Turvallisuuden varmistaminen kehityksestä käyttöönottoon: ISO 27002 Control 8.29 Selitetty
Kyberrikolliset keksivät jatkuvasti uusia tapoja ja parantavat strategioitaan soluttautuakseen yritysten verkkoihin ja päästäkseen käsiksi arkaluontoisiin tietoihin.
Esimerkiksi kyberhyökkääjät voivat hyödyntää lähdekoodin todennusmekanismiin liittyvää haavoittuvuutta tunkeutuakseen verkkoihin. Lisäksi he voivat myös yrittää manipuloida asiakaspuolen loppukäyttäjiä suorittamaan toimia tunkeutuakseen verkkoihin, päästäkseen tietoihin tai suorittaakseen kiristysohjelmahyökkäyksiä.
Jos sovellus, ohjelmisto tai IT-järjestelmä otetaan käyttöön todellisessa maailmassa haavoittuvuuksineen, arkaluontoiset tietovarat altistuvat vaarantumisriskille.
Siksi organisaatioiden tulisi luoda ja ottaa käyttöön asianmukainen tietoturvatestausmenettely tunnistaakseen ja korjatakseen kaikki IT-järjestelmien haavoittuvuudet, ennen kuin ne otetaan käyttöön todellisessa maailmassa.
Valvonnan tarkoitus 8.29
Control 8.29:n avulla organisaatiot voivat varmistaa, että kaikki tietoturvavaatimukset täyttyvät, kun uusia sovelluksia, tietokantoja, ohjelmistoja tai koodeja otetaan käyttöön, luomalla ja soveltamalla vankkaa tietoturvatestausmenettelyä.
Tämä auttaa organisaatioita havaitsemaan ja poistamaan haavoittuvuuksia koodissa, verkoissa, palvelimissa, sovelluksissa tai muissa IT-järjestelmissä ennen kuin niitä käytetään todellisessa maailmassa.
Ohjauksen ominaisuudet 8.29
Valvonta 8.29 on luonteeltaan ennaltaehkäisevää. Se edellyttää, että organisaatiot suorittavat uudet tietojärjestelmät ja niiden uudet/päivitetyt versiot tietoturvatestauksen ennen kuin ne julkaistaan tuotantoympäristöön.
| Ohjaus | Tietoturvaominaisuudet | Kyberturvallisuuden käsitteet | Toiminnalliset valmiudet | Turvallisuus Domains |
|---|---|---|---|---|
| #Ennaltaehkäisevä | #Luottamuksellisuus | #Tunnistaa | #Sovellusturvallisuus | #Suojaus |
| #Integrity | #Tietoturvatakuu | |||
| #Saatavuus | #Järjestelmä- ja verkkoturvallisuus |
ISO 27001 helposti
81 %:n etumatka ensimmäisestä päivästä lähtien
Olemme tehneet kovan työn puolestasi ja antavat sinulle 81 % etumatkan kirjautuessasi sisään. Sinun tarvitsee vain täyttää tyhjät kohdat.
Määräysvallan omistus 8.29
Ottaen huomioon, että valvonta 8.29 sisältää turvatestausmenettelyn luomisen, ylläpidon ja toteuttamisen, joka koskee kaikkia uusia tietojärjestelmiä riippumatta siitä, ovatko ne itse tai ulkopuolisten tahojen kehittämiä, tietoturvavastaavan tulee olla vastuussa vaatimustenmukaisuudesta.
Yleiset noudattamisohjeet
Organisaatioiden tulee ottaa tietoturvatestaus osaksi kaikkien järjestelmien testausprosessia ja varmistaa, että kaikki uudet tietojärjestelmät ja niiden uudet/päivitetyt versiot täyttävät tietoturvavaatimukset tuotantoympäristössä ollessaan.
Ohjaus 8.29 luettelee kolme elementtiä, jotka tulisi sisällyttää tietoturvatestausprosessiin:
- Suojaustoiminnot, kuten käyttäjän todennus, joka on määritelty kohdassa Control 8..5, pääsynrajoitus kuten kohdassa Ohjaus 8.3, ja salaus, kuten kohdassa Control 8.24 on käsitelty.
- Suojattu koodaus kohdassa Ohjaus 8.28 kuvatulla tavalla.
- Suojaa kokoonpanot Ohjainten 8.9, 8.20, 8.22 mukaisesti. Tämä voi kattaa palomuurit ja käyttöjärjestelmät.
