- sien ISO 27002:2022 Beheer 8.29 vir meer inligting.
- sien ISO 27001:2013 Bylae A 14.2.8 vir meer inligting.
- sien ISO 27001:2013 Bylae A 14.2.9 vir meer inligting.
Verseker veilige ontwikkeling: ISO 27001 Bylae A 8.29 Sekuriteitstoets verduidelik
Kubermisdadigers bedink voortdurend nuwe metodes en verbeter hul taktiek om korporatiewe netwerke te oortree en toegang tot vertroulike data te verkry.
Kubermisdadigers kan 'n fout wat verband hou met die verifikasieproses in die bronkode uitbuit om netwerke te breek. Boonop kan hulle eindgebruikers aan die kliëntkant probeer oorreed om dinge te doen wat hulle in staat sal stel om toegang tot data te verkry, netwerke te infiltreer of losprysware-aanvalle uit te voer.
As 'n toepassing, sagteware of IT-stelsel met kwesbaarhede ontplooi word, sal dit sensitiewe inligting in gevaar stel om gekompromitteer te word.
Organisasies behoort 'n toepaslike sekuriteitstoetsproses op te stel en uit te voer om enige kwesbaarhede in IT-stelsels te identifiseer en aan te spreek voordat dit in die werklike wêreld ontplooi word.
Doel van ISO 27001:2022 Bylae A 8.29
Die ISO 27001: 2022 Aanhangsel A Beheer 8.29 laat organisasies toe om te verseker dat aan alle sekuriteitsvereistes voldoen word wanneer nuwe toepassings, databasisse, sagteware of kode geïmplementeer word. Dit word gedoen deur 'n deeglike sekuriteitstoetsproses te skep en te volg.
Organisasies kan potensiële swakhede in hul kode, netwerke, bedieners, toepassings en ander IT-stelsels identifiseer en verwyder voor implementering in die werklike wêreld.
Eienaarskap van Bylae A 8.29
Die Inligtingssekerheidsbeampte moet verseker dat ISO 27001:2022 Bylae A Beheer 8.29 nagekom word, wat die vestiging, instandhouding en implementering van 'n sekuriteitstoetsprosedure vereis wat alle nuwe inligtingstelsels dek, ongeag of hulle intern of deur derde partye geskep is.
ISO 27001 maklik gemaak
'n Voorsprong van 81% van dag een af
Ons het die harde werk vir jou gedoen, wat jou 'n voorsprong van 81% gee vanaf die oomblik dat jy aanmeld. Al wat jy hoef te doen is om die spasies in te vul.
Algemene riglyne oor ISO 27001:2022 Bylae A 8.29 Voldoening
Organisasies moet sekuriteitstoetsing in die toetsproses vir alle stelsels inkorporeer, en verseker dat alle nuwe inligtingstelsels, sowel as hul nuwe/bygewerkte weergawes, aan inligtingsekuriteitsvereistes voldoen wanneer hulle in die produksie-omgewing is.
ISO 27001:2022 Bylae A Beheer 8.29 beskryf drie elemente as noodsaaklike komponente van sekuriteitstoetsing:
- Verseker sekuriteit deur gebruiker-verifikasie in ooreenstemming met ISO 27001:2022 Bylae A 8.5, toegangsbeperking in ooreenstemming met ISO 27001:2022 Bylae A 8.3, en kriptografie volgens ISO 27001:2022 Bylae A 8.24.
- Maak seker dat kode veilig geskryf is in ooreenstemming met die ISO 27001:2022 Bylae A 8.28.
- Maak seker konfigurasies voldoen aan die vereistes uiteengesit in Bylae A 8.9, 8.20 en 8.22, wat brandmure en bedryfstelsels kan behels.
Wat moet 'n toetsplan insluit?
By die opstel van sekuriteitstoetsplanne moet organisasies die dringendheid en karakter van die betrokke inligtingstelsel in ag neem.
