ISO 27001:2022 bilaga A 8.29 – Säkerhetstestning i utveckling och acceptans

• Se ISO 27002:2022 Kontroll 8.29 för mer information.
• Se ISO 27001:2013 bilaga A 14.2.8 för mer information.
• Se ISO 27001:2013 bilaga A 14.2.9 för mer information.

Säkerställa säker utveckling: ISO 27001 bilaga A 8.29 Säkerhetstestning förklaras

Cyberbrottslingar utarbetar ständigt nya metoder och förbättrar sin taktik för att bryta mot företagsnätverk och få tillgång till konfidentiell data.

Cyberbrottslingar kan utnyttja ett fel kopplat till autentiseringsprocessen i källkoden för att bryta mot nätverk. Dessutom kan de försöka övertala slutanvändare på klientsidan att göra saker som gör att de kan få tillgång till data, infiltrera nätverk eller utföra ransomware-attacker.

Om en applikation, programvara eller IT-system distribueras med sårbarheter, skulle detta innebära risk för känslig information att äventyras.

Organisationer bör sätta upp och utföra en lämplig säkerhetstestprocess för att identifiera och åtgärda eventuella sårbarheter i IT-system innan de distribueras till den verkliga världen.

Syftet med ISO 27001:2022 bilaga A 8.29

ISO 27001: 2022 Bilaga A Kontroll 8.29 tillåter organisationer att säkerställa att alla säkerhetskrav uppfylls när nya applikationer, databaser, programvara eller kod implementeras. Detta görs genom att skapa och följa en noggrann säkerhetstestprocess.

Organisationer kan identifiera och ta bort potentiella svagheter i deras kod, nätverk, servrar, applikationer och andra IT-system innan de implementeras i den verkliga världen.

Äganderätt till bilaga A 8.29

Smakämnen Informationssäkerhetsansvarig bör säkerställa att ISO 27001:2022 bilaga A Kontroll 8.29 uppfylls, vilket kräver upprättande, underhåll och implementering av ett säkerhetstestförfarande som täcker alla nya informationssystem, oavsett om de skapas internt eller av tredje part.

Allmän vägledning om ISO 27001:2022 bilaga A 8.29 Överensstämmelse

Organisationer bör införliva säkerhetstester i testprocessen för alla system, vilket garanterar att alla nya informationssystem, såväl som deras nya/uppdaterade versioner, uppfyller kraven på informationssäkerhet när de är i produktionsmiljön.

ISO 27001:2022 bilaga A Kontroll 8.29 beskriver tre element som väsentliga komponenter i säkerhetstestning:

1. Säkerställ säkerhet genom användarautentisering i enlighet med ISO 27001:2022 bilaga A 8.5, åtkomstbegränsning i enlighet med ISO 27001:2022 bilaga A 8.3 och kryptografi enligt ISO 27001:2022 bilaga A 8.24.
2. Se till att koden är säkert skriven i enlighet med ISO 27001:2022 Annex A 8.28.
3. Se till att konfigurationer uppfyller kraven i bilaga A 8.9, 8.20 och 8.22, vilket kan involvera brandväggar och operativsystem.

Vad bör en testplan innehålla?

När organisationer utarbetar planer för säkerhetstestning bör de ta hänsyn till hur brådskande och karaktären det involverade informationssystemet har.

Denna säkerhetstestplan bör innehålla följande element:

• Skapa en övergripande agenda för de åtaganden och de tester som ska genomföras.
• Förväntade utfall när vissa villkor är uppfyllda inkluderar både input och output.
• Kriterier för att bedöma resultaten måste fastställas.
• När resultaten har erhållits kan beslut fattas om vilka åtgärder som ska vidtas.

Intern utveckling

Det interna utvecklingsteamet bör genomföra den första säkerhetstestningen för att garantera att IT-systemet följer säkerhetsspecifikationerna.

En första omgång av testning bör genomföras, följt av oberoende acceptanstestning i enlighet med ISO 27001:2022 bilaga A 5.8.

När det gäller intern utveckling bör följande beaktas:

• Genomföra kodgranskning för att identifiera och åtgärda säkerhetsproblem, inklusive förväntade indata och situationer.
• Utföra sårbarhetssökningar för att identifiera osäkra inställningar och andra potentiella svagheter.
• Utföra penetrationstester för att identifiera svag kodning och design.

Outsourcing

Organisationer bör följa en rigorös förvärvsförfarande när de delegerar utveckling eller köpa IT-element från externa källor.

Organisationer bör ingå ett kontrakt med sina leverantörer som uppfyller de informationssäkerhetskriterier som anges i ISO 27001:2022 bilaga A 5.20.

Organisationer bör garantera att de varor och tjänster de förvärvar är i linje med säkerhetsstandarderna för informationssäkerhet.

Kompletterande vägledning om ISO 27001:2022 bilaga A 8.29

Organisationer kan skapa flera testmiljöer för att genomföra en rad tester, inklusive funktionella, icke-funktionella och prestanda. De kan skapa virtuella testmiljöer, konfigurera dem för att testa IT-system i olika operativa inställningar och förfina dem därefter.

Bilaga A 8.29 betonar behovet av effektiva säkerhetstester, vilket kräver att organisationer testar och övervakar testmiljöerna, verktygen och teknikerna.

Organisationer bör överväga nivån av känslighet och betydelse när de bestämmer hur många lager av meta-testning som ska användas.

Ändringar och skillnader från ISO 27001:2013

ISO 27001:2022 bilaga A 8.29 ersätter ISO 27001:2013 Bilaga A 14.2.8 och 14.2.9 i den senaste revideringen.

Strukturella förändringar

ISO 27001: 2022 konsoliderar säker testning till en kontroll, till skillnad från ISO 27001:2013, som hänvisade till säker testning i två olika kontroller; Systemsäkerhetstestning (bilaga A 14.2.8) och systemacceptanstestning (bilaga A 14.2.9).

ISO 27001:2022 bilaga A 8.29 ger mer omfattande krav

Till skillnad från ISO 27001:2013 innehåller ISO 27001:2022-revisionen mer omfattande krav och råd om:

• En säkerhetstestplan som bör innehålla en mängd olika element.
• Kriterier för att bedöma säkerheten vid utveckling av IT-system i egen regi.
• Vad ska ingå i säkerhetstestningsprocessen.
• Det är viktigt att använda flera testmiljöer. Det säkerställer noggrannhet och noggrannhet i processen.

ISO 27001:2013 var mer detaljerad i förhållande till acceptanstestning

I motsats till ISO 27001:2022 var ISO 27001:2013 mer detaljerad angående systemacceptanstestning. Det inkluderade säkerhetstester för inkommande komponenter och användning av automatiserade verktyg.

Tabell över alla ISO 27001:2022 bilaga A kontroller

I tabellen nedan hittar du mer information om varje enskild ISO 27001:2022 Annex A-kontroll.

Hur ISMS.online Hjälp

ISMS.online förenklar implementeringsprocessen för ISO 27001:2022 genom ett sofistikerat molnbaserat ramverk, som tillhandahåller dokumentation av processer för informationssäkerhetshanteringssystem och checklistor för att säkerställa kompatibilitet med accepterade standarder.

Kontakta oss till arrangera en demonstration.