ISO 27002 Control 8.26: Sovelluksen suojausvaatimukset ymmärtäminen
Sovellusohjelmistot, kuten verkkosovellukset , grafiikkaohjelmistot, tietokantaohjelmistot ja maksujen käsittelyohjelmistot, ovat elintärkeitä monille kriittisille liiketoiminnoille.
Nämä sovellukset ovat kuitenkin usein alttiita tietoturva-aukkoille, jotka voivat johtaa arkaluonteisten tietojen vaarantumiseen.
Esimerkiksi yhdysvaltalainen luottotietotoimisto Equifax ei asentanut tietoturvakorjausta asiakasvalitusten käsittelyyn käytetyn verkkosivuston sovelluskehykseen. Kyberhyökkääjät käyttivät verkkosovelluksen tietoturvahaavoittuvuuksia tunkeutuakseen Equifaxin yritysverkkoihin ja varastaakseen noin 145 miljoonan ihmisen arkaluonteisia tietoja.
Kontrolli 8.26 käsittelee sitä, miten organisaatiot voivat laatia ja soveltaa tietoturvavaatimuksia sovellusten kehittämistä, käyttöä ja hankintaa varten.
Valvonnan tarkoitus 8.26
Control 8.26 antaa organisaatioille mahdollisuuden suojata sovelluksiin tallennettuja tai niiden kautta käsiteltyjä tietovaroja tunnistamalla ja soveltamalla asianmukaisia tietoturvavaatimuksia.
Attribuuttien ohjaustaulukko 8.26
Control 8.26 on ennaltaehkäisevä hallinta, joka ehkäisee sovellukseen tallennettujen tietovarojen eheyteen, saatavuuteen ja luottamuksellisuuteen kohdistuvia riskejä käyttämällä sopivia tietoturvatoimenpiteitä.
| Ohjaus | Tietoturvaominaisuudet | Kyberturvallisuuden käsitteet | Toiminnalliset valmiudet | Turvallisuus Domains |
|---|---|---|---|---|
| #Ennaltaehkäisevä | #Luottamuksellisuus | #Suojella | #Sovellusturvallisuus | #Suojaus |
| #Integrity | #Järjestelmä- ja verkkoturvallisuus | #Puolustus | ||
| #Saatavuus |
ISO 27001 helposti
81 %:n etumatka ensimmäisestä päivästä lähtien
Olemme tehneet kovan työn puolestasi ja antavat sinulle 81 % etumatkan kirjautuessasi sisään. Sinun tarvitsee vain täyttää tyhjät kohdat.
Määräysvallan omistus 8.26
Tietoturvajohtajan tulee tietoturva-asiantuntijoiden tuella vastata sovellusten hankintaa, käyttöä ja kehittämistä koskevien tietovaatimusten tunnistamisesta, hyväksymisestä ja toteuttamisesta.
Yleiset noudattamisohjeet
Yleisohjeissa todetaan, että organisaatioiden tulisi suorittaa riskinarviointi määrittääkseen tiettyyn sovellukseen soveltuvat tietoturvavaatimukset .
Vaikka tietoturvavaatimusten sisältö ja tyypit voivat vaihdella sovelluksen luonteen mukaan, vaatimusten tulisi käsitellä seuraavia asioita:
- Tiettyjen entiteettien identiteetille määritetty luottamusaste Ohjauksen 5.17, 8.2 ja 8.5 mukaisesti.
- Luokituksen tason tunnistaminen kohdistettu tietovaroihin sovellukseen tallennettavaksi tai sen käsittelemäksi.
- Onko tarvetta erottaa pääsy sovellukseen tallennettuihin toimintoihin ja tietoihin.
- Onko sovellus kestävä kyberhyökkäyksiä, kuten SQL-injektioita, tai tahattomia sieppauksia, kuten puskurin ylivuotoa, vastaan.
- Sovelluksen käsittelemiin, luomiin, tallentamiin tai täydentämiin tapahtumiin sovellettavat lailliset, säännökset ja lakisääteiset vaatimukset ja standardit.
- Yksityisyysnäkökohdat kaikille osapuolille.
- Vaatimukset luottamuksellisten tietojen suojaaminen.
- Tietojen suojaaminen käytössä, kuljetuksen aikana tai levossa.
- Olipa viestinnän suojattu salaus kaikkien asianomaisten osapuolten välillä.
- Syöttöohjaimien käyttöönotto, kuten syötteen validointi tai eheystarkistukset.
- Automaattisten säätöjen suorittaminen.
- Suorittaa tulosten hallintaa ottaen huomioon, kuka voi tarkastella lähtöjä ja käyttöoikeuden.
