ISO 27001:2022 Bylae A Beheer 8.28

Voldoeningsriglyne op ISO 27001:2022 Bylae A 8.28

Organisasies moet veilige koderingsprosesse ontwikkel en implementeer wat van toepassing is op produkte wat deur eksterne partye verskaf word en oopbronsagtewarekomponente, soos uiteengesit in ISO 27001 Bylae A Beheer 8.28.

Daarbenewens moet organisasies ingelig bly oor ontwikkelende werklike sekuriteitsbedreigings en die jongste inligting oor bekende of potensiële sagteware-sekuriteitskwesbaarhede. Deur hierdie benadering te gebruik, kan organisasies robuuste, veilige koderingsbeginsels ontwikkel om te bestry ontwikkelende kuberbedreigings.

Aanvullende leiding oor beplanning

Dit is noodsaaklik dat beide nuwe koderingsprojekte en sagteware hergebruik bedrywighede voldoen aan veilige sagteware kodering beginsels.

Hierdie beginsels moet nagekom word wanneer sagteware intern ontwikkel word en wanneer sagteware produkte of dienste oorgedra word.

Organisasies moet die volgende faktore in ag neem wanneer hulle 'n plan vir veilige koderingbeginsels ontwikkel en voorvereistes vir veilige kodering bepaal:

• Sekuriteitsverwagtinge moet aangepas word vir die organisasie se spesifieke behoeftes, en goedgekeurde beginsels vir veilige sagtewarekode moet vasgestel word om van toepassing te wees op interne sagteware ontwikkeling en uitgekontrakteer komponente.
• Organisasies moet die mees algemene en historiese koderingsontwerpfoute en swak koderingpraktyke identifiseer en dokumenteer om datasekuriteitsbreuke te voorkom.
• Organisasies moet sagteware-ontwikkelingsnutsmiddels implementeer en opstel om die sekuriteit van alle kode wat geskep word, te verseker. Geïntegreerde ontwikkelingsomgewings (IO's) is 'n voorbeeld van sulke hulpmiddels.
• Sagteware-ontwikkelingsinstrumente moet leiding en instruksies verskaf om organisasies te help om aan die riglyne en instruksies te voldoen.
• Die ontwikkeling van gereedskap soos samestellers moet hersien, onderhou en veilig deur organisasies gebruik word.

Aanvullende leiding oor sekuriteit tydens kodering

Om veilige koderingspraktyke en -prosedures te verseker, moet die volgende in ag geneem word tydens die koderingsproses:

• Koderbeginsels vir veilige sagteware moet by elke programmeertaal en -tegniek aangepas word.
• Toetsgedrewe ontwikkeling en paarprogrammering is voorbeelde van veilige programmeringstegnieke en -metodes.
• Implementering van gestruktureerde programmeringstegnieke.
• Dokumentasie van die kode en die verwydering van defekte in die kode.
• Die gebruik van onveilige sagteware-koderingsmetodes soos nie-goedgekeurde kodemonsters of hardgekodeerde wagwoorde is verbode.

'n Sekuriteitstoets moet tydens en na ontwikkeling uitgevoer word, soos gespesifiseer in ISO 27001 Bylae A Beheer 8.29.

Organisasies moet die volgende items oorweeg voordat hulle die sagteware in 'n lewendige toepassingsomgewing implementeer:

• Is daar 'n aanvalsoppervlak?
• Word die beginsel van die minste bevoorregting gevolg?
• Ontleed die mees algemene programmeringsfoute en dokumenteer die uitskakeling daarvan.

Aanvullende leiding vir die hersieningsproses

Na die Implementering van die Kode in die Produksie-omgewing

• 'n Veilige metode moet gebruik word om opdaterings toe te pas.
• vir ISO 27001:2022 Bylae A Beheer 8.8, sekuriteitskwesbaarhede moet aangespreek word.
• Rekords moet gehou word van vermoedelike aanvalle en foute op inligtingstelsels, en hierdie rekords moet gereeld hersien word sodat toepaslike veranderinge aangebring kan word.
• Die gebruik van gereedskap soos bestuursnutsmiddels moet gebruik word om ongemagtigde toegang, gebruik of wysiging van bronkode te voorkom.

