Mikä on suojatun koodauksen ISO 27002:2022 Control 8.28?
Huonot koodauskäytännöt, kuten virheellinen syötteen validointi ja heikko avainten luonti, voivat altistaa tietojärjestelmät tietoturva-aukoille ja johtaa kyberhyökkäuksiin ja arkaluonteisten tietovarojen vaarantumiseen.
Esimerkiksi surullisen kuuluisissa Sydänverenvuototapaus, hakkerit käyttivät hyväkseen koodin virheellistä syötteen vahvistusta päästäkseen käsiksi enemmän kuin 4 miljoonan potilaan tiedot.
Siksi organisaatioiden tulee varmistaa, että suojatun koodauksen periaatteita noudatetaan, jotta huonot koodauskäytännöt eivät johda tietoturva-aukoihin.
Valvonnan tarkoitus 8.28
Control 8.28:n avulla organisaatiot voivat ehkäistä tietoturvariskejä ja haavoittuvuuksia, joita voi syntyä huonoista ohjelmistokoodauskäytännöistä suunnittelemalla, toteuttamalla ja tarkistamalla asianmukaisia suojattujen ohjelmistojen koodausperiaatteita.
Attribuuttien ohjaustaulukko 8.28
Control 8.28 on ennaltaehkäisevä hallinta, joka auttaa organisaatioita ylläpitämään verkkojen, järjestelmien ja sovellusten turvallisuutta poistamalla riskit, jotka voivat johtua huonosti suunnitellusta ohjelmistokoodista.
| Ohjaus | Tietoturvaominaisuudet | Kyberturvallisuuden käsitteet | Toiminnalliset valmiudet | Turvallisuus Domains |
|---|---|---|---|---|
| #Ennaltaehkäisevä | #Luottamuksellisuus | #Suojella | #Sovellusturvallisuus | #Suojaus |
| #Integrity | #Järjestelmä- ja verkkoturvallisuus | |||
| #Saatavuus |
Hanki 81 % etumatka
Olemme tehneet kovan työn puolestasi ja antavat sinulle 81 % etumatkan kirjautuessasi sisään.
Sinun tarvitsee vain täyttää tyhjät kohdat.
Määräysvallan omistus 8.28
Ottaen huomioon, että 8.28 edellyttää organisaation laajuisten suojattujen koodausperiaatteiden ja -menettelyjen suunnittelua ja käyttöönottoa, tietoturvapäällikön tulisi olla vastuussa tarvittavista toimenpiteistä noudattamisen varmistamiseksi.
Yleiset noudattamisohjeet
Ohjaus 8.28 edellyttää, että organisaatiot luovat ja ottavat käyttöön organisaation laajuiset prosessit turvallista koodausta varten, joka koskee sekä ulkoisilta osapuolilta hankittuja ohjelmistotuotteita että avoimen lähdekoodin ohjelmistokomponentteja.
Lisäksi organisaatioiden tulee pysyä ajan tasalla kehittyvistä todellisista tietoturvauhkista ja uusimmista tiedoista tunnetuista tai mahdollisista ohjelmiston tietoturva-aukoista. Tämä antaa organisaatioille mahdollisuuden parantaa ja ottaa käyttöön vankkoja suojattujen ohjelmistojen koodausperiaatteita, jotka ovat tehokkaita kehittyviä kyberuhkia vastaan.
Suunnittelua koskevat lisäohjeet
Turvallisia ohjelmistokoodauksen periaatteita tulee noudattaa sekä uusissa koodausprojekteissa että ohjelmistojen uudelleenkäyttötoiminnoissa.
Näitä periaatteita tulee noudattaa sekä omassa ohjelmistokehitystoiminnassa että organisaation ohjelmistotuotteiden tai -palveluiden siirtämisessä kolmansille osapuolille.
