ISO 27002:2022, Control 8.26 – Sovelluksen suojausvaatimukset

Määräysvallan omistus 8.26

Tietoturvajohtajan tulee tietoturva-asiantuntijoiden tuella vastata sovellusten hankintaa, käyttöä ja kehittämistä koskevien tietovaatimusten tunnistamisesta, hyväksymisestä ja toteuttamisesta.

Yleiset noudattamisohjeet

Yleisissä ohjeissa todetaan, että organisaatioiden tulee suorittaa a riskinarviointi tietoturvavaatimusten tyypin määrittämiseksi sopiva tiettyyn sovellukseen.

Vaikka sisältö ja tyypit tietoturvavaatimukset voivat vaihdella sovelluksen luonteen mukaan, vaatimusten tulee sisältää seuraavat asiat:

• Tiettyjen entiteettien identiteetille määritetty luottamusaste Ohjauksen 5.17, 8.2 ja 8.5 mukaisesti.
• Luokituksen tason tunnistaminen kohdistettu tietovaroihin sovellukseen tallennettavaksi tai sen käsittelemäksi.
• Onko tarvetta erottaa pääsy sovellukseen tallennettuihin toimintoihin ja tietoihin.
• Onko sovellus kestävä kyberhyökkäyksiä, kuten SQL-injektioita, tai tahattomia sieppauksia, kuten puskurin ylivuotoa, vastaan.
• Sovelluksen käsittelemiin, luomiin, tallentamiin tai täydentämiin tapahtumiin sovellettavat lailliset, säännökset ja lakisääteiset vaatimukset ja standardit.
• Yksityisyysnäkökohdat kaikille osapuolille.
• Vaatimukset luottamuksellisten tietojen suojaaminen.
• Tietojen suojaaminen käytössä, kuljetuksen aikana tai levossa.
• Olipa viestinnän suojattu salaus kaikkien asianomaisten osapuolten välillä.
• Syöttöohjaimien käyttöönotto, kuten syötteen validointi tai eheystarkistukset.
• Automaattisten säätöjen suorittaminen.
• Suorittaa tulosten hallintaa ottaen huomioon, kuka voi tarkastella lähtöjä ja käyttöoikeuden.
• Tarve asettaa rajoituksia "vapaan tekstin" kenttien sisällölle luottamuksellisten tietojen hallitsemattoman leviämisen suojelemiseksi.
• Liiketoiminnan tarpeista johtuvat vaatimukset, kuten tapahtumien kirjaaminen ja kiistämättömyysvaatimukset.
• Muiden turvatoimien, kuten tietovuotojen havaitsemisjärjestelmien, asettamat vaatimukset.
• Kuinka käsitellä virheilmoituksia.

Täydentävä opas transaktiopalveluista

Ohjaus 8.26 edellyttää, että organisaatiot ottavat huomioon seuraavat seitsemän suositusta, kun sovellus tarjoaa tapahtumapalveluita organisaation ja kumppanin välillä:

• Liiketoimen kummankin osapuolen luottamus toisen osapuolen henkilöllisyyteen edellyttää.
• Välitettyjen tai käsiteltyjen tietojen eheyteen vaadittava luottamus ja asianmukaisen mekanismin tunnistaminen eheyden puutteen havaitsemiseksi, mukaan lukien työkalut, kuten hajautus ja digitaaliset allekirjoitukset.
• Valtuutusprosessin luominen sille, kuka saa hyväksyä olennaisten tapahtumaasiakirjojen sisällön, allekirjoittaa tai allekirjoittaa ne.
• Kriittisten asiakirjojen luottamuksellisuuden ja eheyden säilyttäminen ja tällaisten asiakirjojen lähettämisen ja vastaanottamisen todistaminen.
• Kaikkien tapahtumien, kuten tilausten ja kuittien, eheyden ja luottamuksellisuuden suojaaminen ja ylläpitäminen.
• Vaatimukset, minkä ajanjakson liiketoimet on pidettävä luottamuksellisina.
• Sopimusvaatimukset ja vakuutuksiin liittyvät vaatimukset.

Täydentävä opas sähköisistä tilaus- ja maksusovelluksista

Kun sovelluksissa on maksu- ja sähköinen tilaustoiminto, organisaatioiden tulee ottaa huomioon seuraavat asiat:

• Vaatimukset varmistavat, että tilaustietojen luottamuksellisuus ja eheys eivät vaarannu.
• Sopivan varmennusasteen määrittäminen asiakkaan toimittamien maksutietojen tarkistamiseksi.
• Tapahtumatietojen katoamisen tai päällekkäisyyden estäminen.
• Varmistetaan, että tietoihin liittyvät tiedot säilytetään julkisesti saatavilla olevan ympäristön ulkopuolella, kuten organisaation omassa intranetissä olevalle tallennusvälineelle.
• Kun organisaatiot luottavat luotettavaan ulkoiseen viranomaiseen, kuten digitaalisten allekirjoitusten antamiseen, niiden on varmistettava, että tietoturva on integroitu koko prosessiin.

Verkkoja koskevat lisäohjeet

Kun sovelluksia käytetään verkkojen kautta, ne ovat alttiina uhille, kuten sopimuskiistat, vilpilliset toimet, väärät reititys, luvattomat muutokset viestinnän sisältöön tai arkaluonteisten tietojen luottamuksellisuuden menetys.

Control 8.26 suosittelee organisaatioille kokonaisvaltaista toimintaa riskiarvioinnit asianmukaisten valvontamenetelmien tunnistamiseksi kuten salauksen käyttö tiedonsiirron turvallisuuden varmistamiseksi.

Muutokset ja erot ISO 27002:2013:sta

27002:2022/8.26 korvaa 27002:2013/(14.1.2 ja 14.1.3)

Näiden kahden version välillä on kolme suurta eroa.

Kaikki sovellukset vs. julkisten verkkojen kautta kulkevat sovellukset

ISO 27002:2013 -versiossa ei lueteltu kaikkia sovelluksia koskevia vaatimuksia: Se sisälsi luettelon tietoturvavaatimuksista, jotka tulisi ottaa huomioon julkisten verkkojen kautta kulkeville sovelluksille.

Control 8.26 vuoden 2022 versiossapäinvastoin tarjosi luettelon tietoturvavaatimuksista, joita sovelletaan kaikkiin sovelluksiin.

Lisäohjeita sähköisistä tilaus- ja maksusovelluksista

Control 8.26 2022-versiossa sisältää erityisiä ohjeita Sähköiset tilaus- ja maksusovellukset. Sitä vastoin vuoden 2013 versio ei käsitellyt tätä.

Transaktiopalveluita koskevat lisävaatimukset

Vuoden 2022 versio ja 2013 versio ovat lähes identtisiä tapahtumapalveluiden vaatimusten osalta, mutta vuoden 2022 versio sisältää lisävaatimuksen, jota ei käsitellä vuoden 2013 versiossa:

• Organisaatioiden tulee ottaa huomioon sopimusvaatimukset ja vakuutuksiin liittyvät vaatimukset.

Miten ISMS.online auttaa

ISMS.online on pilvipohjainen ratkaisu, joka auttaa yrityksiä osoittamaan noudattavansa ISO 27002 -standardia. ISMS.online-ratkaisulla voidaan hallita mm. ISO 27002 ja varmista, että organisaatiosi on uuden standardin mukainen.

Meidän alustamme on käyttäjäystävällinen ja suoraviivainen. Se ei ole vain erittäin teknisille henkilöille; se on kaikille yrityksessäsi.

Ota yhteyttä jo tänään varaa esittely.