Organisasies moet die volgende faktore in ag neem wanneer hulle eksterne gereedskap gebruik

• Gereelde monitering en opdatering van eksterne biblioteke moet volgens hul vrystellingsiklusse uitgevoer word.
• 'n Deeglike hersiening, seleksie en magtiging van sagtewarekomponente is noodsaaklik, veral dié wat met kriptografie en verifikasie verband hou.
• Verkryging van lisensies vir eksterne komponente en versekering van hul sekuriteit.
• Daar moet 'n stelsel wees vir die dop en instandhouding van sagteware. Boonop moet seker gemaak word dat dit van 'n betroubare bron afkomstig is.
• Dit is noodsaaklik om langtermyn-ontwikkelingshulpbronne beskikbaar te hê.

Die volgende faktore moet in ag geneem word wanneer veranderinge aan 'n sagtewarepakket aangebring word:

• Integriteitsprosesse of ingeboude beheermaatreëls kan 'n organisasie aan risiko's blootstel.
• Dit is noodsaaklik om te bepaal of die ondernemer tot die veranderinge ingestem het.
• Kan die ondernemer se toestemming verkry word om gereelde opdaterings op die sagteware uit te voer?
• Die waarskynlike impak van die instandhouding van die sagteware soos dit verander.
• Watter effek sal die veranderinge hê op ander sagtewarekomponente wat die organisasie gebruik?

Bykomende riglyne oor ISO 27001:2022 Bylae A 8.28

Organisasies moet seker maak dat hulle sekuriteitsrelevante kode gebruik wanneer nodig en dat dit bestand is teen gepeuter.

Bylae A Beheer 8.28 van ISO 27001:2022 maak die volgende aanbevelings vir sekuriteitsrelevante kode:

• Terwyl programme wat via binêre kode afgelaai word, sekuriteitsverwante kode in die toepassing self sal insluit, sal dit in omvang beperk word tot data wat intern in die toepassing gestoor word.
• Om tred te hou met sekuriteitsrelevante kode is slegs nuttig as dit op 'n bediener uitgevoer word wat nie deur die gebruiker toeganklik is nie en geskei is van die prosesse wat dit gebruik sodat die data daarvan veilig gehou word in 'n ander databasis en veilig van die prosesse geskei word. wat dit gebruik. Die gebruik van 'n wolkdiens om 'n geïnterpreteerde kode uit te voer is moontlik, en jy kan toegang tot die kode beperk tot bevoorregte administrateurs om toegang tot die kode te beperk. Die aanbeveling is dat hierdie toegangsregte beskerm word met net-betyds administrateurvoorregte en robuuste verifikasiemeganismes wat net op die regte tyd toegang tot die webwerf verleen.
• 'n Geskikte konfigurasie moet op webbedieners geïmplementeer word om ongemagtigde toegang tot en blaai deur gidse op die bediener te voorkom.
• Om veilige toepassingskode te ontwikkel, moet jy aanvaar dat die kode kwesbaar is vir aanvalle as gevolg van koderingsfoute en aksies wat deur kwaadwillige akteurs geneem word. 'n Kritieke toepassing moet ontwerp word om immuun teen interne foute te wees op 'n manier wat verhoed dat dit geneig is tot foute. Byvoorbeeld, wanneer die uitset van 'n algoritme evalueer word, is dit moontlik om te verseker dat die uitset aan sekuriteitsvereistes voldoen voordat die algoritme in kritieke toepassings gebruik kan word, soos dié wat met finansies verband hou, voordat dit in die toepassing gebruik kan word.
• As gevolg van 'n gebrek aan goeie koderingspraktyke, is sekere webtoepassings hoogs vatbaar vir sekuriteitsbedreigings, soos databasisinspuiting en kruis-werf script-aanvalle.
• Dit word aanbeveel dat organisasies na ISO/IEC 15408 verwys vir meer inligting oor IT-sekuriteitsevaluering en hoe om dit uit te voer.

Wat is die veranderinge vanaf ISO 27001:2013?

Bylae A 8.28 is a nuwe Bylae A-kontrole wat by die ISO 27001:2022-standaard gevoeg is.

Tabel van alle ISO 27001:2022 Bylae A-kontroles

In die tabel hieronder sal jy meer inligting oor elke individuele ISO 27001:2022 Bylae A Beheer vind.

Hoe ISMS.online help

Of jy heeltemal nuut is met inligtingsekuriteit of bondig oor ISO 27001 wil leer sonder om tyd te spandeer om lang en gedetailleerde dokumente te lees of van nuuts af te leer, ons platform is spesifiek vir jou ontwerp.

Deur ISMS.Online te gebruik, sal jy maklik toegang tot dokumentsjablone, kontrolelyste en beleide kry wat aangepas kan word om aan jou behoeftes te voldoen.

Wil jy graag sien hoe dit werk?

Kontak vandag nog om bespreek 'n demo.