Verseker sekuriteit van ontwikkeling tot ontplooiing: ISO 27002 beheer 8.29 verduidelik
Kubermisdadigers vind voortdurend nuwe maniere uit en verbeter hul strategieë om korporatiewe netwerke te infiltreer en toegang tot sensitiewe inligtingbates te verkry.
Kuberaanvallers kan byvoorbeeld 'n kwesbaarheid wat verband hou met die verifikasiemeganisme in die bronkode uitbuit om in netwerke in te dring. Verder kan hulle ook probeer om eindgebruikers aan die kliëntkant te manipuleer om aksies uit te voer om netwerke te infiltreer, toegang tot data te verkry of losprysware-aanvalle uit te voer.
As 'n toepassing, sagteware of IT-stelsel in die werklike wêreld met kwesbaarhede ontplooi word, sal dit sensitiewe inligtingsbates aan die risiko van kompromie blootstel.
Daarom moet organisasies 'n toepaslike sekuriteitstoetsprosedure daarstel en implementeer om alle kwesbaarhede in IT-stelsels te identifiseer en reg te stel voordat dit na die werklike wêreld ontplooi word.
Doel van beheer 8.29
Beheer 8.29 stel organisasies in staat om te verifieer dat alle inligtingsekuriteitsvereistes nagekom word wanneer nuwe toepassings, databasisse, sagteware of kode in werking gestel word deur 'n robuuste sekuriteitstoetsprosedure daar te stel en toe te pas.
Dit help organisasies om kwesbaarhede in die kode, netwerke, bedieners, toepassings of ander IT-stelsels op te spoor en uit te skakel voordat dit in die regte wêreld gebruik word.
Eienskappe van beheer 8.29
Beheer 8.29 is voorkomend van aard. Dit vereis dat organisasies nuwe inligtingstelsels en hul nuwe/bygewerkte weergawes aan 'n sekuriteitstoetsproses onderwerp voordat dit in die produksie-omgewing vrygestel word.
| beheer Tipe | Eienskappe vir inligtingsekuriteit | Kuberveiligheidskonsepte | Operasionele vermoëns | Sekuriteitsdomeine |
|---|---|---|---|---|
| #Voorkomende | #Vertroulikheid | #Identifiseer | #Toepassingsekuriteit | #Beskerming |
| #Integriteit | #Inligtingsekerheidversekering | |||
| #Beskikbaarheid | #Stelsel- en netwerksekuriteit |
ISO 27001 maklik gemaak
'n Voorsprong van 81% van dag een af
Ons het die harde werk vir jou gedoen, wat jou 'n voorsprong van 81% gee vanaf die oomblik dat jy aanmeld. Al wat jy hoef te doen is om die spasies in te vul.
Eienaarskap van beheer 8.29
Aangesien Beheer 8.29 die vestiging, instandhouding en implementering van 'n sekuriteitstoetsprosedure behels wat van toepassing sal wees op alle nuwe inligtingstelsels, hetsy intern of deur eksterne partye ontwikkel, behoort die Inligtingsekuriteitsbeampte verantwoordelik te wees vir voldoening.
Algemene riglyne oor nakoming
Organisasies moet sekuriteitstoetsing in die toetsproses vir alle stelsels inkorporeer en hulle moet verseker dat alle nuwe inligtingstelsels en hul nuwe/bygewerkte weergawes aan die inligtingsekuriteitsvereistes voldoen wanneer hulle in die produksie-omgewing is.
Beheer 8.29 lys drie elemente wat by die sekuriteitstoetsproses ingesluit moet word:
- Sekuriteitsfunksies soos gebruikerstawing soos gedefinieer in Beheer 8..5, toegangsbeperking soos voorgeskryf in Beheer 8.3, en kriptografie soos aangespreek in Beheer 8.24.
- Veilige kodering soos beskryf in Beheer 8.28.
- Beveilig konfigurasies soos voorgeskryf in Kontroles 8.9, 8.20, 8.22. Dit kan brandmure en bedryfstelsels dek.