Tehdessään suunnitelmaa suojatuille koodauksen periaatteille ja määrittäessään suojatun koodauksen edellytyksiä organisaatioiden tulee noudattaa seuraavia:
- Organisaatioiden tulee määrittää tarpeidensa mukaan räätälöidyt tietoturvaodotukset ja luoda hyväksytyt periaatteet turvalliselle ohjelmistokoodaukselle, jotka koskevat sekä omaa ohjelmistokehitystä että ulkoistettuja ohjelmistokomponentteja.
- Organisaatioiden tulee havaita ja dokumentoida yleisimmät ja historialliset huonot koodaussuunnittelukäytännöt ja virheet, jotka johtavat tietoturvan vaarantumiseen.
- Organisaatioiden tulee ottaa käyttöön ja määrittää ohjelmistokehitystyökaluja varmistaakseen kaiken luodun koodin turvallisuuden. Yksi esimerkki tällaisista työkaluista on integroidut kehitysympäristöt (IDE).
- Organisaatioiden tulee noudattaa ohjelmistokehitystyökalujen antamia ohjeita ja ohjeita.
- Organisaatioiden tulee tarkistaa, ylläpitää ja käyttää turvallisesti kehitystyökaluja, kuten kääntäjiä.
Täydentävät ohjeet turvallisuudesta koodauksen aikana
Turvallisissa koodauskäytännöissä ja -menettelyissä tulee ottaa huomioon seuraavat asiat koodausprosessissa:
- Turvallisen ohjelmiston koodausperiaatteet tulee räätälöidä kunkin ohjelmointikielen ja käytetyn tekniikan mukaan.
- Turvallisten ohjelmointitekniikoiden ja -menetelmien käyttöönotto, kuten testilähtöinen kehitys ja pariohjelmointi.
- Strukturoitujen ohjelmointimenetelmien käyttö.
- Asianmukainen koodidokumentaatio ja koodivirheiden poisto.
- Kielto käyttää turvattomia ohjelmistokoodausmenetelmiä, kuten ei-hyväksyttyjä koodinäytteitä tai kovakoodattuja salasanoja.
Täydentävässä ohjeessa todetaan myös, että turvatestaus tulee suorittaa sekä kehityksen aikana että sen jälkeen Ohjaus 8.29:n mukaisesti.
Ennen kuin ohjelmisto otetaan käyttöön live-sovellusympäristössä, organisaatioiden tulee ottaa huomioon seuraavat asiat:
- Mikä on hyökkäyspinta?
- Noudatetaanko vähiten etuoikeuksien periaatetta?
- Suoritetaan analyysi yleisimmistä ohjelmointivirheistä ja dokumentoidaan, että nämä riskit on eliminoitu.
Vaatimustenmukaisuuden ei tarvitse olla monimutkaista.
Olemme tehneet kovan työn puolestasi ja antavat sinulle 81 % etumatkan kirjautuessasi sisään.
Sinun tarvitsee vain täyttää tyhjät kohdat.
Tarkastusprosessia koskevat lisäohjeet
Sen jälkeen, kun koodi on otettu käyttöön tuotantoympäristössä
- Päivitykset tulee ottaa käyttöön turvallisesti.
- Control 8.8:n mukaisesti raportoidut tietoturva-aukot tulee korjata.
- Epäillyt tietojärjestelmiin kohdistuvat hyökkäykset ja virheet tulee kirjata ja nämä tiedot tulee tarkistaa säännöllisin väliajoin, jotta koodiin voidaan tehdä tarvittavat muutokset.
- Lähdekoodin luvaton käyttö, käyttö tai muutokset tulisi estää mekanismeilla, kuten hallintatyökaluilla.
Kun organisaatiot käyttävät ulkoisia työkaluja, niiden tulee ottaa huomioon seuraava
- Ulkoisia kirjastoja tulee seurata ja päivittää säännöllisin väliajoin niiden julkaisujaksojen perusteella.
- Ohjelmistokomponentit tulee tarkastaa, valita ja valtuuttaa huolellisesti, erityisesti salaus- ja todennuskomponentit.
