Tietojärjestelmien muutokset, kuten verkkolaitteen vaihtaminen, uuden tietokanta-ilmentymän luominen tai ohjelmiston päivittäminen, ovat usein tarpeen suorituskyvyn parantamiseksi, kustannusten pienentämiseksi ja tehokkuuden parantamiseksi.
Tällaiset tietojenkäsittelylaitteiden ja -järjestelmien muutokset voivat kuitenkin, jos niitä ei toteuteta asianmukaisesti, johtaa näihin laitteistoihin tallennettujen tai niiden käsittelemien tietovarojen vaarantumiseen.
Ohjaus 8.32 käsittelee sitä, kuinka organisaatiot voivat luoda ja soveltaa muutoksenhallintamenettelyjä tietojenkäsittelylaitteisiin ja -järjestelmiin tehtyjen muutosten seuraamiseksi, tarkistamiseksi ja hallitsemiseksi.
Ohjaus 8.32 antaa organisaatioille mahdollisuuden ylläpitää tietovarojen turvallisuutta tehdessään muutoksia tietojenkäsittelylaitteisiin ja -järjestelmiin laatimalla, toteuttamalla ja hallitsemalla muutoksenhallinnan sääntöjä ja menettelytapoja.
Valvonta 8.32 on luonteeltaan ennaltaehkäisevää. Se edellyttää, että organisaatiot määrittelevät, dokumentoivat, määrittävät ja panevat täytäntöön muutoksenhallintaprosessit, jotka hallitsevat tietojärjestelmien koko elinkaarta alkuperäisestä suunnittelusta käyttöönottoon ja käyttöön.
| Ohjaus | Tietoturvaominaisuudet | Kyberturvallisuuden käsitteet | Toiminnalliset valmiudet | Turvallisuus Domains |
|---|---|---|---|---|
| #Ennaltaehkäisevä | #Luottamuksellisuus #Integrity #Saatavuus | #Suojella | #Sovellusturvallisuus #Järjestelmä- ja verkkoturvallisuus | #Suojaus |
Ottaen huomioon, että Control 8.32:n noudattaminen edellyttää muutosten valvontamenettelyjen luomista ja täytäntöönpanoa, jotka koskevat tietojärjestelmien elinkaaren kaikkia vaiheita, tietoturvapäälliköiden tulisi alan asiantuntijoiden tuella olla vastuussa näiden menettelyjen suunnittelusta ja täytäntöönpanosta.
Kaikkiin tietojärjestelmiin tehtäviin merkittäviin muutoksiin ja uusien järjestelmien käyttöönottoon olisi sovellettava sovittuja sääntöjä ja menettelyjä. Nämä muutokset on määriteltävä virallisesti ja dokumentoitava. Lisäksi heidän tulee käydä läpi testaus- ja laadunvalvontaprosessit.
Varmistaakseen, että kaikki muutokset ovat muutosten hallinnan sääntöjen ja standardien mukaisia, organisaatioiden tulee osoittaa johtamisvastuut asianmukaiselle johdolle ja määrittää tarvittavat menettelyt.
Ohjaus 8.32 luettelee yhdeksän elementtiä, jotka tulisi sisällyttää muutoksenhallintamenettelyyn:
Lopuksi huomautetaan, että organisaatioiden tulisi integroida ohjelmistojen ja ICT-infrastruktuurin muutosten valvontamenettelyt mahdollisimman laajasti.
Muutokset tuotantoympäristöihin, kuten käyttöjärjestelmiin ja tietokantoihin, voivat vaarantaa sovellusten eheyden ja saatavuuden, erityisesti ohjelmistojen siirtämisen kehitystyöstä tuotantoympäristöön.
Toinen riski, jota organisaatioiden tulee olla varovaisia, on ohjelmistojen vaihtaminen tuotantoympäristössä voi aiheuttaa tahattomia seurauksia.
Näiden riskien ehkäisemiseksi organisaatioiden tulee suorittaa ICT-komponenttien testejä kehitys- ja tuotantoympäristöistä eristetyssä ympäristössä.
Tämä antaa organisaatioille mahdollisuuden hallita uusia ohjelmistoja paremmin ja tarjoaa ylimääräisen suojakerroksen testaustarkoituksiin käytettävälle todelliselle datalle. Tämä lisäsuoja voidaan saavuttaa korjaustiedostojen ja huoltopakettien avulla.
27002:2022/8.32 korvaa 27002:2013/(12.1.2, 14.2.2, 14.2.3, 14.2.4)
Kaiken kaikkiaan vuoden 2013 versio oli säätelevämpi kuin vuoden 2022 versio muutoksenhallintamenettelyjen vaatimusten osalta.
