Mikä on ISO 27002 Control 8.25 ja miksi sillä on merkitystä?
Yritykset tekivät 90-luvulla tietoturvatestejä ohjelmistotuotteille ja -järjestelmille vain testausvaiheessa, ohjelmistokehityksen elinkaaren loppuvaiheessa.
Tämän seurauksena he eivät useinkaan onnistuneet havaitsemaan ja poistamaan kriittisiä haavoittuvuuksia, bugeja ja puutteita.
Tietoturvahaavoittuvuuksien tunnistamiseksi ja korjaamiseksi varhaisessa vaiheessa organisaatioiden tulee sisällyttää tietoturvanäkökohdat kaikkiin kehitysvaiheiden elinkaaren vaiheisiin suunnittelusta käyttöönottovaiheeseen.
Control 8.25 käsittelee sitä, kuinka organisaatiot voivat laatia ja toteuttaa sääntöjä turvallisten ohjelmistotuotteiden ja -järjestelmien rakentamiseksi.
Valvonnan tarkoitus 8.25
Control 8.25:n avulla organisaatiot voivat suunnitella tietoturvastandardeja ja soveltaa näitä standardeja ohjelmistotuotteiden ja järjestelmien koko turvallisen kehityksen elinkaaren ajan.
Attribuuttien ohjaustaulukko 8.25
Ohjaus 8.25 on luonteeltaan ennaltaehkäisevä, koska se vaatii organisaatioita suunnittelemaan ja toteuttamaan ennakoivasti säännöt ja kontrollit, jotka hallitsevat jokaisen uuden ohjelmistotuotteen ja järjestelmän koko kehityselinkaari.
| Ohjaus | Tietoturvaominaisuudet | Kyberturvallisuuden käsitteet | Toiminnalliset valmiudet | Turvallisuus Domains |
|---|---|---|---|---|
| #Ennaltaehkäisevä | #Luottamuksellisuus | #Suojella | #Sovellusturvallisuus | #Suojaus |
| #Integrity | #Järjestelmä- ja verkkoturvallisuus | |||
| #Saatavuus |
ISO 27001 helposti
81 %:n etumatka ensimmäisestä päivästä lähtien
Olemme tehneet kovan työn puolestasi ja antavat sinulle 81 % etumatkan kirjautuessasi sisään. Sinun tarvitsee vain täyttää tyhjät kohdat.
Määräysvallan omistus 8.25
Tietoturvajohtajan tulee olla vastuussa sääntöjen ja toimenpiteiden luomisesta, toimeenpanosta ja ylläpidosta kehityksen elinkaaren turvallisuuden varmistamiseksi.
Yleiset noudattamisohjeet
Ohjaus 8.25 sisältää 10 vaatimusta, jotka organisaatioiden tulee noudattaa rakentaessaan suojattuja ohjelmistotuotteita, järjestelmiä ja arkkitehtuuria:
- Kehitys-, testaus- ja tuotantoympäristöt tulee erottaa Ohjaus 8.31:n mukaisesti.
- Organisaatioiden tulee antaa ohjeita:
- Turvallisuusnäkökohdat ohjelmistokehitysmetodologiassa Control 8.27 ja 8.28 mukaisesti.
- Suojattu koodaus jokaiselle ohjelmointikielelle kohdan 8.28 mukaisesti.
- Organisaatioiden tulee laatia ja panna täytäntöön turvallisuusvaatimukset, jotka koskevat määrittely- ja suunnitteluvaihetta kohdan Valvonta 5.8 mukaisesti.
- Organisaatioiden tulee määritellä projekteille turvatarkistuslistat kohdan Control 5.8 mukaisesti.
- Organisaatioiden tulee suorittaa turva- ja järjestelmätestauksia, kuten tunkeutumistestejä ja koodiskannausta Ohjaus 8.29:n mukaisesti.
- Organisaatioiden tulee luoda turvalliset tietovarastot, joihin tallennetaan lähdekoodit ja konfiguraatiot hallintaohjeiden 8.4 ja 8.9 mukaisesti.
- Organisaatioiden tulee ylläpitää versionhallinnan suojausta kohdassa Control 8.32 määrätyllä tavalla.
- Organisaatioiden tulee varmistaa, että kaikilla kehitystyössä mukana olevilla henkilöillä on riittävät sovellusturvatiedot ja he saavat tarvittavan koulutuksen kohdan Valvonta 8.28 mukaisesti.
- Kehittäjien tulee kyetä tunnistamaan ja estämään tietoturva-aukkoja kohdassa Control 8.28 kuvatulla tavalla.
- Organisaatioiden tulee noudattaa lupavaatimuksia ja arvioida vaihtoehtoisten kustannustehokkaiden menetelmien toteutettavuus, kuten kohdassa Control 8.30 määrätään.
Lisäksi jos organisaatio ulkoistaa tiettyjä kehitystehtäviä ulkopuolisille tahoille, sen on varmistettava, että ulkopuolinen osapuoli noudattaa organisaation sääntöjä ja menettelytapoja ohjelmiston ja järjestelmän turvallisesta kehittämisestä.
Valvontaa koskevat lisäohjeet 8.25
Ohjaus 8.25 huomauttaa, että ohjelmistotuotteita, arkkitehtuureja ja järjestelmiä voidaan kehittää myös sovelluksissa, tietokantoissa tai selaimissa.