Hierdie sekuriteitstoetsplan moet die volgende elemente insluit:
- Vorm 'n omvattende agenda vir die ondernemings en die toetse wat onderneem moet word.
- Verwagte uitkomste wanneer sekere voorwaardes nagekom word, sluit beide insette en uitsette in.
- Kriteria vir die assessering van die uitkomste moet vasgestel word.
- Sodra die resultate verkry is, kan besluite geneem word oor watter stappe geneem moet word.
In-Huis Ontwikkeling
Die interne ontwikkelingspan behoort die aanvanklike sekuriteitstoetse uit te voer om te verseker dat die IT-stelsel aan sekuriteitspesifikasies voldoen.
'n Eerste rondte van toetsing moet uitgevoer word, gevolg deur onafhanklike aanvaardingstoetsing in ooreenstemming met ISO 27001:2022 Bylae A 5.8.
Wat interne ontwikkeling betref, moet die volgende in ag geneem word:
- Voer kode-oorsig uit om sekuriteitskwessies te identifiseer en aan te spreek, wat verwagte insette en situasies insluit.
- Voer kwesbaarheidskanderings uit om onveilige instellings en ander potensiële swakhede te identifiseer.
- Uitvoer van penetrasietoetse om swak kodering en ontwerp te identifiseer.
Uitkontraktering
Organisasies behoort te voldoen aan 'n streng verkrygingsprosedure wanneer hulle ontwikkeling delegeer of aankoop IT-elemente van eksterne bronne.
Organisasies moet 'n kontrak met hul verskaffers aangaan wat voldoen aan die inligtingsekuriteitskriteria uiteengesit in ISO 27001:2022 Bylae A 5.20.
Organisasies moet waarborg dat die goedere en dienste wat hulle verkry in lyn is met die sekuriteitstandaarde vir inligtingsekuriteit.
Aanvullende leiding oor ISO 27001:2022 Bylae A 8.29
Organisasies kan verskeie toetsomgewings genereer om 'n reeks toetse te onderneem, insluitend funksionele, nie-funksionele en prestasies. Hulle kan virtuele toetsomgewings skep, dit konfigureer om IT-stelsels in verskillende operasionele instellings te toets, en hulle dienooreenkomstig verfyn.
Bylae A 8.29 beklemtoon die behoefte aan effektiewe sekuriteitstoetsing, wat organisasies noodsaak om die toetsomgewings, gereedskap en tegnologie te toets en toesig te hou.
Organisasies moet die vlak van sensitiwiteit en belangrikheid oorweeg wanneer hulle besluit hoeveel lae metatoetsing om te gebruik.
Bevry jouself van 'n berg sigblaaie
Integreer, brei uit en skaal jou nakoming, sonder die gemors. IO gee jou die veerkragtigheid en vertroue om veilig te groei.
Veranderinge en verskille vanaf ISO 27001:2013
ISO 27001:2022 Bylae A 8.29 vervang ISO 27001:2013 Bylae A 14.2.8 en 14.2.9 in die nuutste hersiening.
Strukturele veranderinge
Die ISO 27001: 2022 konsolideer veilige toetsing in een kontrole, in teenstelling met ISO 27001:2013, wat verwys na veilige toetsing in twee verskillende kontroles; Stelselveiligheidstoetsing (Bylae A 14.2.8) en Stelselaanvaardingstoetsing (Bylae A 14.2.9).
ISO 27001:2022 Bylae A 8.29 bring meer omvattende vereistes
In teenstelling met ISO 27001:2013, bevat die ISO 27001:2022-hersiening meer omvattende vereistes en advies oor:
- 'n Sekuriteitstoetsplan wat 'n verskeidenheid elemente moet insluit.
- Kriteria vir die assessering van sekuriteit wanneer IT-stelsels intern ontwikkel word.
- Wat moet by die sekuriteitstoetsproses ingesluit word.
