ISO 27002:2022 – Valvonta 8.32 – Muutoksenhallinta

Turvallisten ja hallittujen muutosten varmistaminen ISO 27002:2022 -valvonnalla 8.32

Tietojärjestelmien muutokset, kuten verkkolaitteen vaihtaminen, uuden tietokanta-ilmentymän luominen tai ohjelmiston päivittäminen, ovat usein tarpeen suorituskyvyn parantamiseksi, kustannusten pienentämiseksi ja tehokkuuden parantamiseksi.

Tällaiset tietojenkäsittelylaitteiden ja -järjestelmien muutokset voivat kuitenkin, jos niitä ei toteuteta asianmukaisesti, johtaa näihin laitteistoihin tallennettujen tai niiden käsittelemien tietovarojen vaarantumiseen.

Ohjaus 8.32 käsittelee sitä, kuinka organisaatiot voivat luoda ja soveltaa muutoksenhallintamenettelyjä tietojenkäsittelylaitteisiin ja -järjestelmiin tehtyjen muutosten seuraamiseksi, tarkistamiseksi ja hallitsemiseksi.

Valvonnan tarkoitus 8.32

Ohjaus 8.32 antaa organisaatioille mahdollisuuden ylläpitää tietovarojen turvallisuutta tehdessään muutoksia tietojenkäsittelylaitteisiin ja -järjestelmiin laatimalla, toteuttamalla ja hallitsemalla muutoksenhallinnan sääntöjä ja menettelytapoja.

Attribuuttien ohjaustaulukko 8.32

Valvonta 8.32 on luonteeltaan ennaltaehkäisevää. Se edellyttää, että organisaatiot määrittelevät, dokumentoivat, määrittävät ja panevat täytäntöön muutoksenhallintaprosessit, jotka hallitsevat tietojärjestelmien koko elinkaarta alkuperäisestä suunnittelusta käyttöönottoon ja käyttöön.

Määräysvallan omistus 8.32

Ottaen huomioon, että Control 8.32:n noudattaminen edellyttää muutosten valvontamenettelyjen luomista ja täytäntöönpanoa, jotka koskevat tietojärjestelmien elinkaaren kaikkia vaiheita, tietoturvapäälliköiden tulisi alan asiantuntijoiden tuella olla vastuussa näiden menettelyjen suunnittelusta ja täytäntöönpanosta.

Yleiset noudattamisohjeet

Kaikkiin tietojärjestelmiin tehtäviin merkittäviin muutoksiin ja uusien järjestelmien käyttöönottoon olisi sovellettava sovittuja sääntöjä ja menettelyjä. Nämä muutokset on määriteltävä virallisesti ja dokumentoitava. Lisäksi heidän tulee käydä läpi testaus- ja laadunvalvontaprosessit.

Varmistaakseen, että kaikki muutokset ovat muutosten hallinnan sääntöjen ja standardien mukaisia, organisaatioiden tulee osoittaa johtamisvastuut asianmukaiselle johdolle ja määrittää tarvittavat menettelyt.

Ohjaus 8.32 luettelee yhdeksän elementtiä, jotka tulisi sisällyttää muutoksenhallintamenettelyyn:

1. Organisaatioiden tulee suunnitella ja mitata suunniteltujen muutosten todennäköiset vaikutukset ottaen huomioon kaikki riippuvuudet.
2. Muutosten valtuutuksen valvonta.
3. Tiedottaminen suunnitelluista muutoksista asianmukaisille sisäisille ja ulkoisille tahoille.
4. Muutosten testaus- ja hyväksymistestausprosessien perustaminen ja toteuttaminen Valvonta 8.29 mukaisesti.
5. Miten muutokset toteutetaan, mukaan lukien kuinka ne otetaan käyttöön käytännössä.
6. Hätä- ja valmiussuunnitelmien ja menettelyjen laatiminen. Tämä voi sisältää myös varamenettelyn asettamisen.
7. Kirjanpito kaikista muutoksista ja niihin liittyvistä toiminnoista, mukaan lukien kaikki yllä luetellut toiminnot (1–6).
8. Ohjaus 5.37:n edellyttämät käyttödokumentaatiot ja käyttäjätoimenpiteet tarkistetaan ja päivitetään muutosten mukaan.
9. Tieto- ja viestintätekniikan jatkuvuussuunnitelmat sekä toipumis- ja reagointimenettelyt olisi tarkistettava ja tarkistettava muutosten huomioon ottamiseksi.

