Turvallisten tietojärjestelmien varmistaminen auditointien aikana: ISO 27002 Control 8.34 Selitetty
Tarkastustesteillä on ratkaiseva rooli tietojärjestelmien tietoturvariskien ja haavoittuvuuksien havaitsemisessa ja eliminoinnissa.
Kuitenkin, tarkastusprosessi, suoritettiinpa ne käyttö-, testaus- tai kehitysympäristöissä, voivat altistaa arkaluontoiset tiedot luvattoman paljastamisen tai eheyden ja saatavuuden menettämisen riskeille.
Ohjaus 8.34 käsittelee sitä, kuinka organisaatiot voivat ylläpitää tietovarojen turvallisuutta tarkastustestien aikana.
Valvonnan tarkoitus 8.34
Control 8.34 antaa organisaatioille mahdollisuuden eliminoida ja lieventää riskejä tietojärjestelmien turvallisuus sekä liiketoiminnan jatkuvuutta ottamalla käyttöön ja soveltamalla sopivia toimenpiteitä ja valvontaa, kuten pääsyrajoituksia ja vain luku -käyttörajoituksia.
Attribuuttien ohjaustaulukko 8.34
Valvonta 8.34 on luonteeltaan ennaltaehkäisevää, koska se edellyttää ylempi johto ja tilintarkastaja suunnittelemaan ja sopia tarkastustestauksesta menettelyt, rajoitukset ja tarkastukset ennen auditointeja.
| Ohjaus | Tietoturvaominaisuudet | Kyberturvallisuuden käsitteet | Toiminnalliset valmiudet | Turvallisuus Domains |
|---|---|---|---|---|
| #Ennaltaehkäisevä | #Luottamuksellisuus | #Suojella | #Järjestelmä- ja verkkoturvallisuus | #Hallinto ja ekosysteemi |
| #Integrity | #Tiedon suojaus | #Suojaus | ||
| #Saatavuus |
ISO 27001 helposti
81 %:n etumatka ensimmäisestä päivästä lähtien
Olemme tehneet kovan työn puolestasi ja antavat sinulle 81 % etumatkan kirjautuessasi sisään. Sinun tarvitsee vain täyttää tyhjät kohdat.
Määräysvallan omistus 8.34
IT johtoryhmän tulee olla vastuussa tarkastusmenettelyjen suunnittelusta ja sopia niistä sekä luoda ja soveltaa tarvittavia toimenpiteitä.
Yleiset noudattamisohjeet
Ohjauskohdassa 8.34 luetellaan kahdeksan erityistä vaatimusta, jotka organisaatioiden tulee ottaa huomioon:
- Asianmukaisen johdon ja tilintarkastajan tulee sopia pääsystä järjestelmiin ja tietovaroihin.
- Sopimus suoritettavien teknisten tarkastustestien laajuudesta.
- Organisaatiot voivat tarjota vain luku -käyttöoikeuden tietoihin ja ohjelmistoihin. Jos ei ole mahdollista käyttää vain luku -tekniikkaa, järjestelmänvalvoja, jolla on tarvittavat käyttöoikeudet, voi päästä järjestelmiin tai tietoihin tarkastajan puolesta.
- Jos pääsypyyntö hyväksytään, organisaatioiden tulee ensin varmistaa, että järjestelmiin pääsyyn käytetyt laitteet täyttävät turvallisuusvaatimukset, ennen kuin ne tarjoavat pääsyn.
- Pääsy tulee tarjota vain yksittäisille kopioille järjestelmästä puretuista tiedostoista. Nämä kopiot on poistettava pysyvästi, kun tarkastus on valmis, ellei niitä ole pakko säilyttää. Jos vain luku -käyttö on mahdollista, tämä ohjaus ei ole voimassa.
- Johdon tulee sopia tarkastajien pyynnöistä suorittaa erityiskäsittely, kuten auditointityökalujen käyttöönotto.
- Jos auditointi on vaarassa vaikuttaa järjestelmän käytettävyyteen, tarkastus tulisi suorittaa aukioloaikojen ulkopuolella tietojen saatavuuden ylläpitämiseksi.
- Pääsypyynnöt tehty auditointeja varten, tulee kirjata kirjausketjua varten.
Valvontaa koskevat lisäohjeet 8.34
Kun auditointeja suoritetaan testaus- tai kehitysympäristöissä, organisaatioiden tulee olla varovaisia seuraavien riskien varalta:
- Koodin eheyden vaarantaminen.
- Arkaluonteisten tietojen luottamuksellisuuden menettäminen.
Hallitse kaikkea vaatimustenmukaisuuttasi yhdessä paikassa
ISMS.online tukee yli 100 standardia ja sääntöä, mikä tarjoaa sinulle yhden alustan kaikkiin vaatimustenmukaisuustarpeisiisi.