- Die gebruik van verskeie toetsomgewings is noodsaaklik. Dit verseker deeglikheid en akkuraatheid in die proses.
ISO 27001:2013 was meer gedetailleerd in verband met aanvaardingstoetsing
In teenstelling met ISO 27001:2022, was ISO 27001:2013 meer gedetailleerd oor stelselaanvaardingstoetsing. Dit het sekuriteitstoetse vir inkomende komponente en die gebruik van outomatiese gereedskap ingesluit.
Tabel van alle ISO 27001:2022 Bylae A-kontroles
In die tabel hieronder sal jy meer inligting oor elke individuele ISO 27001:2022 Bylae A Beheer vind.
| Bylae A Beheertipe | ISO/IEC 27001:2022 Bylae A Identifiseerder | ISO/IEC 27001:2013 Bylae A Identifiseerder | Bylae A Naam |
|---|---|---|---|
| Organisatoriese kontroles | Bylae A 5.1 |
Bylae A 5.1.1 Bylae A 5.1.2 |
Beleide vir inligtingsekuriteit |
| Organisatoriese kontroles | Bylae A 5.2 | Bylae A 6.1.1 | Rolle en verantwoordelikhede vir inligtingsekuriteit |
| Organisatoriese kontroles | Bylae A 5.3 | Bylae A 6.1.2 | Skeiding van pligte |
| Organisatoriese kontroles | Bylae A 5.4 | Bylae A 7.2.1 | Bestuursverantwoordelikhede |
| Organisatoriese kontroles | Bylae A 5.5 | Bylae A 6.1.3 | Kontak met owerhede |
| Organisatoriese kontroles | Bylae A 5.6 | Bylae A 6.1.4 | Kontak met spesiale belangegroepe |
| Organisatoriese kontroles | Bylae A 5.7 | NUWE | Bedreiging Intelligensie |
| Organisatoriese kontroles | Bylae A 5.8 |
Bylae A 6.1.5 Bylae A 14.1.1 |
Inligtingsekuriteit in projekbestuur |
| Organisatoriese kontroles | Bylae A 5.9 |
Bylae A 8.1.1 Bylae A 8.1.2 |
Inventaris van inligting en ander geassosieerde bates |
| Organisatoriese kontroles | Bylae A 5.10 |
Bylae A 8.1.3 Bylae A 8.2.3 |
Aanvaarbare gebruik van inligting en ander geassosieerde bates |
| Organisatoriese kontroles | Bylae A 5.11 | Bylae A 8.1.4 | Teruggawe van bates |
| Organisatoriese kontroles | Bylae A 5.12 | Bylae A 8.2.1 | Klassifikasie van inligting |
| Organisatoriese kontroles | Bylae A 5.13 | Bylae A 8.2.2 | Etikettering van inligting |
| Organisatoriese kontroles | Bylae A 5.14 |
Bylae A 13.2.1 Bylae A 13.2.2 Bylae A 13.2.3 |
Inligtingsoordrag |
| Organisatoriese kontroles | Bylae A 5.15 |
Bylae A 9.1.1 Bylae A 9.1.2 |
Toegangsbeheer |
| Organisatoriese kontroles | Bylae A 5.16 | Bylae A 9.2.1 | Identiteitsbestuur |
| Organisatoriese kontroles | Bylae A 5.17 |
Bylae A 9.2.4 Bylae A 9.3.1 Bylae A 9.4.3 |
Verifikasie inligting |
| Organisatoriese kontroles | Bylae A 5.18 |
Bylae A 9.2.2 Bylae A 9.2.5 Bylae A 9.2.6 |
Toegangsregte |
| Organisatoriese kontroles | Bylae A 5.19 | Bylae A 15.1.1 | Inligtingsekuriteit in Verskaffersverhoudings |
