ISO 27001:2022 bilaga A 8.19 – Installation av programvara på operativa system

• Se ISO 27002:2022 Kontroll 8.19 för mer information.
• Se ISO 27001:2013 bilaga A 12.5.1 för mer information.
• Se ISO 27001:2013 bilaga A 12.6.2 för mer information.

Syftet med ISO 27001:2022 bilaga A 8.19

Operativ programvara kan kategoriseras som vilken programvara som helst som företaget använder för att utföra sin verksamhet, skild från program som används för testning eller utveckling.

Det är viktigt att programvara installeras och hanteras på ett nätverk enligt stränga regler för att minimera risker, öka effektiviteten och säkra interna och externa nätverk och tjänster.

Äganderätt till bilaga A 8.19

ISO 27001: 2022 Bilaga A 8.19 behandlar tekniska koncept relaterade till underhåll och förvaltning av operativa datorsystem. Därför bör ansvaret ligga på Chef för IT, eller likvärdig.

Allmän vägledning om ISO 27001:2022 bilaga A 8.19 Överensstämmelse

För att säkerställa säkerheten för ändringar och installationer på deras nätverk bör organisationer:

• Se till att endast personal med erforderlig utbildning och kompetens utför mjukvaruuppdateringar (enligt ISO 27001:2022 bilaga A 8.5).
• Se till att endast körbar kod av hög kvalitet är installerad; denna kod bör vara felfri och måste ha slutfört utvecklingsprocessen med framgång.
• Installera och uppdatera programvaran först efter att patchen eller uppdateringen har testats framgångsrikt, och organisationen är säker på att inga konflikter eller problem kommer att uppstå.
• Håll bibliotekssystemet uppdaterat.
• Använd en 'konfiguration kontrollsystem" för att övervaka all operativ programvara inklusive programdokumentation.
• Före eventuella uppdateringar eller installationer, kom överens om en "återställningsstrategi" för att garantera kontinuitet i verksamheten i händelse av ett oväntat fel eller konflikt.
• Håll ett register över alla ändringar som gjorts i operativ programvara, ge en kort översikt över uppdateringen, de personer som är inblandade och en tidsstämpel.
• Se till att all oanvänd programvara lagras säkert och förvaras med all nödvändig dokumentation, konfigurationsfiler, systemloggar och stödjande procedurer, om det skulle behövas i framtiden.
• Genomför stränga regler för de programvarupaket som användare kan installera, baserat på principerna om "minsta privilegium" och i linje med tillämpliga roller och ansvarsområden.

Vägledning om leverantörsprogramvara

När det kommer till leverantörslevererad programvara (t.ex. programvara som används för att köra maskiner eller för ett unikt affärssyfte), är det viktigt att upprätthålla leverantörens riktlinjer för att säkerställa att den förblir i gott skick.

Det är viktigt att vara medveten om att även i fall av externt levererad och hanterad programvara eller programvarumoduler (dvs organisationen ansvarar inte för några uppdateringar), bör åtgärder vidtas för att garantera att tredjepartsuppdateringar inte undergräver organisationens nätverksintegritet.

Organisationer bör avstå från att använda overifierad leverantörsprogramvara såvida det inte är absolut nödvändigt och komma ihåg säkerhetskonsekvenserna av att använda föråldrade program snarare än att uppgradera till nyare, säkrare system.

Om en leverantör kräver åtkomst till en organisations nätverk för att installera eller uppdatera något, bör aktiviteten övervakas och auktoriseras enligt ISO 27001:2022 Annex A 5.22.

Kompletterande vägledning om bilaga A 8.19

Programvaran bör uppgraderas, installeras och korrigeras i linje med organisationens rutiner för förändringshantering, för att garantera överensstämmelse med resten av verksamheten.

Närhelst en patch identifieras som helt utrotar en sårbarhet (eller grupp av sårbarheter) eller hjälper till på något sätt för att förbättra organisationens informationssäkerhet processer bör sådana ändringar vanligtvis tillämpas (även om det fortfarande är nödvändigt att undersöka sådana förändringar på individuell basis).

Organisationer bör vid behov använda den senaste, aktivt underhållna versionen av programvara med öppen källkod. De bör också ta hänsyn till alla risker som är förknippade med att använda ounderhållen programvara i sin verksamhet.

Bifogade kontroller i bilaga A

• ISO 27001:2022 bilaga A 5.22
• ISO 27001:2022 bilaga A 8.5

Ändringar och skillnader från ISO 27001:2013

ISO 27001:2022 Annex A 8.19 ersätter ISO 27001:2013 Annex A 12.5.1 (Programvaruinstallation på operativa system) och 12.6.2 (Begränsningar för programvaruinstallation) i den reviderade 2022-standarden.

ISO 27001:2022 Annex A 8.19 kombinerar de flesta av riktlinjerna i ISO 27001:2013 Annex A 12.5.1 och 12.6.2, med några nyckelbegrepp utarbetade och nya styrande principer tillagda:

• Underhålla och hantera ett bibliotekssystem.
• Regler som styr användningen av programvara med öppen källkod.
• Säkerställ noggrann logisk övervakning av installation och underhåll av programvara från leverantören.

Tabell över alla ISO 27001:2022 bilaga A kontroller

I tabellen nedan hittar du mer information om varje individ ISO 27001:2022 bilaga A Kontrollera.

Hur ISMS.online Hjälp

ISMS.online tillhandahåller en heltäckande lösning för implementering av ISO 27001:2022. Detta webbaserade system underlättar att visa att din ledningssystem för informationssäkerhet är kompatibel med de godkända standarderna genom användning av strömlinjeformade processer, procedurer och checklistor.

Denna plattformen gör inte bara implementeringen av ISO 27001 enkel men det fungerar också som en utmärkt resurs för att utbilda personal i bästa praxis och processer i relation till informationssäkerhet, samt för att registrera alla ansträngningar.

Fördelarna med att använda ISMS.online är många:

• Denna plattform är användarvänlig och kan nås från vilken enhet som helst.
• Det är lätt att justera för att passa dina behov.
• Anpassa arbetsflöden och processer för att passa dina affärskrav.
• Verktyg som gör det möjligt för ny personal att bli duktig snabbare.
• Ett bibliotek med malldokument finns till hands, inklusive policyer, procedurer, planer och checklistor.

Kontakta oss nu för att arrangera en demonstration.