- sien ISO 27002:2022 Beheer 8.31 vir meer inligting.
- sien ISO 27001:2013 Bylae A 12.1.4 vir meer inligting.
- sien ISO 27001:2013 Bylae A 14.2.6 vir meer inligting.
ISO 27001 Bylae A 8.31: Waarom die skeiding van ontwikkeling-, toets- en produksie-omgewings krities is
Versuim om ontwikkeling-, toets- en produksieomgewings akkuraat te skei, kan lei tot 'n verlies aan beskikbaarheid, vertroulikheid en integriteit van inligtingsbates.
Uber het byvoorbeeld verkeerdelik 'n kodebewaarplek op Github opgestel wat wagwoorde van hul produksie-omgewing ingesluit het, en sodoende die vertroulikheid van sensitiewe data in die gedrang bring.
Organisasies moet geskikte protokolle en regulasies daarstel om ontwikkeling, toetsing en produksie-instellings stewig te skei om sekuriteitsgevare uit te wis.
Doel van ISO 27001:2022 Bylae A 8.31
Die ISO 27001: 2022 Bylae A 8.31 fasiliteer organisasies om die vertroulikheid, integriteit en beskikbaarheid van sensitiewe inligtingbates te bewaar deur geskikte prosesse, kontroles en regulasies. Dit doen dit deur ontwikkeling-, toets- en produksieomgewings te isoleer.
Eienaarskap van Bylae A 8.31
Die Hoofbeampte vir inligtingsekuriteit, met die bystand van die ontwikkelingspan, sal uiteindelik verantwoordelik wees vir die nakoming van ISO 27001:2022 Bylae A 8.31, wat die vestiging en implementering van organisasiewye prosesse en kontroles vereis om verskillende sagteware-omgewings te skei.
ISO 27001 maklik gemaak
'n Voorsprong van 81% van dag een af
Ons het die harde werk vir jou gedoen, wat jou 'n voorsprong van 81% gee vanaf die oomblik dat jy aanmeld. Al wat jy hoef te doen is om die spasies in te vul.
Algemene riglyne oor ISO 27001:2022 Bylae A 8.31 Voldoening
Organisasies moet die produksiekwessies oorweeg wat vermy moet word wanneer hulle besluit oor die nodige mate van skeiding tussen die drie omgewings.
Bylae A 8.31 stel voor dat organisasies sewe kriteria in gedagte hou:
- Segregasie van ontwikkeling- en produksiestelsels tot 'n bevredigende vlak word aanbeveel. Byvoorbeeld, die gebruik van afsonderlike virtuele en fisiese omgewings vir produksie kan 'n lewensvatbare oplossing.
- Reëls en magtigingsprosedures moet opgestel, gedokumenteer en geïmplementeer word rakende die gebruik van sagteware in die produksie-omgewing nadat dit deur die ontwikkelingsomgewing gegaan het.
- Organisasies moet veranderinge aan toepassings en produksiestelsels in 'n geïsoleerde toetsopset, uitgesluit van die produksie-omgewing, evalueer en beproef voordat dit in die produksie-omgewing geïmplementeer word.
- Geen toetsing in produksie-omgewings moet plaasvind tensy dit vooraf presies gedefinieer en gemagtig is nie.
- Ontwikkelingshulpbronne, soos samestellers en redigeerders, behoort nie in produksieomgewings beskikbaar te wees nie, tensy dit absoluut noodsaaklik is.
- Om foute te verminder, moet korrekte omgewingsetikette prominent in spyskaarte verskyn.
- Geen sensitiewe inligtingbates moet na enige ontwikkelings- of toetsstelsels oorgedra word nie, tensy ekwivalente sekuriteitsmaatreëls in plek is.
Riglyne oor die beskerming van ontwikkeling en toetsomgewings
Organisasies moet ontwikkelings- en toetsomgewings teen potensiële sekuriteitsgevare beskerm, met inagneming van die volgende:
- Maak seker dat alle ontwikkelings-, integrasie- en toetsinstrumente, bv. bouers, integreerders en biblioteke, gereeld gelap word en op datum gehou word.