| Organisatoriese kontroles | Bylae A 5.20 | Bylae A 15.1.2 | Aanspreek van inligtingsekuriteit binne verskaffersooreenkomste |
| Organisatoriese kontroles | Bylae A 5.21 | Bylae A 15.1.3 | Bestuur van inligtingsekuriteit in die IKT-voorsieningsketting |
| Organisatoriese kontroles | Bylae A 5.22 |
Bylae A 15.2.1 Bylae A 15.2.2 |
Monitering, hersiening en veranderingsbestuur van verskafferdienste |
| Organisatoriese kontroles | Bylae A 5.23 | NUWE | Inligtingsekuriteit vir gebruik van wolkdienste |
| Organisatoriese kontroles | Bylae A 5.24 | Bylae A 16.1.1 | Beplanning en voorbereiding van inligtingsekuriteitsinsidentbestuur |
| Organisatoriese kontroles | Bylae A 5.25 | Bylae A 16.1.4 | Assessering en besluit oor inligtingsekuriteitsgebeurtenisse |
| Organisatoriese kontroles | Bylae A 5.26 | Bylae A 16.1.5 | Reaksie op inligtingsekuriteitsinsidente |
| Organisatoriese kontroles | Bylae A 5.27 | Bylae A 16.1.6 | Leer uit inligtingsekuriteitsinsidente |
| Organisatoriese kontroles | Bylae A 5.28 | Bylae A 16.1.7 | Versameling van bewyse |
| Organisatoriese kontroles | Bylae A 5.29 |
Bylae A 17.1.1 Bylae A 17.1.2 Bylae A 17.1.3 |
Inligtingsekuriteit tydens ontwrigting |
| Organisatoriese kontroles | Bylae A 5.30 | NUWE | IKT-gereedheid vir besigheidskontinuïteit |
| Organisatoriese kontroles | Bylae A 5.31 |
Bylae A 18.1.1 Bylae A 18.1.5 |
Wetlike, statutêre, regulatoriese en kontraktuele vereistes |
| Organisatoriese kontroles | Bylae A 5.32 | Bylae A 18.1.2 | Intellektuele eiendomsregte |
| Organisatoriese kontroles | Bylae A 5.33 | Bylae A 18.1.3 | Beskerming van rekords |
| Organisatoriese kontroles | Bylae A 5.34 | Bylae A 18.1.4 | Privaatheid en beskerming van PII |
| Organisatoriese kontroles | Bylae A 5.35 | Bylae A 18.2.1 | Onafhanklike oorsig van inligtingsekuriteit |
| Organisatoriese kontroles | Bylae A 5.36 |
Bylae A 18.2.2 Bylae A 18.2.3 |
Voldoening aan beleide, reëls en standaarde vir inligtingsekuriteit |
| Organisatoriese kontroles | Bylae A 5.37 | Bylae A 12.1.1 | Gedokumenteerde bedryfsprosedures |
| Bylae A Beheertipe | ISO/IEC 27001:2022 Bylae A Identifiseerder | ISO/IEC 27001:2013 Bylae A Identifiseerder | Bylae A Naam |
|---|---|---|---|
| Mense beheer | Bylae A 6.1 | Bylae A 7.1.1 | Screening |
| Mense beheer | Bylae A 6.2 | Bylae A 7.1.2 | Terme en diensvoorwaardes |
| Mense beheer | Bylae A 6.3 | Bylae A 7.2.2 | Bewusmaking, onderwys en opleiding van inligtingsekuriteit |
| Mense beheer | Bylae A 6.4 | Bylae A 7.2.3 | Dissiplinêre Proses |
| Mense beheer | Bylae A 6.5 | Bylae A 7.3.1 | Verantwoordelikhede na beëindiging of verandering van diens |