- Ulkoisten komponenttien lisensointi ja niiden turvallisuuden varmistaminen.
- Ohjelmistoa tulee seurata ja ylläpitää. Lisäksi on varmistettava, että se tulee luotettavasta lähteestä.
- Kehittämisresursseja tulee olla saatavilla pitkällä aikavälillä.
Kun teet muutoksia ohjelmistopakettiin, seuraavat asiat tulee ottaa huomioon
- Riskit, jotka voivat johtua sisäänrakennetuista ohjauksista tai eheysprosessien vaarantumisesta.
- Antaako myyjä suostumuksen muutoksiin.
- Onko mahdollista saada ohjelmistotoimittajan suostumus säännöllisiin päivityksiin.
- Ohjelmiston ylläpidon jatkamisen todennäköinen vaikutus, joka johtuu muutoksista.
- Ovatko muutokset yhteensopivia muiden organisaation käyttämien ohjelmistokomponenttien kanssa.
Valvontaa koskevat lisäohjeet 8.28
Organisaatioiden tulee varmistaa, että turvallisuuden kannalta merkityksellistä koodia käytetään silloin, kun se on tarpeellista ja että se on suojattu peukalointia vastaan.
Ohjaus 8.28 luettelee myös seuraavat suositukset turvallisuuden kannalta merkitykselliselle koodille:
- Vaikka binäärikoodilla asennetut ohjelmat sisältävät turvallisuuden kannalta merkityksellistä koodia, tämä rajoittuu itse sovellukseen tallennettuihin tietoihin.
- Turvallisuuden kannalta merkityksellisen koodin käsite on hyödyllinen vain, kun koodia ajetaan palvelimella, johon käyttäjä ei pääse käsiksi, ja se on erotettu sitä käyttävistä prosesseista ja sen tiedot säilytetään turvallisesti toisessa tietokannassa. Voit esimerkiksi suorittaa tulkitun koodin pilvipalvelussa ja koodin käyttöoikeus voidaan rajoittaa etuoikeutetuille järjestelmänvalvojille. On suositeltavaa suojata nämä käyttöoikeudet menetelmillä, kuten juuri-in-time-järjestelmänvalvojan oikeuksilla ja vahvoilla todennusmekanismeilla.
- Verkkopalvelimille tulee ottaa käyttöön asianmukaiset asetukset, jotta estetään luvaton pääsy hakemistoon ja sen selaaminen.
- Sovelluskoodia suunniteltaessa kannattaa aloittaa olettamuksesta, että koodi on alttiina hyökkäyksille koodausvirheiden ja haitallisten toimijoiden toimien vuoksi. Sinun tulee suunnitella kriittiset sovellukset siten, että ne eivät ole alttiita sisäisille vioille. Esimerkiksi algoritmin tuottama tulos voidaan tarkistaa sen varmistamiseksi, että se täyttää tietoturvavaatimukset, ennen kuin sitä voidaan käyttää kriittisissä sovelluksissa, kuten rahoitukseen liittyvissä sovelluksissa.
- Tietyt verkkosovellukset ovat erittäin haavoittuvia tietoturvauhkille huonojen koodauskäytäntöjen, kuten tietokantojen lisäyksen ja sivustojen välisten komentosarjahyökkäysten, vuoksi.
- Organisaatioiden tulee tutustua ISO/IEC 15408 -sarjaan saadakseen lisätietoja IT-suojauksen arvioinnista.
Hallitse kaikkea vaatimustenmukaisuuttasi yhdessä paikassa
ISMS.online tukee yli 100 standardia
ja määräykset, mikä antaa sinulle yhden
alusta kaikkiin vaatimustenmukaisuustarpeisiisi.
Muutokset ja erot standardista ISO 27002:2013
27002:2022/8.28 on uudenlainen ohjaus.
