ISO 27001:2022 Liite A Valvonta 8.31

Yleiset ohjeet standardista ISO 27001:2022 Liite A 8.31 Vaatimustenmukaisuus

Organisaatioiden tulee ottaa huomioon tuotantokysymykset, joita tulisi välttää päättäessään tarvittavasta erotteluasteesta kolmen ympäristön välillä.

Liite A 8.31 ehdottaa, että organisaatiot pitävät mielessä seitsemän kriteeriä:

1. Kehitys- ja tuotantojärjestelmien eriyttämistä tyydyttävälle tasolle suositellaan. Esimerkiksi erilaisten virtuaalisten ja fyysisten ympäristöjen hyödyntäminen tuotannossa voisi olla a toimiva ratkaisu.
2. Ohjelmistojen käyttöä tuotantoympäristössä koskevat säännöt ja valtuutusmenettelyt tulee laatia, dokumentoida ja toteuttaa sen jälkeen, kun ohjelmisto on läpäissyt kehitysympäristön.
3. Organisaatioiden tulee arvioida ja kokeilla sovelluksiin ja tuotantojärjestelmiin tehtyjä muutoksia eristetyssä testiympäristössä tuotantoympäristön ulkopuolelle, ennen kuin ne ottavat ne käyttöön tuotantoympäristössä.
4. Tuotantoympäristöissä ei saa tehdä testausta, ellei sitä ole tarkasti määritelty ja valtuutettu etukäteen.
5. Kehitysresursseja, kuten kääntäjiä ja editoreja, ei pitäisi olla saatavilla tuotantoympäristöissä, ellei se ole ehdottoman välttämätöntä.
6. Virheiden vähentämiseksi oikeat ympäristömerkinnät tulisi olla näkyvästi esillä valikoissa.
7. Mitään arkaluontoista tietovarallisuutta ei saa siirtää kehitys- tai testausjärjestelmiin, ellei vastaavia suojatoimenpiteitä ole käytössä.

Ohjeet kehitys- ja testausympäristöjen suojaamiseen

Organisaatioiden tulee suojella kehitys- ja testausympäristöjä mahdollisilta turvallisuusuhkilta ottaen huomioon seuraavat seikat:

• Varmista, että kaikki kehitys-, integrointi- ja testaustyökalut, kuten rakentajat, integraattorit ja kirjastot, päivitetään säännöllisesti ja pidetään ajan tasalla.
• Varmista, että kaikki järjestelmät ja ohjelmistot on asennettu turvallisesti.
• Ympäristöihin pääsyä varten on oltava asianmukaiset hallintalaitteet.
• Muutoksia ympäristöihin ja niiden koodeihin tulee seurata ja tarkastella.
• Ympäristöjen turvallista seurantaa ja tarkastelua on suoritettava.
• Ympäristöt tulee turvata varmuuskopioilla.

Kenellekään yksittäiselle henkilölle ei pitäisi antaa oikeutta tehdä muutoksia sekä kehitys- että tuotantoympäristöihin ilman lupaa etukäteen. Tämän välttämiseksi organisaatiot voivat erottaa käyttöoikeudet tai ottaa käyttöön ja suorittaa pääsynvalvontaa.

Organisaatiot voivat harkita muita teknisiä valvontatoimia, kuten kaikkien pääsytoimintojen kirjaamista ja näiden ympäristöjen pääsyn valvontaa reaaliajassa.

Liitettä A koskevat lisäohjeet 8.31

Jos organisaatiot eivät ryhdy tarvittaviin toimenpiteisiin, niiden tietojärjestelmät voivat altistua merkittäville turvallisuusuhkille.

Kehittäjät ja testaajat, joilla on pääsy tuotantoympäristöön, voivat tehdä tahattomia muutoksia tiedostoihin tai järjestelmäasetuksiin, suorittaa luvatonta koodia tai vahingossa paljastaa arkaluonteisia tietoja.