| Mense beheer | Bylae A 6.6 | Bylae A 13.2.4 | Vertroulikheid of nie-openbaarmakingsooreenkomste |
| Mense beheer | Bylae A 6.7 | Bylae A 6.2.2 | Afstand werk |
| Mense beheer | Bylae A 6.8 |
Bylae A 16.1.2 Bylae A 16.1.3 |
Rapportering van inligtingsekuriteitsgebeurtenisse |
| Bylae A Beheertipe | ISO/IEC 27001:2022 Bylae A Identifiseerder | ISO/IEC 27001:2013 Bylae A Identifiseerder | Bylae A Naam |
|---|---|---|---|
| Fisiese beheer | Bylae A 7.1 | Bylae A 11.1.1 | Fisiese sekuriteitsgrense |
| Fisiese beheer | Bylae A 7.2 |
Bylae A 11.1.2 Bylae A 11.1.6 |
Fisiese toegang |
| Fisiese beheer | Bylae A 7.3 | Bylae A 11.1.3 | Beveiliging van kantore, kamers en fasiliteite |
| Fisiese beheer | Bylae A 7.4 | NUWE | Fisiese sekuriteitsmonitering |
| Fisiese beheer | Bylae A 7.5 | Bylae A 11.1.4 | Beskerming teen fisiese en omgewingsbedreigings |
| Fisiese beheer | Bylae A 7.6 | Bylae A 11.1.5 | Werk in veilige gebiede |
| Fisiese beheer | Bylae A 7.7 | Bylae A 11.2.9 | Duidelike lessenaar en duidelike skerm |
| Fisiese beheer | Bylae A 7.8 | Bylae A 11.2.1 | Toerustingopstelling en beskerming |
| Fisiese beheer | Bylae A 7.9 | Bylae A 11.2.6 | Sekuriteit van bates buite die perseel |
| Fisiese beheer | Bylae A 7.10 |
Bylae A 8.3.1 Bylae A 8.3.2 Bylae A 8.3.3 Bylae A 11.2.5 |
Berging media |
| Fisiese beheer | Bylae A 7.11 | Bylae A 11.2.2 | Ondersteunende nutsprogramme |
| Fisiese beheer | Bylae A 7.12 | Bylae A 11.2.3 | Bekabeling sekuriteit |
| Fisiese beheer | Bylae A 7.13 | Bylae A 11.2.4 | Onderhoud van toerusting |
| Fisiese beheer | Bylae A 7.14 | Bylae A 11.2.7 | Veilige wegdoening of hergebruik van toerusting |
| Bylae A Beheertipe | ISO/IEC 27001:2022 Bylae A Identifiseerder | ISO/IEC 27001:2013 Bylae A Identifiseerder | Bylae A Naam |
|---|---|---|---|
| Tegnologiese kontroles | Bylae A 8.1 |
Bylae A 6.2.1 Bylae A 11.2.8 |
Gebruikerseindpunttoestelle |
| Tegnologiese kontroles | Bylae A 8.2 | Bylae A 9.2.3 | Bevoorregte toegangsregte |
| Tegnologiese kontroles | Bylae A 8.3 | Bylae A 9.4.1 | Inligtingtoegangbeperking |
| Tegnologiese kontroles | Bylae A 8.4 | Bylae A 9.4.5 | Toegang tot bronkode |
| Tegnologiese kontroles | Bylae A 8.5 | Bylae A 9.4.2 | Veilige verifikasie |
| Tegnologiese kontroles | Bylae A 8.6 | Bylae A 12.1.3 | Kapasiteitsbestuur |
| Tegnologiese kontroles | Bylae A 8.7 | Bylae A 12.2.1 | Beskerming teen wanware |
| Tegnologiese kontroles | Bylae A 8.8 |
Bylae A 12.6.1 Bylae A 18.2.3 |
Bestuur van Tegniese Kwesbaarhede |
| Tegnologiese kontroles | Bylae A 8.9 | NUWE | Konfigurasiebestuur |
| Tegnologiese kontroles | Bylae A 8.10 | NUWE | Inligting skrap |