- Maak seker dat alle stelsels en sagteware veilig opgestel is.
- Toepaslike kontroles moet in plek wees vir toegang tot omgewings.
- Veranderinge aan omgewings en hul kodes moet gemonitor en hersien word.
- Veilige monitering en hersiening van omgewings moet onderneem word.
- Omgewings moet met rugsteun beskerm word.
Geen individu behoort die voorreg gegun te word om veranderinge aan beide ontwikkeling- en produksie-omgewings aan te bring sonder om vooraf goedkeuring te verkry nie. Om dit te vermy, kan organisasies toegangsregte skei of toegangskontroles instel en uitvoer.
Organisasies kan verdere tegniese kontroles oorweeg, soos om alle toegangsaktiwiteite aan te teken en toegang tot hierdie omgewings intyds te monitor.
Aanvullende leiding oor aanhangsel A 8.31
As organisasies nie die nodige stappe doen nie, kan hul inligtingstelsels aan wesenlike sekuriteitsgevare blootgestel word.
Ontwikkelaars en toetsers met toegang tot die produksie-omgewing kan onbedoelde veranderinge aan lêers of stelselinstellings aanbring, ongemagtigde kode laat loop, of per ongeluk sensitiewe data openbaar.
Organisasies benodig 'n bestendige instelling om deeglike toetsing op hul kode uit te voer, wat ontwikkelaars verhinder om toegang te verkry tot produksie-omgewings wat sensitiewe werklike data stoor en verwerk.
Organisasies moet spesifieke rolle toewys en skeiding van pligte afdwing.
Die ontwikkeling- en toetsspanne kan die vertrouelike produksiedata in gevaar stel as dieselfde rekenaartoestelle gebruik word. Onopsetlike veranderinge aan sensitiewe inligting of sagtewareprogramme kan gemaak word.
Organisasies word versoek om hulpprosesse op te stel om produksiedata in toets- en ontwikkelingstelsels te gebruik in ooreenstemming met ISO 27001:2022 Bylae A 8.33.
Organisasies moet die maatreëls wat in hierdie Bylae A Beheer bespreek word, oorweeg wanneer hulle eindgebruikeropleiding in opleidingsinstellings uitvoer.
Laastens kan organisasies die grense tussen ontwikkeling, toetsing en produksie-instellings verberg. Toetsing kan byvoorbeeld in 'n ontwikkelingsomgewing uitgevoer word, of personeel kan die produk toets deur dit werklik te gebruik.
Bestuur al u nakoming, alles op een plek
ISMS.online ondersteun meer as 100 standaarde en regulasies, wat jou 'n enkele platform bied vir al jou voldoeningsbehoeftes.
Veranderinge en verskille vanaf ISO 27001:2013
ISO 27001:2022 Bylae A 8.31 vervang ISO 27001:2013 Bylae A 12.1.4 en ISO 27001:2013 Bylae A 14.2.6. Hierdie hersiening maak die nodige aanpassings om die standaard in ooreenstemming te bring met die mees huidige praktyke.
Die twee weergawes deel baie gemeen, maar twee verskille is opmerklik.
ISO 27001:2013 Bylae A 14.2.6 Verskaf meer gedetailleerde leiding oor veilige ontwikkelingsomgewings
ISO 27001:2013 Bylae A 14.2.6 handel oor veilige ontwikkelingsomgewings en skets 10 aanbevelings wat organisasies moet oorweeg wanneer hulle 'n ontwikkelingsomgewing bou.
In vergelyking sluit ISO 27001:2022 Bylae A 8.33 nie sekere voorstelle in nie, soos om 'n rugsteun op 'n verafgeleë plek te hê en beperkings op data-oordrag.
