ISO 27002:2022, ohjaus 8.28 – suojattu koodaus

Määräysvallan omistus 8.28

Ottaen huomioon, että 8.28 edellyttää organisaation laajuisten suojattujen koodausperiaatteiden ja -menettelyjen suunnittelua ja käyttöönottoa, tietoturvapäällikön tulisi olla vastuussa tarvittavista toimenpiteistä noudattamisen varmistamiseksi.

Yleiset noudattamisohjeet

Ohjaus 8.28 edellyttää, että organisaatiot luovat ja ottavat käyttöön organisaation laajuiset prosessit turvallista koodausta varten, joka koskee sekä ulkoisilta osapuolilta hankittuja ohjelmistotuotteita että avoimen lähdekoodin ohjelmistokomponentteja.

Lisäksi organisaatioiden tulee pysyä ajan tasalla kehittyvistä todellisista tietoturvauhkista ja uusimmista tiedoista tunnetuista tai mahdollisista ohjelmiston tietoturva-aukoista. Tämä antaa organisaatioille mahdollisuuden parantaa ja ottaa käyttöön vankkoja suojattujen ohjelmistojen koodausperiaatteita, jotka ovat tehokkaita kehittyviä kyberuhkia vastaan.

Suunnittelua koskevat lisäohjeet

Turvallisia ohjelmistokoodauksen periaatteita tulee noudattaa sekä uusissa koodausprojekteissa että ohjelmistojen uudelleenkäyttötoiminnoissa.

Näitä periaatteita tulee noudattaa sekä omassa ohjelmistokehitystoiminnassa että organisaation ohjelmistotuotteiden tai -palveluiden siirtämisessä kolmansille osapuolille.

Tehdessään suunnitelmaa suojatuille koodauksen periaatteille ja määrittäessään suojatun koodauksen edellytyksiä organisaatioiden tulee noudattaa seuraavia:

• Organisaatioiden tulee määrittää tarpeidensa mukaan räätälöidyt tietoturvaodotukset ja luoda hyväksytyt periaatteet turvalliselle ohjelmistokoodaukselle, jotka koskevat sekä omaa ohjelmistokehitystä että ulkoistettuja ohjelmistokomponentteja.
• Organisaatioiden tulee havaita ja dokumentoida yleisimmät ja historialliset huonot koodaussuunnittelukäytännöt ja virheet, jotka johtavat tietoturvan vaarantumiseen.
• Organisaatioiden tulee ottaa käyttöön ja määrittää ohjelmistokehitystyökaluja varmistaakseen kaiken luodun koodin turvallisuuden. Yksi esimerkki tällaisista työkaluista on integroidut kehitysympäristöt (IDE).
• Organisaatioiden tulee noudattaa ohjelmistokehitystyökalujen antamia ohjeita ja ohjeita.
• Organisaatioiden tulee tarkistaa, ylläpitää ja käyttää turvallisesti kehitystyökaluja, kuten kääntäjiä.

Täydentävät ohjeet turvallisuudesta koodauksen aikana

Turvallisissa koodauskäytännöissä ja -menettelyissä tulee ottaa huomioon seuraavat asiat koodausprosessissa:

• Turvallisen ohjelmiston koodausperiaatteet tulee räätälöidä kunkin ohjelmointikielen ja käytetyn tekniikan mukaan.
• Turvallisten ohjelmointitekniikoiden ja -menetelmien käyttöönotto, kuten testilähtöinen kehitys ja pariohjelmointi.
• Strukturoitujen ohjelmointimenetelmien käyttö.
• Asianmukainen koodidokumentaatio ja koodivirheiden poisto.
• Kielto käyttää turvattomia ohjelmistokoodausmenetelmiä, kuten ei-hyväksyttyjä koodinäytteitä tai kovakoodattuja salasanoja.

Täydentävässä ohjeessa todetaan myös, että turvatestaus tulee suorittaa sekä kehityksen aikana että sen jälkeen Ohjaus 8.29:n mukaisesti.

Ennen kuin ohjelmisto otetaan käyttöön live-sovellusympäristössä, organisaatioiden tulee ottaa huomioon seuraavat asiat:

• Mikä on hyökkäyspinta?
• Noudatetaanko vähiten etuoikeuksien periaatetta?
• Suoritetaan analyysi yleisimmistä ohjelmointivirheistä ja dokumentoidaan, että nämä riskit on eliminoitu.

Tarkastusprosessia koskevat lisäohjeet

Sen jälkeen, kun koodi on otettu käyttöön tuotantoympäristössä

• Päivitykset tulee ottaa käyttöön turvallisesti.
• Control 8.8:n mukaisesti raportoidut tietoturva-aukot tulee korjata.
• Epäillyt tietojärjestelmiin kohdistuvat hyökkäykset ja virheet tulee kirjata ja nämä tiedot tulee tarkistaa säännöllisin väliajoin, jotta koodiin voidaan tehdä tarvittavat muutokset.
• Lähdekoodin luvaton käyttö, käyttö tai muutokset tulisi estää mekanismeilla, kuten hallintatyökaluilla.