Wat moet 'n toetsplan insluit?
By die ontwerp van sekuriteitstoetsplanne, moet organisasies die vlak van kritiek en aard van die inligtingstelsel voorhande in ag neem.
Sekuriteitstoetsplan moet die volgende dek:
- Opstel van 'n gedetailleerde skedule vir die aktiwiteite en die toetsing wat uitgevoer moet word.
- Insette en uitsette sal na verwagting plaasvind onder 'n gegewe stel toestande.
- Kriteria om die resultate te assesseer.
- Indien toepaslik, besluite om aksies te neem gebaseer op die resultate.
Bevry jouself van 'n berg sigblaaie
Integreer, brei uit en skaal jou nakoming, sonder die gemors. IO gee jou die veerkragtigheid en vertroue om veilig te groei.
In-Huis Ontwikkeling
Wanneer IT-stelsels deur die interne ontwikkelingspan ontwikkel word, moet hierdie span die aanvanklike sekuriteitstoetsing uitvoer om te verseker dat die IT-stelsel aan sekuriteitsvereistes voldoen.
Hierdie aanvanklike toetsing moet dan gevolg word deur 'n onafhanklikheidsaanvaardingstoets in ooreenstemming met Beheer 5.8.
Met betrekking tot die interne ontwikkeling, moet die volgende oorweeg word:
- Voer kode-hersieningsaktiwiteite uit om sekuriteitsfoute op te spoor en uit te skakel, insluitend verwagte insette en toestande.
- Voer kwesbaarheidskandering uit om onveilige konfigurasies en ander kwesbaarhede op te spoor.
- Uitvoering van penetrasietoetse om onveilige kode en ontwerp op te spoor.
Uitkontraktering
Organisasies moet 'n streng verkrygingsproses volg wanneer hulle ontwikkeling uitkontrakteer of wanneer hulle IT-komponente van eksterne partye aankoop.
Organisasies moet 'n ooreenkoms met hul verskaffers aangaan en hierdie ooreenkoms moet die inligtingsekuriteitsvereistes aanspreek soos voorgeskryf in Beheer 5.20.
Verder moet organisasies verseker dat die produkte en dienste wat hulle koop aan die inligtingsekuriteitstandaarde voldoen.
Aanvullende leiding oor beheer 8.29
Organisasies kan verskeie toetsomgewings skep om verskeie toetse uit te voer soos funksionele, nie-funksionele en prestasietoetsing.
Verder kan hulle virtuele toetsomgewings skep en dan hierdie omgewings konfigureer om die IT-stelsels in verskeie operasionele instellings te toets.
Beheer 8.29 merk ook op dat effektiewe sekuriteitstoetsing van organisasies vereis om die toetsomgewings, gereedskap en tegnologie te toets en te monitor.
Laastens moet organisasies die vlak van sensitiwiteit en kritiekheid van data in ag neem wanneer hulle die aantal lae van metatoetsing bepaal.
Bestuur al u nakoming, alles op een plek
ISMS.online ondersteun meer as 100 standaarde en regulasies, wat jou 'n enkele platform bied vir al jou voldoeningsbehoeftes.
Veranderinge en verskille vanaf ISO 27002:2013
27002:2022/8.29 vervang 27002:2013/(14.2.8 en 14.2.9)
Strukturele veranderinge
Terwyl die 2022-weergawe veilige toetsing onder een enkele kontrole aanspreek, het die 2013-weergawe verwys na veilige toetsing in twee afsonderlike kontroles; Stelselveiligheidstoetsing in beheer 14.2.8 en stelselaanvaardingstoetsing in beheer 14.2.9
Beheer 8.29 bring meer omvattende vereistes
In teenstelling met die 2013-weergawe, bevat die 2022-weergawe meer gedetailleerde vereistes en aanbevelings oor die volgende:
- Sekuriteitstoetsplan en wat dit moet insluit.
- Kriteria vir sekuriteitstoetsing vir interne ontwikkeling van IT-stelsels.