ISO 27001:2022 Bylae A 8.31 spreek produktoetsing en die gebruik van produksiedata aan
In vergelyking met ISO 27001:2013, bied ISO 27001:2022 Bylae A 8.31 leiding oor produktoetsing en gebruik van produksiedata in ooreenstemming met ISO 27001:2022 Bylae A 8.33.
Tabel van alle ISO 27001:2022 Bylae A-kontroles
In die tabel hieronder sal jy meer inligting oor elke individuele ISO 27001:2022 vind Aanhangsel A Beheer.
| Bylae A Beheertipe | ISO/IEC 27001:2022 Bylae A Identifiseerder | ISO/IEC 27001:2013 Bylae A Identifiseerder | Bylae A Naam |
|---|---|---|---|
| Organisatoriese kontroles | Bylae A 5.1 |
Bylae A 5.1.1 Bylae A 5.1.2 |
Beleide vir inligtingsekuriteit |
| Organisatoriese kontroles | Bylae A 5.2 | Bylae A 6.1.1 | Rolle en verantwoordelikhede vir inligtingsekuriteit |
| Organisatoriese kontroles | Bylae A 5.3 | Bylae A 6.1.2 | Skeiding van pligte |
| Organisatoriese kontroles | Bylae A 5.4 | Bylae A 7.2.1 | Bestuursverantwoordelikhede |
| Organisatoriese kontroles | Bylae A 5.5 | Bylae A 6.1.3 | Kontak met owerhede |
| Organisatoriese kontroles | Bylae A 5.6 | Bylae A 6.1.4 | Kontak met spesiale belangegroepe |
| Organisatoriese kontroles | Bylae A 5.7 | NUWE | Bedreiging Intelligensie |
| Organisatoriese kontroles | Bylae A 5.8 |
Bylae A 6.1.5 Bylae A 14.1.1 |
Inligtingsekuriteit in projekbestuur |
| Organisatoriese kontroles | Bylae A 5.9 |
Bylae A 8.1.1 Bylae A 8.1.2 |
Inventaris van inligting en ander geassosieerde bates |
| Organisatoriese kontroles | Bylae A 5.10 |
Bylae A 8.1.3 Bylae A 8.2.3 |
Aanvaarbare gebruik van inligting en ander geassosieerde bates |
| Organisatoriese kontroles | Bylae A 5.11 | Bylae A 8.1.4 | Teruggawe van bates |
| Organisatoriese kontroles | Bylae A 5.12 | Bylae A 8.2.1 | Klassifikasie van inligting |
| Organisatoriese kontroles | Bylae A 5.13 | Bylae A 8.2.2 | Etikettering van inligting |
| Organisatoriese kontroles | Bylae A 5.14 |
Bylae A 13.2.1 Bylae A 13.2.2 Bylae A 13.2.3 |
Inligtingsoordrag |
| Organisatoriese kontroles | Bylae A 5.15 |
Bylae A 9.1.1 Bylae A 9.1.2 |
Toegangsbeheer |
| Organisatoriese kontroles | Bylae A 5.16 | Bylae A 9.2.1 | Identiteitsbestuur |
| Organisatoriese kontroles | Bylae A 5.17 |
Bylae A 9.2.4 Bylae A 9.3.1 Bylae A 9.4.3 |
Verifikasie inligting |
| Organisatoriese kontroles | Bylae A 5.18 |
Bylae A 9.2.2 Bylae A 9.2.5 Bylae A 9.2.6 |
Toegangsregte |
| Organisatoriese kontroles | Bylae A 5.19 | Bylae A 15.1.1 | Inligtingsekuriteit in Verskaffersverhoudings |
| Organisatoriese kontroles | Bylae A 5.20 | Bylae A 15.1.2 | Aanspreek van inligtingsekuriteit binne verskaffersooreenkomste |
| Organisatoriese kontroles | Bylae A 5.21 | Bylae A 15.1.3 | Bestuur van inligtingsekuriteit in die IKT-voorsieningsketting |