Muutokset ja erot standardista ISO 27002:2013
27002:2022/8.34 replaces 27002:2013/(12.7.1)
Vaikka vuoden 2022 versio on suurelta osin samanlainen kuin vuoden 2013 versio, siinä on kaksi keskeistä eroa.
ISO 27002:2022 -versio sisältää uuden vaatimuksen
Vuoden 2022 versio sisältää seuraavan vaatimuksen, johon ei viitattu vuoden 2013 versiossa:
Jos pääsypyyntö hyväksytään, organisaatioiden tulee ensin varmistaa, että järjestelmiin pääsyyn käytetyt laitteet täyttävät turvallisuusvaatimukset, ennen kuin ne tarjoavat pääsyn.
2022-versio koskee testaus- ja kehitysympäristöjä
Täydentävässä ohjeessa vuoden 2022 versio varoittaa organisaatioita varomasta turvallisuusriskit testaus- ja kehitysympäristöissä tehtyjen auditointien vuoksi. Vuoden 2013 versio ei päinvastoin viitannut testaus- ja kehitysympäristöihin.
Uudet ISO 27002 -säätimet
| ISO/IEC 27002:2022 Control Identifier | ISO/IEC 27002:2013 Control Identifier | Ohjausnimi |
|---|---|---|
| 5.7 | UUSI | Uhan älykkyys |
| 5.23 | UUSI | Tietoturva pilvipalvelujen käyttöön |
| 5.30 | UUSI | ICT-valmius liiketoiminnan jatkuvuuteen |
| 7.4 | UUSI | Fyysisen turvallisuuden valvonta |
| 8.9 | UUSI | Kokoonpanonhallinta |
| 8.10 | UUSI | Tietojen poistaminen |
| 8.11 | UUSI | Tietojen peittäminen |
| 8.12 | UUSI | Tietovuotojen esto |
| 8.16 | UUSI | Toimien seuranta |
| 8.23 | UUSI | Web-suodatus |
| 8.28 | UUSI | Turvallinen koodaus |
| ISO/IEC 27002:2022 Control Identifier | ISO/IEC 27002:2013 Control Identifier | Ohjausnimi |
|---|---|---|
| 6.1 | 07.1.1 | Seulonta |
| 6.2 | 07.1.2 | Työsuhteen ehdot |
| 6.3 | 07.2.2 | Tietoturvatietoisuus, koulutus ja koulutus |
| 6.4 | 07.2.3 | Kurinpitoprosessi |
| 6.5 | 07.3.1 | Vastuut työsuhteen päättymisen tai muutoksen jälkeen |
| 6.6 | 13.2.4 | Luottamuksellisuus- tai salassapitosopimukset |
| 6.7 | 06.2.2 | Etätyö |
| 6.8 | 16.1.2, 16.1.3 | Tietoturvatapahtumaraportointi |
| ISO/IEC 27002:2022 Control Identifier | ISO/IEC 27002:2013 Control Identifier | Ohjausnimi |
|---|---|---|
| 7.1 | 11.1.1 | Fyysisen turvallisuuden rajat |
| 7.2 | 11.1.2, 11.1.6 | Fyysinen sisääntulo |
| 7.3 | 11.1.3 | Toimistojen, huoneiden ja tilojen turvaaminen |
| 7.4 | UUSI | Fyysisen turvallisuuden valvonta |
| 7.5 | 11.1.4 | Suojautuminen fyysisiltä ja ympäristöuhkilta |
| 7.6 | 11.1.5 | Työskentely turvallisilla alueilla |
| 7.7 | 11.2.9 | Selkeä pöytä ja selkeä näyttö |
| 7.8 | 11.2.1 | Laitteiden sijoitus ja suojaus |
| 7.9 | 11.2.6 | Omaisuuden turvallisuus muualla kuin toimitiloissa |
| 7.10 | 08.3.1, 08.3.2, 08.3.3, 11.2.5 | Tallennusvälineet |
| 7.11 | 11.2.2 | Apuohjelmia tukevat |
| 7.12 | 11.2.3 | Kaapeloinnin turvallisuus |
| 7.13 | 11.2.4 | Laitehuolto |
| 7.14 | 11.2.7 | Laitteiden turvallinen hävittäminen tai uudelleenkäyttö |
Miten ISMS.online auttaa
ISO 27002 käyttöönotto on yksinkertaisempaa vaiheittaisella tarkistuslistallamme, joka opastaa sinut koko prosessin läpi ISMS:si laajuuden määrittämisestä riskien tunnistamiseen ja valvonnan toteutukseen.
Meidän alustamme on intuitiivinen ja helppokäyttöinen. Se ei ole vain erittäin teknisille ihmisille; se on kaikille organisaatiossasi. Suosittelemme ottamaan henkilöstöä yrityksesi kaikilla tasoilla mukaan rakentamisprosessiin ISMS, koska se auttaa sinua rakentamaan todella kestävän järjestelmän.
Ota yhteyttä jo tänään varaa esittely.
