ISO 27001:2022 Liite A Valvonta 8.26

Yleiset ohjeet standardista ISO 27001:2022 Liite A 8.26 Vaatimustenmukaisuus

Organisaatioiden tulisi suorittaa riskinarviointi tiettyä sovellusta varten tarvittavien tietoturvavaatimusten määrittämiseksi.

Tietoturvavaatimusten sisältö ja tyypit voivat vaihdella sovelluksesta riippuen, mutta niiden tulee kattaa:

• Perustuu ISO 27001:2022 liitteen A kohtiin 5.17, 8.2 ja 8.5, tietyn entiteetin identiteetille määritetty luottamustaso.
• Ohjelmiston tallennettavien tai käsittelemien tietovarojen luokitus on tunnistettava.
• Onko tarvetta erottaa pääsy sovellukseen tallennettuihin ominaisuuksiin ja tietoihin?
• Arvioi, kestääkö sovellus kybertunkeutumisia, kuten SQL-injektioita, tai tahattomia sieppauksia, kuten puskurin ylivuodon, vastaan.
• Lakisääteiset ja lakisääteiset vaatimukset ja standardit on täytettävä, kun käsitellään sovelluksen käsittelemiä, luomia, tallentamia tai viimeistelemiä tapahtumia.
• Yksityisyys on äärimmäisen tärkeää kaikille osapuolille.
• Luottamuksellisten tietojen turvaaminen on tärkeää.
• Tietoturvan varmistaminen, kun niitä käytetään, siirretään tai tallennetaan, on ensiarvoisen tärkeää.
• On tärkeää, että kaikki asiaankuuluvat osapuolet ovat viestinnän suojattua salausta jos välttämätöntä.
• Syöttöohjaimien käyttöönotto, kuten syötteen validointi ja eheystarkistukset, takaa tarkkuuden.
• Automaattisten säätöjen suorittaminen.
• Varmistetaan, että käyttöoikeudet sekä se, kuka voi tarkastella lähtöjä, otetaan huomioon lähdön ohjauksessa.
• On olennaisen tärkeää asettaa rajoituksia "vapaateksti"-kenttiin sisällytettävälle luottamuksellisen tiedon tahattoman levittämisen estämiseksi.
• Sääntelyvaatimukset, kuten ne, jotka koskevat tapahtumien kirjaamista ja kiistämättömyyttä.
• Muut turvatarkastukset voivat edellyttää erityisvaatimusten noudattamista; esimerkiksi tietovuotojen havaitsemisjärjestelmät.
• Miten organisaatiosi käsittelee virheilmoituksia.

Ohjeita transaktiopalveluihin

ISO 27001:2022 Liite A 8.26 edellyttää, että organisaatiot ottavat huomioon seuraavat seitsemän suositusta tarjotessaan transaktiopalveluja itsensä ja kumppanin välillä:

• Se uskon aste, joka kummallakin osapuolella on oltava toisen identiteettiin, on olennaista kaikissa liiketoimissa.
• Lähetettyjen tai käsiteltyjen tietojen luotettavuus on varmistettava, ja on tunnistettava sopiva järjestelmä mahdollisten eheyspuutteiden tunnistamiseksi, mukaan lukien hajautus ja digitaaliset allekirjoitukset.
• Yrityksen on perustettava järjestelmä sen määrittämiseksi, kuka on valtuutettu hyväksymään, allekirjoittamaan ja allekirjoittamaan kriittiset tapahtumaasiakirjat.
• Keskeisten asiakirjojen salassapidon ja oikeellisuuden varmistaminen sekä mainittujen asiakirjojen lähettämisen ja vastaanoton varmistaminen.
• Liiketoimien luottamuksellisuuden ja tarkkuuden säilyttämiseksi kyseessä voivat olla tilaukset ja laskut.
• Vaatimukset siitä, kuinka tapahtumien on pysyttävä luottamuksellisina tietyn ajan.
• Sopimusvelvoitteet ja vakuutusvaatimukset on täytettävä.

