ISO 27001:2022 Annex A 8.26 – Applikationssäkerhetskrav

• Se ISO 27002:2022 Kontroll 8.26 för mer information.
• Se ISO 27001:2013 bilaga A 14.1.2 för mer information.
• Se ISO 27001:2013 bilaga A 14.1.3 för mer information.

Förstå ISO 27001:2022 Annex A 8.26 – Application Security Essentials

Tillämpningsprogram som webbappar, grafikprogram, databaser och betalningshantering är väsentliga för många affärsverksamheter.

Applikationer är ofta sårbara för säkerhetsproblem som kan leda till exponering av konfidentiell data.

Som ett exempel försummade den amerikanska kreditbyrån Equifax att tillämpa en säkerhetskorrigering på webbapplikationsramverket som de använde för att hantera kundklagomål. Denna försummelse gjorde det möjligt för cyberangripare att utnyttja webbapplikationens säkerhetsbrister, infiltrera Equifax företagsnätverk och stjäla känslig information från cirka 145 miljoner människor.

ISO 27001:2022 bilaga A 8.26 beskriver hur organisationer kan implementera och implementera informationssäkerhet krav på applikationer under utveckling, användning och anskaffning. Det säkerställer att säkerhetsåtgärder integreras i applikationernas livscykel.

Syftet med ISO 27001:2022 bilaga A 8.26

ISO 27001: 2022 Bilaga A 8.26 tillåter organisationer att försvara sina datatillgångar som lagras i eller bearbetas av applikationer genom att erkänna och tillämpa lämpliga informationssäkerhetsspecifikationer.

Äganderätt till bilaga A 8.26

Smakämnen Chef för informationssäkerhet, med stöd av informationssäkerhetsexperter, bör åta sig identifiering, godkännande och implementering av informationskrav som rör anskaffning, användning och utveckling av applikationer.

Allmän vägledning om ISO 27001:2022 bilaga A 8.26 Överensstämmelse

Organisationer bör genomföra en riskbedömning för att fastställa de nödvändiga informationssäkerhetskraven för en viss applikation.

Innehåll och typer av informationssäkerhetskrav kan variera beroende på applikationen, men dessa bör täcka:

• Baserat på ISO 27001:2022 bilaga A 5.17, 8.2 och 8.5, nivån av förtroende som tilldelas en specifik enhets identitet.
• Klassificering av de informationstillgångar som ska sparas eller hanteras av programvaran måste identifieras.
• Finns det ett behov av att separera åtkomst till funktioner och data som lagras i appen.
• Bedöm om applikationen är robust mot cyberpenetrationer som SQL-injektioner eller oavsiktliga avlyssningar som buffertspill.
• Juridiskt måste regulatoriska och lagstadgade krav och standarder uppfyllas när man hanterar transaktioner som bearbetas, genereras, sparas eller avslutas av appen.
• Sekretess är av yttersta vikt för alla inblandade.
• Det är viktigt att se till att konfidentiell information skyddas.
• Att säkerställa informationens säkerhet när den används, överförs eller lagras är av största vikt.
• Det är viktigt att alla berörda parter har säker kryptering av deras kommunikation om nödvändigt.
• Att implementera indatakontroller, som att validera indata och utföra integritetskontroller, garanterar noggrannhet.
• Utföra automatiserade kontroller.
• Se till att åtkomsträttigheter, såväl som vem som kan se utdata, beaktas för kontroll av utdata.
• Det är viktigt att införa gränser för vad som kan inkluderas i "fritext"-fält för att skydda mot oavsiktlig spridning av konfidentiell information.
• Regulatoriska krav, såsom de som styr loggning av transaktioner och icke-avvisande.
• Andra säkerhetskontroller kan kräva efterlevnad av specifika krav; till exempel system för att upptäcka dataläckage.
• Hur din organisation hanterar felmeddelanden.