Mitä testisuunnitelman pitäisi sisältää?
Turvallisuustestaussuunnitelmia suunniteltaessa organisaatioiden tulee ottaa huomioon käsillä olevan tietojärjestelmän kriittisyyden taso ja luonne.
Tietoturvatestaussuunnitelman tulee kattaa seuraavat asiat:
- Yksityiskohtaisen aikataulun laatiminen toimille ja suoritettaville testauksille.
- Tulot ja lähdöt, joiden odotetaan tapahtuvan tietyissä olosuhteissa.
- Kriteerit tulosten arvioimiseksi.
- Tarvittaessa päätökset toimenpiteistä tulosten perusteella.
Vapauta itsesi laskentataulukoiden vuorten vallasta
Ota käyttöön, laajenna ja skaalaa vaatimustenmukaisuus ilman sotkua. Io antaa sinulle joustavuutta ja luottamusta kasvaa turvallisesti.
Talon sisäinen kehitys
Kun sisäinen kehitystiimi kehittää IT-järjestelmiä, tämän tiimin tulee suorittaa ensimmäinen tietoturvatestaus varmistaakseen, että IT-järjestelmä täyttää tietoturvavaatimukset.
Tämän alkutestauksen jälkeen tulisi sitten suorittaa riippumattomuuden hyväksymistesti kohdan 5.8 mukaisesti.
Talon sisäisessä kehittämisessä on otettava huomioon seuraavat asiat:
- Koodin tarkistustoimintojen suorittaminen tietoturvavirheiden havaitsemiseksi ja poistamiseksi, mukaan lukien odotettavissa olevat syötteet ja olosuhteet.
- Haavoittuvuustarkistuksen suorittaminen suojaamattomien kokoonpanojen ja muiden haavoittuvuuksien havaitsemiseksi.
- Läpäisytestien suorittaminen turvattoman koodin ja suunnittelun havaitsemiseksi.
Ulkoistaminen
Organisaatioiden tulee noudattaa tiukkaa hankintaprosessia ulkoistaessaan kehitystyötä tai ostaessaan IT-komponentteja ulkopuolisilta osapuolilta.
Organisaatioiden tulee tehdä sopimus tavarantoimittajiensa kanssa ja tämän sopimuksen tulee kattaa tietoturvavaatimukset, kuten kohdassa Ohjaus 5.20 on määrätty.
Lisäksi organisaatioiden tulee varmistaa, että heidän ostamansa tuotteet ja palvelut ovat tietoturvastandardien mukaisia.
Valvontaa koskevat lisäohjeet 8.29
Organisaatiot voivat luoda useita testiympäristöjä suorittaakseen erilaisia testauksia, kuten toiminnallisia, ei-toiminnallisia ja suorituskykytestejä.
Lisäksi he voivat luoda virtuaalisia testiympäristöjä ja sitten konfiguroida nämä ympäristöt testaamaan IT-järjestelmiä erilaisissa toiminta-asetuksissa.
Control 8.29 huomauttaa myös, että tehokas tietoturvatestaus edellyttää, että organisaatiot testaavat ja valvovat testausympäristöjä, työkaluja ja tekniikoita.
Lopuksi organisaatioiden tulisi ottaa huomioon tietojen herkkyys ja kriittisyys määrittäessään metatestauksen kerrosten määrää.
Hallitse kaikkea vaatimustenmukaisuuttasi yhdessä paikassa
ISMS.online tukee yli 100 standardia ja sääntöä, mikä tarjoaa sinulle yhden alustan kaikkiin vaatimustenmukaisuustarpeisiisi.
Muutokset ja erot standardista ISO 27002:2013
27002:2022/8.29 korvaa 27002:2013/(14.2.8 ja 14.2.9)
Rakenteelliset muutokset
Vuoden 2022 versio käsittelee suojattua testausta yhdellä ohjausobjektilla, kun taas vuoden 2013 versiossa viitattiin suojattuun testaukseen kahdessa erillisessä kontrollissa; System Security Testing in Control 14.2.8 ja System Acceptance Testing in Control 14.2.9
Ohjaus 8.29 tuo entistä kattavampia vaatimuksia
Toisin kuin vuoden 2013 versio, vuoden 2022 versio sisältää yksityiskohtaisempia vaatimuksia ja suosituksia seuraavista asioista:
- Turvatestaussuunnitelma ja mitä sen tulisi sisältää.