| Organisatoriese kontroles | Bylae A 5.22 |
Bylae A 15.2.1 Bylae A 15.2.2 |
Monitering, hersiening en veranderingsbestuur van verskafferdienste |
| Organisatoriese kontroles | Bylae A 5.23 | NUWE | Inligtingsekuriteit vir gebruik van wolkdienste |
| Organisatoriese kontroles | Bylae A 5.24 | Bylae A 16.1.1 | Beplanning en voorbereiding van inligtingsekuriteitsinsidentbestuur |
| Organisatoriese kontroles | Bylae A 5.25 | Bylae A 16.1.4 | Assessering en besluit oor inligtingsekuriteitsgebeurtenisse |
| Organisatoriese kontroles | Bylae A 5.26 | Bylae A 16.1.5 | Reaksie op inligtingsekuriteitsinsidente |
| Organisatoriese kontroles | Bylae A 5.27 | Bylae A 16.1.6 | Leer uit inligtingsekuriteitsinsidente |
| Organisatoriese kontroles | Bylae A 5.28 | Bylae A 16.1.7 | Versameling van bewyse |
| Organisatoriese kontroles | Bylae A 5.29 |
Bylae A 17.1.1 Bylae A 17.1.2 Bylae A 17.1.3 |
Inligtingsekuriteit tydens ontwrigting |
| Organisatoriese kontroles | Bylae A 5.30 | NUWE | IKT-gereedheid vir besigheidskontinuïteit |
| Organisatoriese kontroles | Bylae A 5.31 |
Bylae A 18.1.1 Bylae A 18.1.5 |
Wetlike, statutêre, regulatoriese en kontraktuele vereistes |
| Organisatoriese kontroles | Bylae A 5.32 | Bylae A 18.1.2 | Intellektuele eiendomsregte |
| Organisatoriese kontroles | Bylae A 5.33 | Bylae A 18.1.3 | Beskerming van rekords |
| Organisatoriese kontroles | Bylae A 5.34 | Bylae A 18.1.4 | Privaatheid en beskerming van PII |
| Organisatoriese kontroles | Bylae A 5.35 | Bylae A 18.2.1 | Onafhanklike oorsig van inligtingsekuriteit |
| Organisatoriese kontroles | Bylae A 5.36 |
Bylae A 18.2.2 Bylae A 18.2.3 |
Voldoening aan beleide, reëls en standaarde vir inligtingsekuriteit |
| Organisatoriese kontroles | Bylae A 5.37 | Bylae A 12.1.1 | Gedokumenteerde bedryfsprosedures |
| Bylae A Beheertipe | ISO/IEC 27001:2022 Bylae A Identifiseerder | ISO/IEC 27001:2013 Bylae A Identifiseerder | Bylae A Naam |
|---|---|---|---|
| Mense beheer | Bylae A 6.1 | Bylae A 7.1.1 | Screening |
| Mense beheer | Bylae A 6.2 | Bylae A 7.1.2 | Terme en diensvoorwaardes |
| Mense beheer | Bylae A 6.3 | Bylae A 7.2.2 | Bewusmaking, onderwys en opleiding van inligtingsekuriteit |
| Mense beheer | Bylae A 6.4 | Bylae A 7.2.3 | Dissiplinêre Proses |
| Mense beheer | Bylae A 6.5 | Bylae A 7.3.1 | Verantwoordelikhede na beëindiging of verandering van diens |
| Mense beheer | Bylae A 6.6 | Bylae A 13.2.4 | Vertroulikheid of nie-openbaarmakingsooreenkomste |
| Mense beheer | Bylae A 6.7 | Bylae A 6.2.2 | Afstand werk |
| Mense beheer | Bylae A 6.8 |
Bylae A 16.1.2 Bylae A 16.1.3 |
Rapportering van inligtingsekuriteitsgebeurtenisse |