Hallitse kaikkea vaatimustenmukaisuuttasi yhdessä paikassa
ISMS.online tukee yli 100 standardia ja sääntöä, mikä tarjoaa sinulle yhden alustan kaikkiin vaatimustenmukaisuustarpeisiisi.
Muutokset ja erot standardista ISO 27002:2013
27002:2022/8.25 replace 27002:2013/(14.2.1)
Kaiken kaikkiaan on kaksi keskeistä eroa.
ISO 27002:2022 -versio asettaa kaksi uutta vaatimusta
Vaikka vuoden 2022 versio on suurelta osin samanlainen kuin vuoden 2013 versio, Control 8.25 asettaa organisaatioille kaksi uutta vaatimusta:
- Organisaatioiden tulee noudattaa lupavaatimuksia ja arvioida vaihtoehtoisten kustannustehokkaiden menetelmien toteutettavuus, kuten kohdassa Control 8.30 määrätään.
- Organisaatioiden tulee suorittaa turva- ja järjestelmätestauksia, kuten tunkeutumistestejä ja koodiskannausta Ohjaus 8.29:n mukaisesti.
ISO 27002:2013 -versio, jossa viitataan nimenomaisesti koodin uudelleenkäyttöön
Vuoden 2013 versiossa todettiin nimenomaisesti, että Control 14.2.1 koskee sekä uutta kehitystä että koodin uudelleenkäyttöä. Sitä vastoin Control 8.25 ei viitannut koodin uudelleenkäyttöskenaarioihin.
Uudet ISO 27002 -säätimet
| ISO/IEC 27002:2022 Control Identifier | ISO/IEC 27002:2013 Control Identifier | Ohjausnimi |
|---|---|---|
| 5.7 | UUSI | Uhan älykkyys |
| 5.23 | UUSI | Tietoturva pilvipalvelujen käyttöön |
| 5.30 | UUSI | ICT-valmius liiketoiminnan jatkuvuuteen |
| 7.4 | UUSI | Fyysisen turvallisuuden valvonta |
| 8.9 | UUSI | Kokoonpanonhallinta |
| 8.10 | UUSI | Tietojen poistaminen |
| 8.11 | UUSI | Tietojen peittäminen |
| 8.12 | UUSI | Tietovuotojen esto |
| 8.16 | UUSI | Toimien seuranta |
| 8.23 | UUSI | Web-suodatus |
| 8.28 | UUSI | Turvallinen koodaus |
| ISO/IEC 27002:2022 Control Identifier | ISO/IEC 27002:2013 Control Identifier | Ohjausnimi |
|---|---|---|
| 6.1 | 07.1.1 | Seulonta |
| 6.2 | 07.1.2 | Työsuhteen ehdot |
| 6.3 | 07.2.2 | Tietoturvatietoisuus, koulutus ja koulutus |
| 6.4 | 07.2.3 | Kurinpitoprosessi |
| 6.5 | 07.3.1 | Vastuut työsuhteen päättymisen tai muutoksen jälkeen |
| 6.6 | 13.2.4 | Luottamuksellisuus- tai salassapitosopimukset |
| 6.7 | 06.2.2 | Etätyö |
| 6.8 | 16.1.2, 16.1.3 | Tietoturvatapahtumaraportointi |
| ISO/IEC 27002:2022 Control Identifier | ISO/IEC 27002:2013 Control Identifier | Ohjausnimi |
|---|---|---|
| 7.1 | 11.1.1 | Fyysisen turvallisuuden rajat |
| 7.2 | 11.1.2, 11.1.6 | Fyysinen sisääntulo |
| 7.3 | 11.1.3 | Toimistojen, huoneiden ja tilojen turvaaminen |
| 7.4 | UUSI | Fyysisen turvallisuuden valvonta |
| 7.5 | 11.1.4 | Suojautuminen fyysisiltä ja ympäristöuhkilta |
| 7.6 | 11.1.5 | Työskentely turvallisilla alueilla |
| 7.7 | 11.2.9 | Selkeä pöytä ja selkeä näyttö |
| 7.8 | 11.2.1 | Laitteiden sijoitus ja suojaus |
| 7.9 | 11.2.6 | Omaisuuden turvallisuus muualla kuin toimitiloissa |
| 7.10 | 08.3.1, 08.3.2, 08.3.3, 11.2.5 | Tallennusvälineet |
| 7.11 | 11.2.2 | Apuohjelmia tukevat |
| 7.12 | 11.2.3 | Kaapeloinnin turvallisuus |
| 7.13 | 11.2.4 | Laitehuolto |
| 7.14 | 11.2.7 | Laitteiden turvallinen hävittäminen tai uudelleenkäyttö |
Miten ISMS.online auttaa
ISO 27002:n käyttöönotto on yksinkertaisempaa vaiheittaisen tarkistusluettelomme avulla, joka opastaa sinut koko prosessin läpi. Täydellinen vaatimustenmukaisuusratkaisusi ISO/IEC 27002:2022:lle.
- Jopa 81 % edistystä sisäänkirjautumisen jälkeen.
- Yksinkertainen ja täydellinen vaatimustenmukaisuusratkaisu.
Ota yhteyttä jo tänään varaa esittely.