- Sekuriteitstoetsproses en wat dit moet behels.
- Gebruik van verskeie toetsomgewings.
Die 2013-weergawe was meer gedetailleerd in verband met aanvaardingstoetsing
In teenstelling met die 2022-weergawe, was die 2013-weergawe meer voorskriftelik vir stelselaanvaardingstoetsing. Dit het vereistes ingesluit soos sekuriteitstoetsing op ontvangde komponente en die gebruik van outomatiese gereedskap.
Nuwe ISO 27002-kontroles
| ISO/IEC 27002:2022 Beheeridentifiseerder | ISO/IEC 27002:2013 Beheeridentifiseerder | Beheer naam |
|---|---|---|
| 5.7 | NUWE | Bedreigingsintelligensie |
| 5.23 | NUWE | Inligtingsekuriteit vir die gebruik van wolkdienste |
| 5.30 | NUWE | IKT-gereedheid vir besigheidskontinuïteit |
| 7.4 | NUWE | Fisiese sekuriteitsmonitering |
| 8.9 | NUWE | Konfigurasiebestuur |
| 8.10 | NUWE | Inligting verwydering |
| 8.11 | NUWE | Datamaskering |
| 8.12 | NUWE | Voorkoming van datalekkasies |
| 8.16 | NUWE | Moniteringsaktiwiteite |
| 8.23 | NUWE | Webfiltrering |
| 8.28 | NUWE | Veilige kodering |
| ISO/IEC 27002:2022 Beheeridentifiseerder | ISO/IEC 27002:2013 Beheeridentifiseerder | Beheer naam |
|---|---|---|
| 6.1 | 07.1.1 | Screening |
| 6.2 | 07.1.2 | Terme en diensvoorwaardes |
| 6.3 | 07.2.2 | Bewustheid, onderwys en opleiding van inligtingsekuriteit |
| 6.4 | 07.2.3 | Dissiplinêre proses |
| 6.5 | 07.3.1 | Verantwoordelikhede na beëindiging of verandering van diens |
| 6.6 | 13.2.4 | Vertroulikheids- of nie-openbaarmakingsooreenkomste |
| 6.7 | 06.2.2 | Afstand werk |
| 6.8 | 16.1.2, 16.1.3 | Rapportering van inligtingsekuriteitsgebeurtenisse |
| ISO/IEC 27002:2022 Beheeridentifiseerder | ISO/IEC 27002:2013 Beheeridentifiseerder | Beheer naam |
|---|---|---|
| 7.1 | 11.1.1 | Fisiese sekuriteit omtrek |
| 7.2 | 11.1.2, 11.1.6 | Fisiese toegang |
| 7.3 | 11.1.3 | Beveiliging van kantore, kamers en fasiliteite |
| 7.4 | NUWE | Fisiese sekuriteitsmonitering |
| 7.5 | 11.1.4 | Beskerming teen fisiese en omgewingsbedreigings |
| 7.6 | 11.1.5 | Werk in veilige areas |
| 7.7 | 11.2.9 | Duidelike lessenaar en duidelike skerm |
| 7.8 | 11.2.1 | Toerusting plaas en beskerming |
| 7.9 | 11.2.6 | Sekuriteit van bates buite die perseel |
| 7.10 | 08.3.1, 08.3.2, 08.3.3, 11.2.5 | Berging media |
| 7.11 | 11.2.2 | Ondersteunende nutsprogramme |
| 7.12 | 11.2.3 | Bekabeling sekuriteit |
| 7.13 | 11.2.4 | Onderhoud van toerusting |
| 7.14 | 11.2.7 | Veilige wegdoening of hergebruik van toerusting |
Hoe ISMS.online help
ISMS.online stroomlyn die ISO 27002-implementeringsproses deur 'n gesofistikeerde wolkgebaseerde raamwerk te verskaf vir die dokumentasie van inligtingsekuriteitbestuurstelselprosedures en kontrolelyste om voldoening aan erkende standaarde te verseker.
Kontak en bespreek 'n demo.
