige tilgangsrettigheter få tilgang til systemer eller data på vegne av revisor.
- Hvis en tilgangsforespørsel er autorisert, bør organisasjoner først verifisere at enheter som brukes for å få tilgang til systemer, oppfyller sikkerhetskravene før de gir tilgang.
- Tilgang skal kun gis for isolerte kopier av filer trukket ut fra systemet. Disse kopiene bør slettes permanent når revisjonen er fullført, med mindre det er en forpliktelse til å beholde disse filene. Hvis skrivebeskyttet tilgang er mulig, gjelder ikke denne kontrollen.
- Forespørsler fra revisorer om å utføre spesiell behandling, for eksempel utplassering av revisjonsverktøy, bør godkjennes av ledelsen.
- Hvis en revisjon risikerer å påvirke systemets tilgjengelighet, bør revisjonen utføres utenom åpningstidene for å opprettholde tilgjengeligheten av informasjon.
- Forespørsler om tilgang laget for revisjoner skal logges for revisjonssporet.
Supplerende veiledning om kontroll 8.34
Når det utføres revisjoner på test- eller utviklingsmiljøer, bør organisasjoner være forsiktige mot følgende risikoer:
- Kompromiss med integriteten til koden.
- Tap av konfidensialitet for sensitiv informasjon.
Administrer all samsvarskontroll, alt på ett sted
ISMS.online støtter over 100 standarder og forskrifter, og gir deg én enkelt plattform for alle dine samsvarsbehov.
Endringer og forskjeller fra ISO 27002:2013
27002:2022/8.34 replaces 27002:2013/(12.7.1)
Selv om 2022-versjonen i stor grad ligner på 2013-versjonen, er det to viktige forskjeller.
ISO 27002:2022-versjonen introduserer et nytt krav
2022-versjonen introduserer følgende krav som ikke ble referert til i 2013-versjonen:
Hvis en tilgangsforespørsel er autorisert, bør organisasjoner først verifisere at enheter som brukes for å få tilgang til systemer, oppfyller sikkerhetskravene før de gir tilgang.
2022-versjonen tar for seg test- og utviklingsmiljøer
I tilleggsveiledningen advarer 2022-versjonen organisasjoner mot sikkerhetsrisiko på grunn av revisjoner utført på test- og utviklingsmiljøer. 2013-versjonen, tvert imot, refererte ikke til test- og utviklingsmiljøene.
Nye ISO 27002 kontroller
| ISO/IEC 27002:2022 kontrollidentifikator | ISO/IEC 27002:2013 kontrollidentifikator | Kontrollnavn |
|---|---|---|
| 5.7 | NEW | Trusselintelligens |
| 5.23 | NEW | Informasjonssikkerhet for bruk av skytjenester |
| 5.30 | NEW | IKT-beredskap for forretningskontinuitet |
| 7.4 | NEW | Fysisk sikkerhetsovervåking |
| 8.9 | NEW | Konfigurasjonsstyring |
| 8.10 | NEW | Sletting av informasjon |
| 8.11 | NEW | Datamaskering |
| 8.12 | NEW | Forebygging av datalekkasje |
| 8.16 | NEW | Overvåking av aktiviteter |
| 8.23 | NEW | Web-filtrering |
| 8.28 | NEW | Sikker koding |
| ISO/IEC 27002:2022 kontrollidentifikator | ISO/IEC 27002:2013 kontrollidentifikator | Kontrollnavn |
|---|---|---|
| 6.1 | 07.1.1 | Screening |
| 6.2 | 07.1.2 | Vilkår og betingelser for ansettelsen |
| 6.3 | 07.2.2 | Informasjonssikkerhetsbevissthet, utdanning og opplæring |
| 6.4 | 07.2.3 | Disiplinær prosess |
| 6.5 | 07.3.1 | Ansvar etter oppsigelse eller endring av arbeidsforhold |
| 6.6 | 13.2.4 | Avtaler om konfidensialitet eller taushetsplikt |
| 6.7 | 06.2.2 | Fjernarbeid |
| 6.8 | 16.1.2, 16.1.3 | Informasjonssikkerhet hendelsesrapportering |
| ISO/IEC 27002:2022 kontrollidentifikator | ISO/IEC 27002:2013 kontrollidentifikator | Kontrollnavn |
|---|---|---|
| 7.1 | 11.1.1 | Fysiske sikkerhetsomkretser |
| 7.2 | 11.1.2, 11.1.6 | Fysisk inngang |
| 7.3 | 11.1.3 | Sikring av kontorer, rom og fasiliteter |
| 7.4 | NEW | Fysisk sikkerhetsovervåking |
| 7.5 | 11.1.4 | Beskyttelse mot fysiske og miljømessige trusler |
| 7.6 | 11.1.5 | Arbeid i sikre områder |
| 7.7 | 11.2.9 | Oversiktlig skrivebord og oversiktlig skjerm |
| 7.8 | 11.2.1 | Utstyrsplassering og beskyttelse |
| 7.9 | 11.2.6 | Sikkerhet av eiendeler utenfor lokaler |
| 7.10 | 08.3.1, 08.3.2, 08.3.3, 11.2.5 | Lagringsmedier |
| 7.11 | 11.2.2 | Støtteverktøy |
| 7.12 | 11.2.3 | Kablingssikkerhet |
| 7.13 | 11.2.4 | Vedlikehold av utstyr |
| 7.14 | 11.2.7 | Sikker avhending eller gjenbruk av utstyr |
Hvordan ISMS.online hjelper
ISO 27002 implementeringen er enklere med vår trinnvise sjekkliste som guider deg gjennom hele prosessen, fra å definere omfanget av ISMS-en din til risikoidentifikasjon og kontrollimplementering.
Vår plattform er intuitiv og enkel å bruke. Det er ikke bare for svært tekniske mennesker; det er for alle i organisasjonen din. Vi oppfordrer deg til å involvere ansatte på alle nivåer i virksomheten din i prosessen med å bygge din ISMS, fordi det hjelper deg å bygge et virkelig bærekraftig system.
Ta kontakt i dag for å bestill en demo.