- Tarve asettaa rajoituksia "vapaan tekstin" kenttien sisällölle luottamuksellisten tietojen hallitsemattoman leviämisen suojelemiseksi.
- Liiketoiminnan tarpeista johtuvat vaatimukset, kuten tapahtumien kirjaaminen ja kiistämättömyysvaatimukset.
- Muiden turvatoimien, kuten tietovuotojen havaitsemisjärjestelmien, asettamat vaatimukset.
- Kuinka käsitellä virheilmoituksia.
Vapauta itsesi laskentataulukoiden vuorten vallasta
Ota käyttöön, laajenna ja skaalaa vaatimustenmukaisuus ilman sotkua. Io antaa sinulle joustavuutta ja luottamusta kasvaa turvallisesti.
Täydentävä opas transaktiopalveluista
Ohjaus 8.26 edellyttää, että organisaatiot ottavat huomioon seuraavat seitsemän suositusta, kun sovellus tarjoaa tapahtumapalveluita organisaation ja kumppanin välillä:
- Liiketoimen kummankin osapuolen luottamus toisen osapuolen henkilöllisyyteen edellyttää.
- Välitettyjen tai käsiteltyjen tietojen eheyteen vaadittava luottamus ja asianmukaisen mekanismin tunnistaminen eheyden puutteen havaitsemiseksi, mukaan lukien työkalut, kuten hajautus ja digitaaliset allekirjoitukset.
- Valtuutusprosessin luominen sille, kuka saa hyväksyä olennaisten tapahtumaasiakirjojen sisällön, allekirjoittaa tai allekirjoittaa ne.
- Kriittisten asiakirjojen luottamuksellisuuden ja eheyden säilyttäminen ja tällaisten asiakirjojen lähettämisen ja vastaanottamisen todistaminen.
- Kaikkien tapahtumien, kuten tilausten ja kuittien, eheyden ja luottamuksellisuuden suojaaminen ja ylläpitäminen.
- Vaatimukset, minkä ajanjakson liiketoimet on pidettävä luottamuksellisina.
- Sopimusvaatimukset ja vakuutuksiin liittyvät vaatimukset.
Täydentävä opas sähköisistä tilaus- ja maksusovelluksista
Kun sovelluksissa on maksu- ja sähköinen tilaustoiminto, organisaatioiden tulee ottaa huomioon seuraavat asiat:
- Vaatimukset varmistavat, että tilaustietojen luottamuksellisuus ja eheys eivät vaarannu.
- Sopivan varmennusasteen määrittäminen asiakkaan toimittamien maksutietojen tarkistamiseksi.
- Tapahtumatietojen katoamisen tai päällekkäisyyden estäminen.
- Varmistetaan, että tietoihin liittyvät tiedot säilytetään julkisesti saatavilla olevan ympäristön ulkopuolella, kuten organisaation omassa intranetissä olevalle tallennusvälineelle.
- Kun organisaatiot luottavat luotettavaan ulkoiseen viranomaiseen, kuten digitaalisten allekirjoitusten antamiseen, niiden on varmistettava, että tietoturva on integroitu koko prosessiin.
Verkkoja koskevat lisäohjeet
Kun sovelluksia käytetään verkkojen kautta, ne ovat alttiina uhille, kuten sopimuskiistat, vilpilliset toimet, väärät reititys, luvattomat muutokset viestinnän sisältöön tai arkaluonteisten tietojen luottamuksellisuuden menetys.
Control 8.26 suosittelee, että organisaatiot suorittavat kattavia riskinarviointeja tunnistaakseen asianmukaiset kontrollit, kuten kryptografian käytön, tiedonsiirtojen turvallisuuden varmistamiseksi.
Hallitse kaikkea vaatimustenmukaisuuttasi yhdessä paikassa
ISMS.online tukee yli 100 standardia ja sääntöä, mikä tarjoaa sinulle yhden alustan kaikkiin vaatimustenmukaisuustarpeisiisi.
Muutokset ja erot ISO 27002:2013:sta
27002:2022/8.26 korvaa 27002:2013/(14.1.2 ja 14.1.3)
Näiden kahden version välillä on kolme suurta eroa.
Kaikki sovellukset vs. julkisten verkkojen kautta kulkevat sovellukset
ISO 27002:2013 -versiossa ei lueteltu kaikkia sovelluksia koskevia vaatimuksia: Se sisälsi luettelon tietoturvavaatimuksista, jotka tulisi ottaa huomioon julkisten verkkojen kautta kulkeville sovelluksille.
Vuoden 2022 version Control 8.26 puolestaan tarjosi luettelon tietoturvavaatimuksista, jotka koskevat kaikkia sovelluksia.