Näiden kahden version välillä on kolme keskeistä eroa.
Sekä versiossa 27002:2022 että 27002:2013 luetellaan, mitä "muutosmenettelyn" tulisi sisältää ei-tyhjentävästi.
Vuoden 2013 versio sisälsi kuitenkin seuraavat elementit, joihin ei viitattu vuoden 2022 versiossa:
Ohjaus 14.2.3 versiossa 27002:2013 käsitteli, kuinka organisaatiot voivat minimoida haitalliset vaikutukset ja häiriöt liiketoimintaan, kun käyttöjärjestelmiin tehdään muutoksia.
Versio 27002:2022 sitä vastoin ei sisällä tällaisia muutoksia koskevia vaatimuksia.
Ohjaus 14.2.4 versiossa 27002:2013 koskee "Ohjelmistopakettien muutoksia". Päinvastoin, versio 27002:2022 ei sisällä tällaisia muutoksia koskevia vaatimuksia.
Pilvipohjainen alustamme tarjoaa sinulle vankan tietoturvan hallintakehyksen, jotta voit tarkistaa ISMS-prosessisi edetessäsi varmistaaksesi, että se täyttää ISO 27000k:n vaatimukset.
Oikein käytettynä, ISMS. online voi auttaa sinua saamaan sertifioinnin mahdollisimman vähän aikaa ja resursseja käyttäen.
Ota yhteyttä jo tänään varaa esittely.
Varaa räätälöity käytännönläheinen istunto
tarpeidesi ja tavoitteidesi perusteella
Varaa esittelysi
| ISO/IEC 27002:2022 Control Identifier | ISO/IEC 27002:2013 Control Identifier | Ohjausnimi |
|---|---|---|
| 5.7 | Uusi | Uhan älykkyys |
| 5.23 | Uusi | Tietoturva pilvipalvelujen käyttöön |
| 5.30 | Uusi | ICT-valmius liiketoiminnan jatkuvuuteen |
| 7.4 | Uusi | Fyysisen turvallisuuden valvonta |
| 8.9 | Uusi | Kokoonpanonhallinta |
| 8.10 | Uusi | Tietojen poistaminen |
| 8.11 | Uusi | Tietojen peittäminen |
| 8.12 | Uusi | Tietovuotojen esto |
| 8.16 | Uusi | Toimien seuranta |
| 8.23 | Uusi | Web-suodatus |
| 8.28 | Uusi | Turvallinen koodaus |
| ISO/IEC 27002:2022 Control Identifier | ISO/IEC 27002:2013 Control Identifier | Ohjausnimi |
|---|---|---|
| 6.1 | 07.1.1 | Seulonta |
| 6.2 | 07.1.2 | Työsuhteen ehdot |
| 6.3 | 07.2.2 | Tietoturvatietoisuus, koulutus ja koulutus |
| 6.4 | 07.2.3 | Kurinpitoprosessi |
| 6.5 | 07.3.1 | Vastuut työsuhteen päättymisen tai muutoksen jälkeen |
| 6.6 | 13.2.4 | Luottamuksellisuus- tai salassapitosopimukset |
| 6.7 | 06.2.2 | Etätyö |
| 6.8 | 16.1.2, 16.1.3 | Tietoturvatapahtumaraportointi |
| ISO/IEC 27002:2022 Control Identifier | ISO/IEC 27002:2013 Control Identifier | Ohjausnimi |
|---|---|---|
| 7.1 | 11.1.1 | Fyysisen turvallisuuden rajat |
| 7.2 | 11.1.2, 11.1.6 | Fyysinen sisääntulo |
| 7.3 | 11.1.3 | Toimistojen, huoneiden ja tilojen turvaaminen |
| 7.4 | Uusi | Fyysisen turvallisuuden valvonta |
| 7.5 | 11.1.4 | Suojautuminen fyysisiltä ja ympäristöuhkilta |
| 7.6 | 11.1.5 | Työskentely turvallisilla alueilla |
| 7.7 | 11.2.9 | Selkeä pöytä ja selkeä näyttö |
| 7.8 | 11.2.1 | Laitteiden sijoitus ja suojaus |
| 7.9 | 11.2.6 | Omaisuuden turvallisuus muualla kuin toimitiloissa |
| 7.10 | 08.3.1, 08.3.2, 08.3.3, 11.2.5 | Tallennusvälineet |
| 7.11 | 11.2.2 | Apuohjelmia tukevat |
| 7.12 | 11.2.3 | Kaapeloinnin turvallisuus |
| 7.13 | 11.2.4 | Laitehuolto |
| 7.14 | 11.2.7 | Laitteiden turvallinen hävittäminen tai uudelleenkäyttö |