| Bylae A Beheertipe | ISO/IEC 27001:2022 Bylae A Identifiseerder | ISO/IEC 27001:2013 Bylae A Identifiseerder | Bylae A Naam |
|---|---|---|---|
| Fisiese beheer | Bylae A 7.1 | Bylae A 11.1.1 | Fisiese sekuriteitsgrense |
| Fisiese beheer | Bylae A 7.2 |
Bylae A 11.1.2 Bylae A 11.1.6 |
Fisiese toegang |
| Fisiese beheer | Bylae A 7.3 | Bylae A 11.1.3 | Beveiliging van kantore, kamers en fasiliteite |
| Fisiese beheer | Bylae A 7.4 | NUWE | Fisiese sekuriteitsmonitering |
| Fisiese beheer | Bylae A 7.5 | Bylae A 11.1.4 | Beskerming teen fisiese en omgewingsbedreigings |
| Fisiese beheer | Bylae A 7.6 | Bylae A 11.1.5 | Werk in veilige gebiede |
| Fisiese beheer | Bylae A 7.7 | Bylae A 11.2.9 | Duidelike lessenaar en duidelike skerm |
| Fisiese beheer | Bylae A 7.8 | Bylae A 11.2.1 | Toerustingopstelling en beskerming |
| Fisiese beheer | Bylae A 7.9 | Bylae A 11.2.6 | Sekuriteit van bates buite die perseel |
| Fisiese beheer | Bylae A 7.10 |
Bylae A 8.3.1 Bylae A 8.3.2 Bylae A 8.3.3 Bylae A 11.2.5 |
Berging media |
| Fisiese beheer | Bylae A 7.11 | Bylae A 11.2.2 | Ondersteunende nutsprogramme |
| Fisiese beheer | Bylae A 7.12 | Bylae A 11.2.3 | Bekabeling sekuriteit |
| Fisiese beheer | Bylae A 7.13 | Bylae A 11.2.4 | Onderhoud van toerusting |
| Fisiese beheer | Bylae A 7.14 | Bylae A 11.2.7 | Veilige wegdoening of hergebruik van toerusting |
| Bylae A Beheertipe | ISO/IEC 27001:2022 Bylae A Identifiseerder | ISO/IEC 27001:2013 Bylae A Identifiseerder | Bylae A Naam |
|---|---|---|---|
| Tegnologiese kontroles | Bylae A 8.1 |
Bylae A 6.2.1 Bylae A 11.2.8 |
Gebruikerseindpunttoestelle |
| Tegnologiese kontroles | Bylae A 8.2 | Bylae A 9.2.3 | Bevoorregte toegangsregte |
| Tegnologiese kontroles | Bylae A 8.3 | Bylae A 9.4.1 | Inligtingtoegangbeperking |
| Tegnologiese kontroles | Bylae A 8.4 | Bylae A 9.4.5 | Toegang tot bronkode |
| Tegnologiese kontroles | Bylae A 8.5 | Bylae A 9.4.2 | Veilige verifikasie |
| Tegnologiese kontroles | Bylae A 8.6 | Bylae A 12.1.3 | Kapasiteitsbestuur |
| Tegnologiese kontroles | Bylae A 8.7 | Bylae A 12.2.1 | Beskerming teen wanware |
| Tegnologiese kontroles | Bylae A 8.8 |
Bylae A 12.6.1 Bylae A 18.2.3 |
Bestuur van Tegniese Kwesbaarhede |
| Tegnologiese kontroles | Bylae A 8.9 | NUWE | Konfigurasiebestuur |
| Tegnologiese kontroles | Bylae A 8.10 | NUWE | Inligting skrap |
| Tegnologiese kontroles | Bylae A 8.11 | NUWE | Datamaskering |
| Tegnologiese kontroles | Bylae A 8.12 | NUWE | Voorkoming van datalekkasies |
| Tegnologiese kontroles | Bylae A 8.13 | Bylae A 12.3.1 | Inligting rugsteun |
| Tegnologiese kontroles | Bylae A 8.14 | Bylae A 17.2.1 | Oortolligheid van inligtingsverwerkingsfasiliteite |
| Tegnologiese kontroles | Bylae A 8.15 |