Lisäohjeita sähköisistä tilaus- ja maksusovelluksista
Vuoden 2022 version kontrolli 8.26 sisältää erityisohjeita sähköisistä tilaus- ja maksusovelluksista . Vuoden 2013 versiossa tätä ei sitä vastoin käsitelty.
Transaktiopalveluita koskevat lisävaatimukset
Vuoden 2022 versio ja 2013 versio ovat lähes identtisiä tapahtumapalveluiden vaatimusten osalta, mutta vuoden 2022 versio sisältää lisävaatimuksen, jota ei käsitellä vuoden 2013 versiossa:
- Organisaatioiden tulee ottaa huomioon sopimusvaatimukset ja vakuutuksiin liittyvät vaatimukset.
Uudet ISO 27002 -säätimet
| ISO/IEC 27002:2022 Control Identifier | ISO/IEC 27002:2013 Control Identifier | Ohjausnimi |
|---|---|---|
| 5.7 | UUSI | Uhan älykkyys |
| 5.23 | UUSI | Tietoturva pilvipalvelujen käyttöön |
| 5.30 | UUSI | ICT-valmius liiketoiminnan jatkuvuuteen |
| 7.4 | UUSI | Fyysisen turvallisuuden valvonta |
| 8.9 | UUSI | Kokoonpanonhallinta |
| 8.10 | UUSI | Tietojen poistaminen |
| 8.11 | UUSI | Tietojen peittäminen |
| 8.12 | UUSI | Tietovuotojen esto |
| 8.16 | UUSI | Toimien seuranta |
| 8.23 | UUSI | Web-suodatus |
| 8.28 | UUSI | Turvallinen koodaus |
| ISO/IEC 27002:2022 Control Identifier | ISO/IEC 27002:2013 Control Identifier | Ohjausnimi |
|---|---|---|
| 6.1 | 07.1.1 | Seulonta |
| 6.2 | 07.1.2 | Työsuhteen ehdot |
| 6.3 | 07.2.2 | Tietoturvatietoisuus, koulutus ja koulutus |
| 6.4 | 07.2.3 | Kurinpitoprosessi |
| 6.5 | 07.3.1 | Vastuut työsuhteen päättymisen tai muutoksen jälkeen |
| 6.6 | 13.2.4 | Luottamuksellisuus- tai salassapitosopimukset |
| 6.7 | 06.2.2 | Etätyö |
| 6.8 | 16.1.2, 16.1.3 | Tietoturvatapahtumaraportointi |
| ISO/IEC 27002:2022 Control Identifier | ISO/IEC 27002:2013 Control Identifier | Ohjausnimi |
|---|---|---|
| 7.1 | 11.1.1 | Fyysisen turvallisuuden rajat |
| 7.2 | 11.1.2, 11.1.6 | Fyysinen sisääntulo |
| 7.3 | 11.1.3 | Toimistojen, huoneiden ja tilojen turvaaminen |
| 7.4 | UUSI | Fyysisen turvallisuuden valvonta |
| 7.5 | 11.1.4 | Suojautuminen fyysisiltä ja ympäristöuhkilta |
| 7.6 | 11.1.5 | Työskentely turvallisilla alueilla |
| 7.7 | 11.2.9 | Selkeä pöytä ja selkeä näyttö |
| 7.8 | 11.2.1 | Laitteiden sijoitus ja suojaus |
| 7.9 | 11.2.6 | Omaisuuden turvallisuus muualla kuin toimitiloissa |
| 7.10 | 08.3.1, 08.3.2, 08.3.3, 11.2.5 | Tallennusvälineet |
| 7.11 | 11.2.2 | Apuohjelmia tukevat |
| 7.12 | 11.2.3 | Kaapeloinnin turvallisuus |
| 7.13 | 11.2.4 | Laitehuolto |
| 7.14 | 11.2.7 | Laitteiden turvallinen hävittäminen tai uudelleenkäyttö |
Miten ISMS.online auttaa
ISMS.online on pilvipohjainen ratkaisu, joka auttaa yrityksiä osoittamaan ISO 27002 -standardin noudattamisen. ISMS.online-ratkaisua voidaan käyttää ISO 27002 -standardin vaatimusten hallintaan ja sen varmistamiseen, että organisaatiosi pysyy uuden standardin mukaisena.
Alustamme on käyttäjäystävällinen ja suoraviivainen. Se ei ole tarkoitettu vain erittäin teknisesti taitaville henkilöille, vaan kaikille yrityksesi jäsenille.
Ota yhteyttä jo tänään varataksesi demon.