Uudet ISO 27002 -säätimet
Uudet hallintalaitteet
| ISO/IEC 27002:2022 Control Identifier | ISO/IEC 27002:2013 Control Identifier | Ohjausnimi |
|---|---|---|
| 5.7 | Uusi | Uhan älykkyys |
| 5.23 | Uusi | Tietoturva pilvipalvelujen käyttöön |
| 5.30 | Uusi | ICT-valmius liiketoiminnan jatkuvuuteen |
| 7.4 | Uusi | Fyysisen turvallisuuden valvonta |
| 8.9 | Uusi | Kokoonpanonhallinta |
| 8.10 | Uusi | Tietojen poistaminen |
| 8.11 | Uusi | Tietojen peittäminen |
| 8.12 | Uusi | Tietovuotojen esto |
| 8.16 | Uusi | Toimien seuranta |
| 8.23 | Uusi | Web-suodatus |
| 8.28 | Uusi | Turvallinen koodaus |
Organisaation valvonta
Ihmisten ohjaukset
| ISO/IEC 27002:2022 Control Identifier | ISO/IEC 27002:2013 Control Identifier | Ohjausnimi |
|---|---|---|
| 6.1 | 07.1.1 | Seulonta |
| 6.2 | 07.1.2 | Työsuhteen ehdot |
| 6.3 | 07.2.2 | Tietoturvatietoisuus, koulutus ja koulutus |
| 6.4 | 07.2.3 | Kurinpitoprosessi |
| 6.5 | 07.3.1 | Vastuut työsuhteen päättymisen tai muutoksen jälkeen |
| 6.6 | 13.2.4 | Luottamuksellisuus- tai salassapitosopimukset |
| 6.7 | 06.2.2 | Etätyö |
| 6.8 | 16.1.2, 16.1.3 | Tietoturvatapahtumaraportointi |
Fyysiset säätimet
| ISO/IEC 27002:2022 Control Identifier | ISO/IEC 27002:2013 Control Identifier | Ohjausnimi |
|---|---|---|
| 7.1 | 11.1.1 | Fyysisen turvallisuuden rajat |
| 7.2 | 11.1.2, 11.1.6 | Fyysinen sisääntulo |
| 7.3 | 11.1.3 | Toimistojen, huoneiden ja tilojen turvaaminen |
| 7.4 | Uusi | Fyysisen turvallisuuden valvonta |
| 7.5 | 11.1.4 | Suojautuminen fyysisiltä ja ympäristöuhkilta |
| 7.6 | 11.1.5 | Työskentely turvallisilla alueilla |
| 7.7 | 11.2.9 | Selkeä pöytä ja selkeä näyttö |
| 7.8 | 11.2.1 | Laitteiden sijoitus ja suojaus |
| 7.9 | 11.2.6 | Omaisuuden turvallisuus muualla kuin toimitiloissa |
| 7.10 | 08.3.1, 08.3.2, 08.3.3, 11.2.5 | Tallennusvälineet |
| 7.11 | 11.2.2 | Apuohjelmia tukevat |
| 7.12 | 11.2.3 | Kaapeloinnin turvallisuus |
| 7.13 | 11.2.4 | Laitehuolto |
| 7.14 | 11.2.7 | Laitteiden turvallinen hävittäminen tai uudelleenkäyttö |
Tekniset säädöt
Miten ISMS.online auttaa
Alustamme on kehitetty erityisesti niille, jotka ovat uusia tietoturvan parissa tai tarvitsevat helpon tavan oppia ISO 27002 -standardista ilman, että heidän tarvitsee viettää aikaa oppimiseen tyhjästä tai pitkien asiakirjojen lukemisesta.
ISMS.Online on varustettu kaikilla vaatimustenmukaisuuden saavuttamiseen tarvittavilla työkaluilla, mukaan lukien asiakirjamallit, tarkistuslistat ja käytännöt, joita voidaan mukauttaa tarpeidesi mukaan.
Haluatko nähdä miten se toimii?
Ota yhteyttä jo tänään varaa esittely.
Hyppää aiheeseen
