Valvonnan tarkoitus 8.4
. \ T ISO 27002, Control 8.4 määrittelee "lähdekoodin" taustalla olevaksi koodiksi, spesifikaatioiksi ja suunnitelmiksi, joita käytetään luomaan sovelluksia, ohjelmia ja prosesseja, jotka ovat organisaation itsensä omaisuutta.
Keskusteltaessa lähdekoodin pääsystä Control 8.4 pitää yhtä tärkeänä kehitystyökaluja (kääntäjät, testiympäristöt jne.).
Lähdekoodin hallinta on ainutlaatuinen riski mille tahansa organisaatiolle, jolla on tarvetta tallentaa se. Liiketoimintakriittisen lähdekoodin elementtejä ovat tuotantotiedot, suojatut konfiguraatiotiedot ja organisaation IP-osoitteet.
Ohjaus 8.4 on a ennaltaehkäisevä valvonta että muuttaa riskiä luomalla joukon taustalla olevia tietojen käyttöperiaatteita (organisaation laajemman pääsynhallintajärjestelmän mukaisesti), jotka hallitsevat luku-/kirjoitusoikeutta:
- Lähdekoodi
- Kehittämisvälineet
- Ohjelmistokirjastot
Attribuuttien ohjaustaulukko 8.4
| Ohjaus | Tietoturvaominaisuudet | Kyberturvallisuuden käsitteet | Toiminnalliset valmiudet | Turvallisuus Domains |
|---|---|---|---|---|
| #Ennaltaehkäisevä | #Luottamuksellisuus | #Suojella | #Identiteetti- ja käyttöoikeushallinta | #Suojaus |
| #Integrity | #Sovellusturvallisuus | |||
| #Saatavuus | #Suojattu määritys |
Määräysvallan omistus 8.4
Ohjaus 8.4 käsittelee organisaation kykyä hallita pääsyä liiketoimintakriittisiin tietoihin, jotka liittyvät lähdekoodiin, kehitystyökaluihin ja kaupallisesti arkaluontoisiin tietoihin, kuten ohjelmistokirjastoihin.
Sellaisenaan omistusoikeuden tulisi kuulua tietoturvapäällikölle (tai vastaavalle organisaatiolle), joka omistaa vastuu organisaation yleisestä tieto- ja tietoturvasta käytäntöjä.
Hanki 81 % etumatka
Olemme tehneet kovan työn puolestasi ja antavat sinulle 81 % etumatkan kirjautuessasi sisään.
Sinun tarvitsee vain täyttää tyhjät kohdat.
Yleiset valvontaohjeet 8.4
Control 8.4 kannattaa lähdekoodin hallintajärjestelmää, jonka avulla organisaatiot voivat keskitetysti hallinnoida pääsyä lähdekoodiin ja niiden muutoksia ICT-alueellaan.
Ohjaus 8.4 pyytää organisaatioita harkitsemaan pääsyä lähdekoodiin tiukoilla luku- ja/tai kirjoitusoikeuksilla, jotka perustuvat lähdekoodin luonteeseen, mistä sitä käytetään ja kuka sitä käyttää.
Pyrkiessään hallitsemaan pääsyä lähdekoodiin organisaatioiden tulee:
- Hallitse pääsyä lähdekoodiin julkaistujen menettelyjen mukaisesti.
- Tarjoa luku- ja/tai kirjoitusoikeus lähdekoodiin yhdessä selkeästi määriteltyjen liiketoimintavaatimusten kanssa tapauskohtaisesti tai käyttäjäkohtaisesti.
- Noudata selkeää joukkoa muutoksenhallintamenettelyt (katso Ohjaus 8.32), kun hallinnoidaan pääsyä lähdekoodiin, mukaan lukien asianmukainen valtuutus, joka perustuu useisiin käyttöoikeusmuuttujiin (käyttäjätyyppi, liiketoimintatapaus jne.).
- Estä suora pääsy kehittäjien toimesta lähdekoodista, ja sen sijaan tarjota käyttöoikeus useiden kehitystyökalujen avulla, jotka tarjoavat ylhäältä alas näkymän käyttöoikeuksista ja luku-/kirjoitusoikeuksista.
- Tarjoa suojattu tila ohjelmaluetteloiden ja luku-/kirjoitusoikeuksien tallentamista varten.
- Säilytä samanaikainen kirjausketju kaikista lähdekoodiin liittyvistä toiminnoista, mukaan lukien käyttäjien käyttöaikaleimat ja muutoksiin liittyvät toiminnot.
- Varmista, että kaikissa organisaation ulkopuolella julkaistavissa koodinpätöissä käytetään digitaalisia allekirjoituksia.
Ohjaimet tukevat
- 8.32
Vaatimustenmukaisuuden ei tarvitse olla monimutkaista.
