ISO 27002:2022, kontroll 8.34 – Beskyttelse av informasjonssystemer under revisjonstesting

Eierskap til kontroll 8.34

IT Ledergruppen bør være ansvarlig for å planlegge og bli enige om revisjonsprosedyrer og å opprette og iverksette nødvendige tiltak.

Generell veiledning om samsvar

Kontroll 8.34 viser åtte spesifikke krav som organisasjoner bør vurdere:

1. Hensiktsmessig ledelse og revisor bør bli enige om tilgang til systemer og informasjonsressurser.
2. Enighet om omfanget av tekniske revisjonstester som skal utføres.
3. Organisasjoner kan bare gi skrivebeskyttet tilgang til informasjon og programvare. Dersom det ikke er mulig å bruke skrivebeskyttet teknikk, kan en administrator med nødvendige tilgangsrettigheter få tilgang til systemer eller data på vegne av revisor.
4. Hvis en tilgangsforespørsel er autorisert, bør organisasjoner først verifisere at enheter som brukes for å få tilgang til systemer, oppfyller sikkerhetskravene før de gir tilgang.
5. Tilgang skal kun gis for isolerte kopier av filer trukket ut fra systemet. Disse kopiene bør slettes permanent når revisjonen er fullført, med mindre det er en forpliktelse til å beholde disse filene. Hvis skrivebeskyttet tilgang er mulig, gjelder ikke denne kontrollen.
6. Forespørsler fra revisorer om å utføre spesiell behandling, for eksempel utplassering av revisjonsverktøy, bør godkjennes av ledelsen.
7. Hvis en revisjon risikerer å påvirke systemets tilgjengelighet, bør revisjonen utføres utenom åpningstidene for å opprettholde tilgjengeligheten av informasjon.
8. Forespørsler om tilgang laget for revisjoner skal logges for revisjonssporet.

Supplerende veiledning om kontroll 8.34

Når det utføres revisjoner på test- eller utviklingsmiljøer, bør organisasjoner være forsiktige mot følgende risikoer:

• Kompromiss med integriteten til koden.
• Tap av konfidensialitet for sensitiv informasjon.

Endringer og forskjeller fra ISO 27002:2013

27002:2022/8.34 replace 27002:2013/(12.7.1)

Selv om 2022-versjonen i stor grad ligner på 2013-versjonen, er det to viktige forskjeller.

ISO 27002:2022-versjonen introduserer et nytt krav

2022-versjonen introduserer følgende krav som ikke ble referert til i 2013-versjonen:

Hvis en tilgangsforespørsel er autorisert, bør organisasjoner først verifisere at enheter som brukes for å få tilgang til systemer, oppfyller sikkerhetskravene før de gir tilgang.

2022-versjonen tar for seg test- og utviklingsmiljøer

I tilleggsveiledningen advarer 2022-versjonen organisasjoner mot sikkerhetsrisiko på grunn av revisjoner utført på test- og utviklingsmiljøer. 2013-versjonen, tvert imot, refererte ikke til test- og utviklingsmiljøene.

Hvordan ISMS.online hjelper

ISO 27002 implementeringen er enklere med vår trinnvise sjekkliste som guider deg gjennom hele prosessen, fra å definere omfanget av ISMS-en din til risikoidentifikasjon og kontrollimplementering.

Vår plattform er intuitiv og enkel å bruke. Det er ikke bare for svært tekniske mennesker; det er for alle i organisasjonen din. Vi oppfordrer deg til å involvere ansatte på alle nivåer i virksomheten din i prosessen med å bygge din ISMS, fordi det hjelper deg å bygge et virkelig bærekraftig system.

Ta kontakt i dag for å bestill en demo.