| Tegnologiese kontroles | Bylae A 8.11 | NUWE | Datamaskering |
| Tegnologiese kontroles | Bylae A 8.12 | NUWE | Voorkoming van datalekkasies |
| Tegnologiese kontroles | Bylae A 8.13 | Bylae A 12.3.1 | Inligting rugsteun |
| Tegnologiese kontroles | Bylae A 8.14 | Bylae A 17.2.1 | Oortolligheid van inligtingsverwerkingsfasiliteite |
| Tegnologiese kontroles | Bylae A 8.15 |
Bylae A 12.4.1 Bylae A 12.4.2 Bylae A 12.4.3 |
Logging |
| Tegnologiese kontroles | Bylae A 8.16 | NUWE | Moniteringsaktiwiteite |
| Tegnologiese kontroles | Bylae A 8.17 | Bylae A 12.4.4 | Kloksynchronisasie |
| Tegnologiese kontroles | Bylae A 8.18 | Bylae A 9.4.4 | Gebruik van Bevoorregte Nutsdiensteprogramme Toegangsregte |
| Tegnologiese kontroles | Bylae A 8.19 |
Bylae A 12.5.1 Bylae A 12.6.2 |
Installering van sagteware op bedryfstelsels |
| Tegnologiese kontroles | Bylae A 8.20 | Bylae A 13.1.1 | Netwerksekuriteit |
| Tegnologiese kontroles | Bylae A 8.21 | Bylae A 13.1.2 | Sekuriteit van netwerkdienste |
| Tegnologiese kontroles | Bylae A 8.22 | Bylae A 13.1.3 | Skeiding van netwerke |
| Tegnologiese kontroles | Bylae A 8.23 | NUWE | Webfiltrering |
| Tegnologiese kontroles | Bylae A 8.24 |
Bylae A 10.1.1 Bylae A 10.1.2 |
Gebruik van kriptografie |
| Tegnologiese kontroles | Bylae A 8.25 | Bylae A 14.2.1 | Veilige ontwikkelingslewensiklus |
| Tegnologiese kontroles | Bylae A 8.26 |
Bylae A 14.1.2 Bylae A 14.1.3 |
Toepassingsekuriteitsvereistes |
| Tegnologiese kontroles | Bylae A 8.27 | Bylae A 14.2.5 | Veilige Stelselargitektuur en IngenieursbeginselsLeer uit Inligtingsekuriteitsvoorvalle |
| Tegnologiese kontroles | Bylae A 8.28 | NUWE | Veilige kodering |
| Tegnologiese kontroles | Bylae A 8.29 |
Bylae A 14.2.8 Bylae A 14.2.9 |
Sekuriteitstoetsing in ontwikkeling en aanvaarding |
| Tegnologiese kontroles | Bylae A 8.30 | Bylae A 14.2.7 | Uitgekontrakteerde Ontwikkeling |
| Tegnologiese kontroles | Bylae A 8.31 |
Bylae A 12.1.4 Bylae A 14.2.6 |
Skeiding van ontwikkeling-, toets- en produksie-omgewings |
| Tegnologiese kontroles | Bylae A 8.32 |
Bylae A 12.1.2 Bylae A 14.2.2 Bylae A 14.2.3 Bylae A 14.2.4 |
Veranderings bestuur |
| Tegnologiese kontroles | Bylae A 8.33 | Bylae A 14.3.1 | Toets inligting |
| Tegnologiese kontroles | Bylae A 8.34 | Bylae A 12.7.1 | Beskerming van inligtingstelsels tydens oudittoetsing |
Hoe ISMS.online Help
ISMS.online vereenvoudig die ISO 27001:2022-implementeringsproses deur 'n gesofistikeerde wolk-gebaseerde raamwerk, wat dokumentasie van inligtingsekuriteitbestuurstelselprosesse en kontrolelyste verskaf om verenigbaarheid met aanvaarde standaarde te verseker.
Kontak ons by reël 'n demonstrasie.