ISO 27002:2022 – Valvonta 8.30 – Ulkoistettu kehitys

Tietoturvan varmistaminen ulkoistetussa kehitystyössä: ISO 27002 Control 8.30

IT-järjestelmien ja ohjelmistokehityksen ulkoistaminen ulkopuolisille tarjoaa yrityksille monia etuja, kuten alhaisemmat kustannukset ja parempi skaalautuvuus. Näiden tehokkuusetujen ei kuitenkaan pitäisi tulla turvallisuuden kustannuksella.

Esimerkiksi ulkopuolisilla palveluntarjoajilla ei ehkä ole tiukkoja verkkojen pääsynvalvontaa tai he eivät ehkä käytä toimialatason salausta pilveen tallennettuihin tietoihin, mikä johtaa IT-järjestelmien ja ohjelmistotuotteiden vaarantumiseen.

Tämä voi johtaa tietoturvaloukkauksiin ja tietovarojen saatavuuden, luottamuksellisuuden tai eheyden menetykseen.

Mukaan Trustwaven raportti, ohjelmistojen ja IT-kehityksen ulkoistaminen oli osansa yli 60 %:ssa kaikista tietomurroista.

Ottaen huomioon, että ulkoistaminen johtaa väistämättä kehitysprosessin hallinnan menettämiseen ja vaikeuttaa tietoturvavaatimusten soveltamista ja ylläpitämistä, organisaatioiden tulee varmistaa, että ulkopuoliset osapuolet noudattavat organisaation asettamia tietoturvavaatimuksia.

Valvonnan tarkoitus 8.30

Control 8.30:n avulla organisaatiot voivat varmistaa, että asetettuja tietoturvavaatimuksia noudatetaan, kun järjestelmä- ja ohjelmistokehitys ulkoistetaan ulkopuolisille toimittajille.

Ohjauksen ominaisuudet 8.30

Control 8.30 on luonteeltaan sekä havaitsevaa että ennaltaehkäisevää: Se edellyttää organisaatioiden valvovan ja valvovan kaikkia ulkoistamistoimia sekä varmistavan, että ulkoistettu kehitysprosessi täyttää tietoturvavaatimukset.

Määräysvallan omistus 8.30

Tietoturvajohtajan tulisi olla vastuussa tarvittavien menettelyjen ja valvonnan luomisesta ja toteuttamisesta sen varmistamiseksi, että nämä tietoturvavaatimukset välitetään ulkopuolisille toimittajille, että ne hyväksyvät ja noudattavat niitä.

Yleiset noudattamisohjeet

Yleisessä ohjeessa korostetaan, että organisaatioiden tulee jatkuvasti seurata ja varmistaa, että ulkoistetun kehitystyön toimitus täyttää ulkopuoliselle palveluntuottajalle asetetut tietoturvavaatimukset.

Control 8.30 suosittelee, että organisaatiot ottavat huomioon seuraavat 11 tekijää kehitystyön ulkoistamisessa:

1. Sopimusten tekeminen, mukaan lukien lisenssisopimukset, jotka koskevat koodin omistajuutta ja immateriaalioikeuksia.
2. Asianmukaisten sopimusvaatimusten asettaminen turvalliselle suunnittelulle ja koodaukselle Control 8.25 ja 8.29 mukaisesti.
3. Kolmannen osapuolen kehittäjien omaksuttavan uhkamallin luominen.
4. Hyväksymistestin suorittaminen toimitetun työn laadun ja tarkkuuden varmistamiseksi.
5. Todiste siitä, että mahdollisimman vähän vaaditut yksityisyys- ja turvallisuusominaisuudet on saavutettu. Tämä voidaan saavuttaa varmennusraporttien avulla.
6. Säilytetään todisteet siitä, kuinka riittävästi testausta on suoritettu toimitetun IT-järjestelmän tai ohjelmiston suojaamiseksi haitalliselta sisällöltä.
7. Säilytetään todisteita siitä, kuinka riittävästi testausta on tehty suojatakseen tunnistettuja haavoittuvuuksia.
8. Ohjelmiston lähdekoodin kattavien escrow-sopimusten tekeminen. Se voi esimerkiksi käsitellä sitä, mitä tapahtuu, jos ulkoinen toimittaja lopettaa toimintansa.
9. Sopimukseen toimittajan kanssa tulee sisältyä organisaation oikeus auditoida kehitysprosesseja ja valvontaa.
10. Kehitysympäristön turvallisuusvaatimusten määrittäminen ja toteuttaminen.
11. Organisaatioiden tulee myös ottaa huomioon sovellettavat lait, säädökset ja määräykset.

Täydentävä opas

Yksityiskohtaisempia ohjeita toimittajasuhteiden hallintaan organisaatiot voivat katsoa standardista ISO/IEC 27036.

Muutokset ja erot standardista ISO 27002:2013

27002:2022/8.30 replaces 27002:2013/(14.2.7)

Kaiken kaikkiaan näiden kahden version välillä ei ole olennaista eroa.

Uudet ISO 27002 -säätimet

Miten ISMS.online auttaa

Yritykset voivat käyttää ISMS.Onlinea auttaakseen niitä ISO 27002 -vaatimustenmukaisuuspyrkimyksissään tarjoamalla niille alustan, jonka avulla on helppo hallita tietoturvakäytäntöjä ja -menettelyjä, päivittää niitä tarvittaessa, testata ja seurata niiden tehokkuutta.

Pilvipohjaisen alustamme avulla voit nopeasti ja helposti hallita kaikkia ISMS:si näkökohtia, mukaan lukien riskienhallinta, käytännöt, suunnitelmat, menettelyt ja paljon muuta, yhdessä keskeisessä paikassa. Alusta on helppokäyttöinen ja siinä on intuitiivinen käyttöliittymä, jonka avulla sen käytön oppiminen on helppoa.

Ota yhteyttä jo tänään varaa esittely.