ISO 27002:2022, Beheer 8.26 – Toepassingsekuriteitsvereistes

Eienaarskap van beheer 8.26

Hoofinligtingsekuriteitsbeampte, met die ondersteuning van inligtingsekuriteitspesialiste, behoort verantwoordelik te wees vir die identifikasie, goedkeuring en implementering van inligtingsvereistes vir die verkryging, gebruik en ontwikkeling van toepassings.

Algemene riglyne oor nakoming

Algemene riglyne wys daarop dat organisasies a risikobepaling om die tipe inligtingsekuriteitvereistes te bepaal geskik is vir 'n spesifieke toepassing.

Terwyl die inhoud en tipes van inligting sekuriteit vereistes kan wissel na gelang van die aard van die aansoek, moet die vereistes die volgende aanspreek:

• Die mate van vertroue wat in ooreenstemming met Beheer 5.17, 8.2 en 8.5 aan die identiteit van spesifieke entiteite toegeken word.
• Identifikasie van die vlak van klassifikasie aan inligtingsbates toegewys gestoor of verwerk word deur die aansoek.
• Of daar 'n behoefte is om die toegang tot funksies en inligting wat op die toepassing gestoor is, te skei.
• Of die toepassing veerkragtig is teen kuberaanvalle soos SQL-inspuitings of onbedoelde onderskeppings soos buffer-oorloop.
• Wetlike, regulatoriese en statutêre vereistes en standaarde van toepassing op die transaksie wat deur die aansoek verwerk, gegenereer, gestoor of voltooi is.
• Privaatheidsoorwegings vir alle betrokke partye.
• Vereistes vir die beskerming van vertroulike data.
• Beskerming van inligting wanneer dit in gebruik, in vervoer of in rus is.
• Of veilige enkripsie van kommunikasie tussen alle relevante partye is nodig.
• Implementering van insetkontroles soos insetvalidering of die uitvoer van integriteitskontroles.
• Voer outomatiese kontroles uit.
• Uitvoerkontroles, met inagneming van wie uitsette kan sien en die magtiging vir toegang.
• Moet beperkings op die inhoud van "vryteks" velde oplê om die verspreiding van vertroulike data op 'n onbeheerbare wyse te beskerm.
• Vereistes wat voortspruit uit besigheidsbehoeftes soos aanteken van transaksies en nie-repudiasievereistes.
• Vereistes gestel deur ander sekuriteitskontroles soos datalek-opsporingstelsels.
• Hoe om foutboodskappe te hanteer.

Aanvullende leiding oor transaksiedienste

Beheer 8.26 vereis van organisasies om die volgende sewe aanbevelings in ag te neem wanneer 'n toepassing transaksionele dienste tussen die organisasie en 'n vennoot bied:

• Die mate van vertroue wat elke party in die transaksie in die ander party se identiteit vereis.
• Die mate van vertroue wat vereis word in die integriteit van data wat gekommunikeer of verwerk word en die identifisering van 'n behoorlike meganisme om enige gebrek aan integriteit op te spoor, insluitend gereedskap soos hashing en digitale handtekeninge.
• Vestiging van 'n magtigingsproses vir wie toegelaat word om die inhoud van noodsaaklike transaksionele dokumente goed te keur, af te teken of af te teken.
• Die handhawing van die vertroulikheid en integriteit van die kritieke dokumente en bewys van die stuur en ontvangs van sulke dokumente.
• Beskerming en handhawing van die integriteit en vertroulikheid van alle transaksies soos bestellings en kwitansies.
• Vereistes vir watter tydperk transaksies vertroulik gehou moet word.
• Kontraktuele vereistes en vereistes wat verband hou met versekering.

Aanvullende leiding oor elektroniese bestel- en betalingsaansoeke

Wanneer aansoeke betaling en elektroniese bestelfunksies insluit, moet organisasies die volgende in ag neem:

• Vereistes verseker dat vertroulikheid en integriteit van bestellingsinligting nie in die gedrang kom nie.
• Die bepaling van 'n toepaslike mate van verifikasie om die betalingsbesonderhede wat deur 'n kliënt verskaf is, te verifieer.
• Voorkoming van die verlies of duplisering van transaksie-inligting.
• Verseker dat inligting wat verband hou met inligting gestoor word buite 'n publiek toeganklike omgewing soos op 'n bergingsmedia wat op die organisasie se eie intranet gehuisves word.
• Waar organisasies staatmaak op 'n betroubare eksterne owerheid soos vir die uitreiking van digitale handtekeninge, moet hulle verseker dat sekuriteit deur die hele proses geïntegreer is.

Aanvullende leiding oor netwerke

Wanneer toepassings deur netwerke verkry word, is hulle kwesbaar vir bedreigings soos kontrakgeskille, bedrieglike aktiwiteite, verkeerde roetes, ongemagtigde veranderinge aan die inhoud van kommunikasie, of verlies aan vertroulikheid van sensitiewe inligting.

Beheer 8.26 beveel aan dat organisasies omvattend presteer risikobepalings om toepaslike beheermaatreëls te identifiseer soos die gebruik van kriptografie om die sekuriteit van inligtingoordragte te verseker.

Veranderinge en verskille vanaf ISO 27002:2013

27002:2022/8.26 vervang 27002:2013/(14.1.2 en 14.1.3)

Daar is drie groot verskille tussen die twee weergawes.

Alle toepassings vs toepassings wat deur openbare netwerke gaan

Die ISO 27002:2013-weergawe het nie vereistes gelys wat op alle toepassings van toepassing is nie: Dit het 'n lys van inligtingsekuriteitsvereistes verskaf wat oorweeg moet word vir toepassings wat deur openbare netwerke gaan.

Beheer 8.26 in die 2022-weergawe, inteendeel, 'n lys van inligtingsekuriteitsvereistes verskaf wat op alle toepassings van toepassing is.

Verdere leiding oor elektroniese bestel- en betalingsaansoeke

Beheer 8.26 in die 2022-weergawe bevat spesifieke leiding oor Elektroniese bestel- en betalingsaansoeke. Daarteenoor het die 2013 Weergawe nie hieraan aandag gegee nie.

Bykomende vereiste vir transaksiedienste

Terwyl die 2022-weergawe en die 2013-weergawe byna identies is in terme van die vereistes vir transaksionele dienste, stel die 2022-weergawe 'n bykomende vereiste in wat nie in die 2013-weergawe aangespreek is nie:

• Organisasies moet kontraktuele vereistes en vereistes wat met versekering verband hou, oorweeg.

Hoe ISMS.online help

ISMS.online is 'n wolk-gebaseerde oplossing wat maatskappye help om voldoening aan ISO 27002 te toon. Die ISMS.online oplossing kan gebruik word om die vereistes van ISO 27002 en verseker dat jou organisasie aan die nuwe standaard voldoen.

Ons platform is gebruikersvriendelik en reguit. Dit is nie net vir hoogs tegniese individue nie; dit is vir almal in jou geselskap.

Kontak vandag nog om bespreek 'n demo.