Kun organisaatiot käyttävät ulkoisia työkaluja, niiden tulee ottaa huomioon seuraava

• Ulkoisia kirjastoja tulee seurata ja päivittää säännöllisin väliajoin niiden julkaisujaksojen perusteella.
• Ohjelmistokomponentit tulee tarkastaa, valita ja valtuuttaa huolellisesti, erityisesti salaus- ja todennuskomponentit.
• Ulkoisten komponenttien lisensointi ja niiden turvallisuuden varmistaminen.
• Ohjelmistoa tulee seurata ja ylläpitää. Lisäksi on varmistettava, että se tulee luotettavasta lähteestä.
• Kehittämisresursseja tulee olla saatavilla pitkällä aikavälillä.

Kun teet muutoksia ohjelmistopakettiin, seuraavat asiat tulee ottaa huomioon

• Riskit, jotka voivat johtua sisäänrakennetuista ohjauksista tai eheysprosessien vaarantumisesta.
• Antaako myyjä suostumuksen muutoksiin.
• Onko mahdollista saada ohjelmistotoimittajan suostumus säännöllisiin päivityksiin.
• Ohjelmiston ylläpidon jatkamisen todennäköinen vaikutus, joka johtuu muutoksista.
• Ovatko muutokset yhteensopivia muiden organisaation käyttämien ohjelmistokomponenttien kanssa.

Valvontaa koskevat lisäohjeet 8.28

Organisaatioiden tulee varmistaa, että turvallisuuden kannalta merkityksellistä koodia käytetään silloin, kun se on tarpeellista ja että se on suojattu peukalointia vastaan.

Ohjaus 8.28 luettelee myös seuraavat suositukset turvallisuuden kannalta merkitykselliselle koodille:

• Vaikka binäärikoodilla asennetut ohjelmat sisältävät turvallisuuden kannalta merkityksellistä koodia, tämä rajoittuu itse sovellukseen tallennettuihin tietoihin.
• Turvallisuuden kannalta merkityksellisen koodin käsite on hyödyllinen vain, kun koodia ajetaan palvelimella, johon käyttäjä ei pääse käsiksi, ja se on erotettu sitä käyttävistä prosesseista ja sen tiedot säilytetään turvallisesti toisessa tietokannassa. Voit esimerkiksi suorittaa tulkitun koodin pilvipalvelussa ja koodin käyttöoikeus voidaan rajoittaa etuoikeutetuille järjestelmänvalvojille. On suositeltavaa suojata nämä käyttöoikeudet menetelmillä, kuten juuri-in-time-järjestelmänvalvojan oikeuksilla ja vahvoilla todennusmekanismeilla.
• Verkkopalvelimille tulee ottaa käyttöön asianmukaiset asetukset, jotta estetään luvaton pääsy hakemistoon ja sen selaaminen.
• Sovelluskoodia suunniteltaessa kannattaa aloittaa olettamuksesta, että koodi on alttiina hyökkäyksille koodausvirheiden ja haitallisten toimijoiden toimien vuoksi. Sinun tulee suunnitella kriittiset sovellukset siten, että ne eivät ole alttiita sisäisille vioille. Esimerkiksi algoritmin tuottama tulos voidaan tarkistaa sen varmistamiseksi, että se täyttää tietoturvavaatimukset, ennen kuin sitä voidaan käyttää kriittisissä sovelluksissa, kuten rahoitukseen liittyvissä sovelluksissa.
• Tietyt verkkosovellukset ovat erittäin haavoittuvia tietoturvauhkille huonojen koodauskäytäntöjen, kuten tietokantojen lisäyksen ja sivustojen välisten komentosarjahyökkäysten, vuoksi.
• Organisaatioiden tulee tutustua ISO/IEC 15408 -sarjaan saadakseen lisätietoja IT-suojauksen arvioinnista.

Muutokset ja erot standardista ISO 27002:2013

27002:2022/8.28 on uudenlainen ohjaus.

Miten ISMS.online auttaa

Alustamme on kehitetty erityisesti niille, jotka ovat uusia tietoturvan parissa tai tarvitsevat helpon tavan oppia ISO 27002 -standardista ilman, että heidän tarvitsee viettää aikaa oppimiseen tyhjästä tai pitkien asiakirjojen lukemisesta.

ISMS.Online on varustettu kaikilla vaatimustenmukaisuuden saavuttamiseen tarvittavilla työkaluilla, mukaan lukien asiakirjamallit, tarkistuslistat ja käytännöt, joita voidaan mukauttaa tarpeidesi mukaan.

Haluatko nähdä miten se toimii?

Ota yhteyttä jo tänään varaa esittely.