Organisaatiot tarvitsevat vakaat asetukset suorittaakseen koodinsa perusteellisen testauksen, mikä estää kehittäjiä pääsemästä tuotantoympäristöihin, jotka tallentavat ja käsittelevät arkaluonteista todellista dataa.

Organisaatioiden tulee jakaa erityisiä rooleja ja valvoa tehtävien eriyttämistä.

Kehitys- ja testaustiimit voivat vaarantaa luottamukselliset tuotantotiedot, jos he käyttävät samoja laskentalaitteita. Arkaluonteisiin tietoihin tai ohjelmistoihin voidaan tehdä tahattomia muutoksia.

Organisaatioita kehotetaan perustamaan apuprosesseja tuotantotietojen käyttämiseksi testaus- ja kehitysjärjestelmissä ISO 27001:2022 liitteen A 8.33 mukaisesti.

Organisaatioiden tulee ottaa huomioon tässä liitteessä A Valvonnassa käsitellyt toimenpiteet suorittaessaan loppukäyttäjien koulutusta koulutusympäristöissä.

Lopuksi organisaatiot voivat hämärtää rajoja kehitys-, testaus- ja tuotantoasetusten välillä. Testaus voidaan tehdä esimerkiksi kehitysympäristössä tai henkilökunta voi testata tuotetta käyttämällä sitä.

Muutokset ja erot standardista ISO 27001:2013

ISO 27001:2022 Liite A 8.31 korvaa standardin ISO 27001:2013 Liite A 12.1.4 ja ISO 27001:2013 Liite A 14.2.6. Tämä tarkistus tekee tarvittavat muutokset, jotta standardi saadaan vastaamaan uusimpia käytäntöjä.

Näillä kahdella versiolla on paljon yhteistä, mutta kaksi eroa ovat huomionarvoisia.

ISO 27001:2013 Liite A 14.2.6 Yksityiskohtaisemmat ohjeet turvallisista kehitysympäristöistä

ISO 27001:2013 Liite A 14.2.6 käsittelee turvallisia kehitysympäristöjä ja hahmottelee 10 suositusta organisaatioille, jotka on otettava huomioon kehitysympäristöä rakentaessaan.

Vertailun vuoksi, ISO 27001:2022 liite A 8.33 ei sisällä tiettyjä ehdotuksia, kuten varmuuskopion hankkiminen kaukaisessa paikassa ja tiedonsiirron rajoitukset.

ISO 27001:2022 liite A 8.31 käsittelee tuotetestausta ja tuotantotietojen käyttöä

Verrattuna standardiin ISO 27001:2013, ISO 27001:2022 Liite A 8.31 tarjoaa ohjeita tuotetestaukseen ja tuotantotietojen hyödyntämiseen ISO 27001:2022 liitteen A 8.33 mukaisesti.

Taulukko kaikista ISO 27001:2022 liitteen A ohjaimista

Alla olevasta taulukosta löydät lisätietoja jokaisesta yksittäisestä ISO 27001:2022 -standardista Liite A Ohjaus.

Miten ISMS.online Ohje

ISMS.Online tarjoaa tuen koko sovellukselle ISO 27001 toteutus, riskinarvioinnista käytäntöjen, menettelyjen ja ohjeiden luomiseen standardin noudattamiseksi.

ISMS.Online tarjoaa kätevän tavan tallentaa löytöjä ja jakaa ne kollegoiden kanssa verkossa. Sen avulla voit lisäksi laatia ja tallentaa tarkistuslistoja jokaista ISO 27001 -tehtävää varten, jolloin voit valvoa organisaatiosi suojausohjelmaa vaivattomasti.

Tarjoamme organisaatioille myös automaattisen työkalusarjan, joka helpottaa ISO 27001 -standardin noudattamista. Sen käyttäjäystävällinen muotoilu tekee vaatimustenmukaisuuden todistamisesta helppoa.

Ota meihin yhteyttä nyt niin järjestää mielenosoitus.