Lopuksi huomautetaan, että organisaatioiden tulisi integroida ohjelmistojen ja ICT-infrastruktuurin muutosten valvontamenettelyt mahdollisimman laajasti.

Valvontaa koskevat lisäohjeet 8.32

Muutokset tuotantoympäristöihin, kuten käyttöjärjestelmiin ja tietokantoihin, voivat vaarantaa sovellusten eheyden ja saatavuuden, erityisesti ohjelmistojen siirtämisen kehitystyöstä tuotantoympäristöön.

Toinen riski, jota organisaatioiden tulee olla varovaisia, on ohjelmistojen vaihtaminen tuotantoympäristössä voi aiheuttaa tahattomia seurauksia.

Näiden riskien ehkäisemiseksi organisaatioiden tulee suorittaa ICT-komponenttien testejä kehitys- ja tuotantoympäristöistä eristetyssä ympäristössä.

Tämä antaa organisaatioille mahdollisuuden hallita uusia ohjelmistoja paremmin ja tarjoaa ylimääräisen suojakerroksen testaustarkoituksiin käytettävälle todelliselle datalle. Tämä lisäsuoja voidaan saavuttaa korjaustiedostojen ja huoltopakettien avulla.

Muutokset ja erot standardista ISO 27002:2013

27002:2022/8.32 korvaa 27002:2013/(12.1.2, 14.2.2, 14.2.3, 14.2.4)

Kaiken kaikkiaan vuoden 2013 versio oli säätelevämpi kuin vuoden 2022 versio muutoksenhallintamenettelyjen vaatimusten osalta.

Näiden kahden version välillä on kolme keskeistä eroa.

ISO 27002:2013 -versio oli yksityiskohtaisempi sen suhteen, mitä "muutosmenettelyn" tulisi sisältää

Sekä versiossa 27002:2022 että 27002:2013 luetellaan, mitä "muutosmenettelyn" tulisi sisältää ei-tyhjentävästi.

Vuoden 2013 versio sisälsi kuitenkin seuraavat elementit, joihin ei viitattu vuoden 2022 versiossa:

• Turvallisuuskriittinen koodi tulee tunnistaa ja tarkistaa haavoittuvuuksien korjaamiseksi.
• Organisaatioiden tulee säilyttää versionhallinta kaikille ohjelmistopäivityksille.
• Organisaatioiden tulee tunnistaa ja dokumentoida luettelo kaikista laitteisto- ja ohjelmistokomponenteista, jotka tarvitsevat muutoksia ja päivityksiä.

Vuoden 2013 versio, jossa käsitellään "Muutoksia käyttöympäristöihin"

Ohjaus 14.2.3 versiossa 27002:2013 käsitteli, kuinka organisaatiot voivat minimoida haitalliset vaikutukset ja häiriöt liiketoimintaan, kun käyttöjärjestelmiin tehdään muutoksia.

Versio 27002:2022 sitä vastoin ei sisällä tällaisia ​​muutoksia koskevia vaatimuksia.

Vuoden 2013 versio, jossa käsitellään ohjelmistopakettien muutoksia

Ohjaus 14.2.4 versiossa 27002:2013 koskee "Ohjelmistopakettien muutoksia". Päinvastoin, versio 27002:2022 ei sisällä tällaisia ​​muutoksia koskevia vaatimuksia.

Uudet ISO 27002 -säätimet

Miten ISMS.online auttaa

Pilvipohjainen alustamme tarjoaa sinulle vankan tietoturvan hallintakehyksen, jotta voit tarkistaa ISMS-prosessisi edetessäsi varmistaaksesi, että se täyttää ISO 27000k:n vaatimukset.

Oikein käytettynä, ISMS. online voi auttaa sinua saamaan sertifioinnin mahdollisimman vähän aikaa ja resursseja käyttäen.

Ota yhteyttä jo tänään varaa esittely.