Sähköisiä tilaus- ja maksusovelluksia koskevat ohjeet

Organisaatioiden tulee ottaa huomioon seuraavat seikat sisällyttäessään maksu- ja sähköisiä tilausominaisuuksia sovelluksiin:

• Tilaustietojen luottamuksellisuuden ja eheyden varmistaminen on välttämätöntä.
• Asiakkaan antamien maksutietojen vahvistamiseen sopivan vahvistustason määrittäminen.
• Tapahtumatietojen väärän sijoittamisen tai kopioimisen välttäminen.
• Huolehdi siitä, että tietoja koskevat tiedot säilytetään poissa julkisesti saatavilla olevilta alueilta, esim. organisaation intranetissä sijaitsevalta tallennusvälineeltä.
• Aina kun organisaatio luottaa ulkoiseen viranomaiseen digitaalisten allekirjoitusten antamisessa, sen on varmistettava, että tietoturva on integroitu koko prosessiin.

Ohjeita verkkoihin

Kun sovelluksiin päästään verkkojen kautta, ne voivat joutua sopimusriitojen, vilpillisen toiminnan, harhaanjohtamisen, viestinnän sisällön hyväksymättömien muutosten tai arkaluonteisten tietojen luottamuksellisuuden rikkomiseen.

ISO 27001:2022 Liite A 8.26 neuvoo organisaatioita suorittamaan perusteellisia riskinarviointeja tunnistaakseen sopivat hallintakeinot, kuten salaus, tiedonsiirron turvallisuuden suojaamiseksi.

Muutokset ja erot ISO 27001:2013:sta

ISO 27001:2022 Liite A 8.26 korvaa ISO 27001:2013 liitteen A 14.1.2 ja 14.1.3 tarkistetussa 2022 standardissa.

Näiden kahden version välillä on kolme suurta eroa.

Kaikki sovellukset vs. julkisten verkkojen kautta kulkevat sovellukset

ISO 27001:2013 sisältää luettelon tietoturvavaatimuksista, jotka on otettava huomioon sovelluksissa, jotka lähetetään julkisten verkkojen kautta.

Sen sijaan ISO 27001:2022 liite A 8.26 sisältää luettelon tietoturvavaatimuksista, jotka koskevat kaikkia sovelluksia.

Lisäohjeita sähköisistä tilaus- ja maksusovelluksista

ISO 27001:2022 liite A 8.26 sisältää erityisiä ohjeita sähköisistä tilaus- ja maksusovelluksista, joita ei käsitelty vuoden 2013 versiossa.

Transaktiopalveluita koskevat vaatimukset

Kun vuoden 2022 painos ja 2013 painos ovat lähes samat asiointipalvelujen edellytysten osalta, vuoden 2022 painos tuo lisäkysynnän, jota ei huomioida 2013 painoksessa:

• Organisaatioiden tulee pitää mielessä sopimusvelvoitteet ja vakuutusehdot.

Taulukko kaikista ISO 27001:2022 liitteen A ohjaimista

Alla olevasta taulukosta löydät lisätietoja jokaisesta henkilöstä ISO 27001:2022 liite A Ohjaus.

Miten ISMS.online Ohje

ISMS.online on pilvipohjainen järjestelmä joka auttaa organisaatioita osoittamaan yhdenmukaisuutta ISO 27001:2022 -standardin kanssa. Tämän järjestelmän avulla voidaan valvoa ISO 27001 -standardin vaatimuksia ja varmistaa, että organisaatiosi pysyy standardin mukaisena.

Meidän alusta on käyttäjäystävällinen ja kaikkien saatavilla. Se ei vaadi monimutkaista teknistä tietämystä; kuka tahansa yrityksesi työntekijä voi käyttää sitä.

Ota meihin yhteyttä nyt järjestää esittelyn.