Bylae A 12.4.1 Bylae A 12.4.2 Bylae A 12.4.3 |
Logging |
| Tegnologiese kontroles | Bylae A 8.16 | NUWE | Moniteringsaktiwiteite |
| Tegnologiese kontroles | Bylae A 8.17 | Bylae A 12.4.4 | Kloksynchronisasie |
| Tegnologiese kontroles | Bylae A 8.18 | Bylae A 9.4.4 | Gebruik van Bevoorregte Nutsdiensteprogramme Toegangsregte |
| Tegnologiese kontroles | Bylae A 8.19 |
Bylae A 12.5.1 Bylae A 12.6.2 |
Installering van sagteware op bedryfstelsels |
| Tegnologiese kontroles | Bylae A 8.20 | Bylae A 13.1.1 | Netwerksekuriteit |
| Tegnologiese kontroles | Bylae A 8.21 | Bylae A 13.1.2 | Sekuriteit van netwerkdienste |
| Tegnologiese kontroles | Bylae A 8.22 | Bylae A 13.1.3 | Skeiding van netwerke |
| Tegnologiese kontroles | Bylae A 8.23 | NUWE | Webfiltrering |
| Tegnologiese kontroles | Bylae A 8.24 |
Bylae A 10.1.1 Bylae A 10.1.2 |
Gebruik van kriptografie |
| Tegnologiese kontroles | Bylae A 8.25 | Bylae A 14.2.1 | Veilige ontwikkelingslewensiklus |
| Tegnologiese kontroles | Bylae A 8.26 |
Bylae A 14.1.2 Bylae A 14.1.3 |
Toepassingsekuriteitsvereistes |
| Tegnologiese kontroles | Bylae A 8.27 | Bylae A 14.2.5 | Veilige Stelselargitektuur en IngenieursbeginselsLeer uit Inligtingsekuriteitsvoorvalle |
| Tegnologiese kontroles | Bylae A 8.28 | NUWE | Veilige kodering |
| Tegnologiese kontroles | Bylae A 8.29 |
Bylae A 14.2.8 Bylae A 14.2.9 |
Sekuriteitstoetsing in ontwikkeling en aanvaarding |
| Tegnologiese kontroles | Bylae A 8.30 | Bylae A 14.2.7 | Uitgekontrakteerde Ontwikkeling |
| Tegnologiese kontroles | Bylae A 8.31 |
Bylae A 12.1.4 Bylae A 14.2.6 |
Skeiding van ontwikkeling-, toets- en produksie-omgewings |
| Tegnologiese kontroles | Bylae A 8.32 |
Bylae A 12.1.2 Bylae A 14.2.2 Bylae A 14.2.3 Bylae A 14.2.4 |
Veranderings bestuur |
| Tegnologiese kontroles | Bylae A 8.33 | Bylae A 14.3.1 | Toets inligting |
| Tegnologiese kontroles | Bylae A 8.34 | Bylae A 12.7.1 | Beskerming van inligtingstelsels tydens oudittoetsing |
Hoe ISMS.online Help
ISMS.Online bied ondersteuning vir die geheel van ISO 27001 implementering, van risikobepaling tot die skepping van beleide, prosedures en riglyne om aan die standaard te voldoen.
ISMS.Online bied 'n gerieflike benadering om ontdekkings op te teken en dit aanlyn met kollegas te deel. Dit stel jou verder in staat om kontrolelyste vir elke ISO 27001-taak op te stel en te berg, wat jou in staat stel om jou organisasie se sekuriteitsprogram moeiteloos te monitor.
Ons voorsien ook aan organisasies 'n outomatiese gereedskapstel wat voldoening aan die ISO 27001-standaard vergemaklik. Die gebruikersvriendelike ontwerp maak dit maklik om ooreenstemming te bewys.
Kontak ons nou om reël 'n demonstrasie.