Vägledning om transaktionstjänster

ISO 27001:2022 bilaga A 8.26 kräver att organisationer överväger följande sju rekommendationer när de tillhandahåller transaktionstjänster mellan sig själva och en partner:

• Graden av tro varje part behöver ha för den andras identitet är avgörande i varje transaktion.
• Tillförlitligheten hos data som skickas eller behandlas måste säkerställas och ett lämpligt system för att identifiera eventuella integritetsbrister, inklusive hash och digitala signaturer, måste identifieras.
• Företaget måste sätta upp ett system för att avgöra vem som är behörig att godkänna, signera och signera av viktiga transaktionsdokument.
• Säkerställa sekretessen och riktigheten av viktiga dokument, och verifiera överföringen och mottagandet av nämnda dokument.
• Att bevara konfidentialitet och korrekthet för transaktioner, detta kan vara beställningar och fakturor.
• Krav på hur transaktioner ska förbli konfidentiella under en viss tidsperiod.
• Avtalsförpliktelser och försäkringskrav måste uppfyllas.

Vägledning om elektronisk beställning och betalningsansökningar

Organisationer bör överväga följande när de införlivar betalnings- och elektroniska beställningsmöjligheter i applikationer:

• Säkerställande av konfidentialitet och integritet för orderinformation är viktigt.
• Upprätta en lämplig nivå av bekräftelse för att bekräfta betalningsinformationen som tillhandahålls av en kund.
• Undviker felplacering eller replikering av transaktionsdata.
• Se till att information om information hålls borta från ett allmänt tillgängligt område, t.ex. ett lagringsmedium som finns på organisationens intranät.
• Närhelst en organisation förlitar sig på en extern myndighet för att utfärda digitala signaturer måste den säkerställa att säkerheten är integrerad genom hela processen.

Vägledning om nätverk

När applikationer nås via nätverk kan de utsättas för avtalsmässiga meningsskiljaktigheter, bedrägligt beteende, missvisning, ej godkända ändringar av innehållet i kommunikationen eller sekretessen för känsliga uppgifter kan komma att kränkas.

ISO 27001:2022 Annex A 8.26 råder organisationer att genomföra grundliga riskbedömningar för att identifiera lämpliga kontroller, såsom kryptografi, för att skydda säkerheten för informationsöverföringar.

Ändringar och skillnader från ISO 27001:2013

ISO 27001:2022 bilaga A 8.26 ersätter ISO 27001:2013 bilaga A 14.1.2 och 14.1.3 i den reviderade 2022-standarden.

Det finns tre stora skillnader mellan de två versionerna.

Alla applikationer kontra applikationer som passerar genom offentliga nätverk

ISO 27001:2013 ger en lista över informationssäkerhetskrav som ska beaktas för applikationer som ska överföras via publika nätverk.

ISO 27001:2022 Annex A 8.26, däremot, tillhandahåller en lista över informationssäkerhetskrav som gäller för alla applikationer.

Ytterligare vägledning om elektronisk beställning och betalningsansökningar

ISO 27001:2022 Annex A 8.26 ger specifik vägledning om elektroniska beställnings- och betalningsansökningar, något som inte togs upp i 2013 års version.

Krav på transaktionstjänster

Medan 2022-utgåvan och 2013-utgåvan är nästan desamma när det gäller förutsättningarna för transaktionstjänster, introducerar 2022-utgåvan ett extra krav som inte beaktas i 2013 års upplaga:

• Organisationer bör ha i åtanke avtalsförpliktelser och försäkringsvillkor.

Tabell över alla ISO 27001:2022 bilaga A kontroller

I tabellen nedan hittar du mer information om varje individ ISO 27001:2022 bilaga A Kontrollera.

Hur ISMS.online Hjälp

ISMS.online är ett molnbaserat system som hjälper organisationer att visa överensstämmelse med ISO 27001:2022. Detta system kan användas för att övervaka kraven enligt ISO 27001, vilket säkerställer att din organisation förblir kompatibel med standarden.

Vår plattformen är användarvänlig och tillgänglig för alla. Det kräver ingen komplicerad teknisk kunskap; vem som helst i ditt företag kan använda det.

Kontakta oss nu för att schemalägga en demonstration.