- Tietoturvatestauksen kriteerit IT-järjestelmien sisäiseen kehittämiseen.
- Tietoturvatestausprosessi ja mitä sen tulisi sisältää.
- Useiden testiympäristöjen käyttö.
Vuoden 2013 versio oli tarkempi hyväksymistestauksen suhteen
Toisin kuin vuoden 2022 versio, vuoden 2013 versio oli määrättävämpi järjestelmän hyväksyntätestauksessa. Se sisälsi vaatimuksia, kuten vastaanotettujen komponenttien tietoturvatestauksen ja automaattisten työkalujen käytön.
Uudet ISO 27002 -säätimet
| ISO/IEC 27002:2022 Control Identifier | ISO/IEC 27002:2013 Control Identifier | Ohjausnimi |
|---|---|---|
| 5.7 | UUSI | Uhan älykkyys |
| 5.23 | UUSI | Tietoturva pilvipalvelujen käyttöön |
| 5.30 | UUSI | ICT-valmius liiketoiminnan jatkuvuuteen |
| 7.4 | UUSI | Fyysisen turvallisuuden valvonta |
| 8.9 | UUSI | Kokoonpanonhallinta |
| 8.10 | UUSI | Tietojen poistaminen |
| 8.11 | UUSI | Tietojen peittäminen |
| 8.12 | UUSI | Tietovuotojen esto |
| 8.16 | UUSI | Toimien seuranta |
| 8.23 | UUSI | Web-suodatus |
| 8.28 | UUSI | Turvallinen koodaus |
| ISO/IEC 27002:2022 Control Identifier | ISO/IEC 27002:2013 Control Identifier | Ohjausnimi |
|---|---|---|
| 6.1 | 07.1.1 | Seulonta |
| 6.2 | 07.1.2 | Työsuhteen ehdot |
| 6.3 | 07.2.2 | Tietoturvatietoisuus, koulutus ja koulutus |
| 6.4 | 07.2.3 | Kurinpitoprosessi |
| 6.5 | 07.3.1 | Vastuut työsuhteen päättymisen tai muutoksen jälkeen |
| 6.6 | 13.2.4 | Luottamuksellisuus- tai salassapitosopimukset |
| 6.7 | 06.2.2 | Etätyö |
| 6.8 | 16.1.2, 16.1.3 | Tietoturvatapahtumaraportointi |
| ISO/IEC 27002:2022 Control Identifier | ISO/IEC 27002:2013 Control Identifier | Ohjausnimi |
|---|---|---|
| 7.1 | 11.1.1 | Fyysisen turvallisuuden rajat |
| 7.2 | 11.1.2, 11.1.6 | Fyysinen sisääntulo |
| 7.3 | 11.1.3 | Toimistojen, huoneiden ja tilojen turvaaminen |
| 7.4 | UUSI | Fyysisen turvallisuuden valvonta |
| 7.5 | 11.1.4 | Suojautuminen fyysisiltä ja ympäristöuhkilta |
| 7.6 | 11.1.5 | Työskentely turvallisilla alueilla |
| 7.7 | 11.2.9 | Selkeä pöytä ja selkeä näyttö |
| 7.8 | 11.2.1 | Laitteiden sijoitus ja suojaus |
| 7.9 | 11.2.6 | Omaisuuden turvallisuus muualla kuin toimitiloissa |
| 7.10 | 08.3.1, 08.3.2, 08.3.3, 11.2.5 | Tallennusvälineet |
| 7.11 | 11.2.2 | Apuohjelmia tukevat |
| 7.12 | 11.2.3 | Kaapeloinnin turvallisuus |
| 7.13 | 11.2.4 | Laitehuolto |
| 7.14 | 11.2.7 | Laitteiden turvallinen hävittäminen tai uudelleenkäyttö |
Miten ISMS.online auttaa
ISMS.online virtaviivaistaa ISO 27002 -standardin käyttöönottoprosessia tarjoamalla kehittyneen pilvipohjaisen kehyksen tietoturvan hallintajärjestelmän menettelyjen ja tarkistuslistojen dokumentoimiseksi tunnustettujen standardien noudattamisen varmistamiseksi.
Ota yhteyttä ja varaa esittely.