Olemme tehneet kovan työn puolestasi ja antavat sinulle 81 % etumatkan kirjautuessasi sisään.
Sinun tarvitsee vain täyttää tyhjät kohdat.
Muutokset ja erot standardista ISO 27002:2013
27002:2022-8.4 replaces 27002:2014-9.4.5 (Pääsy lähdekoodiin), ja sisältää kolme pääeroa lähestymistavassa lähdekoodin hallintajärjestelmän perustamiseen (käsite, joka puuttuu versioista 27002:2014-9.4.5)
- Luku-/kirjoitusoikeuden tarjoaminen tiukkojen liiketoimintavaatimusten mukaisesti.
- Tarve tarjota kehittäjille epäsuora pääsy lähdekoodiin kehitystyökalujen ja/tai testiympäristöjen kautta.
- Tarve tehdä muutoksia lähdekoodin käyttötoimintoihin äskettäin julkaistujen muutoksenhallintamenettelyjen mukaisesti, jotka sisältyvät Control 8.32:een.
Uudet ISO 27002 -säätimet
Uudet hallintalaitteet
| ISO/IEC 27002:2022 Control Identifier | ISO/IEC 27002:2013 Control Identifier | Ohjausnimi |
|---|---|---|
| 5.7 | Uusi | Uhan älykkyys |
| 5.23 | Uusi | Tietoturva pilvipalvelujen käyttöön |
| 5.30 | Uusi | ICT-valmius liiketoiminnan jatkuvuuteen |
| 7.4 | Uusi | Fyysisen turvallisuuden valvonta |
| 8.9 | Uusi | Kokoonpanonhallinta |
| 8.10 | Uusi | Tietojen poistaminen |
| 8.11 | Uusi | Tietojen peittäminen |
| 8.12 | Uusi | Tietovuotojen esto |
| 8.16 | Uusi | Toimien seuranta |
| 8.23 | Uusi | Web-suodatus |
| 8.28 | Uusi | Turvallinen koodaus |
Organisaation valvonta
Ihmisten ohjaukset
| ISO/IEC 27002:2022 Control Identifier | ISO/IEC 27002:2013 Control Identifier | Ohjausnimi |
|---|---|---|
| 6.1 | 07.1.1 | Seulonta |
| 6.2 | 07.1.2 | Työsuhteen ehdot |
| 6.3 | 07.2.2 | Tietoturvatietoisuus, koulutus ja koulutus |
| 6.4 | 07.2.3 | Kurinpitoprosessi |
| 6.5 | 07.3.1 | Vastuut työsuhteen päättymisen tai muutoksen jälkeen |
| 6.6 | 13.2.4 | Luottamuksellisuus- tai salassapitosopimukset |
| 6.7 | 06.2.2 | Etätyö |
| 6.8 | 16.1.2, 16.1.3 | Tietoturvatapahtumaraportointi |
Fyysiset säätimet
| ISO/IEC 27002:2022 Control Identifier | ISO/IEC 27002:2013 Control Identifier | Ohjausnimi |
|---|---|---|
| 7.1 | 11.1.1 | Fyysisen turvallisuuden rajat |
| 7.2 | 11.1.2, 11.1.6 | Fyysinen sisääntulo |
| 7.3 | 11.1.3 | Toimistojen, huoneiden ja tilojen turvaaminen |
| 7.4 | Uusi | Fyysisen turvallisuuden valvonta |
| 7.5 | 11.1.4 | Suojautuminen fyysisiltä ja ympäristöuhkilta |
| 7.6 | 11.1.5 | Työskentely turvallisilla alueilla |
| 7.7 | 11.2.9 | Selkeä pöytä ja selkeä näyttö |
| 7.8 | 11.2.1 | Laitteiden sijoitus ja suojaus |
| 7.9 | 11.2.6 | Omaisuuden turvallisuus muualla kuin toimitiloissa |
| 7.10 | 08.3.1, 08.3.2, 08.3.3, 11.2.5 | Tallennusvälineet |
| 7.11 | 11.2.2 | Apuohjelmia tukevat |
| 7.12 | 11.2.3 | Kaapeloinnin turvallisuus |
| 7.13 | 11.2.4 | Laitehuolto |
| 7.14 | 11.2.7 | Laitteiden turvallinen hävittäminen tai uudelleenkäyttö |
Tekniset säädöt
Miten ISMS.online auttaa
ISMS.Online yksinkertaistaa täytäntöönpanoprosessi ISO 27002 tarjoamalla kaikki tarvittavat resurssit, tiedot ja työkalut yhdessä paikassa. Sen avulla voit luo ISMS muutamalla hiiren napsautuksella, mikä muuten kestäisi kauan, jos se tehdään manuaalisesti.
Haluatko nähdä sen toiminnassa?
Ota yhteyttä jo tänään varaa esittely.
Hyppää aiheeseen
