ISO 27001:2022 Annex A 8.31 – Separation av utvecklings-, test- och produktionsmiljöer

• Se ISO 27002:2022 Kontroll 8.31 för mer information.
• Se ISO 27001:2013 bilaga A 12.1.4 för mer information.
• Se ISO 27001:2013 bilaga A 14.2.6 för mer information.

ISO 27001 Annex A 8.31: Varför det är viktigt att separera utvecklings-, test- och produktionsmiljöer

Att misslyckas med att separera utvecklings-, test- och produktionsmiljöer korrekt kan leda till förlust av tillgänglighet, konfidentialitet och integritet för informationstillgångar.

Till exempel satte Uber av misstag upp ett kodlager på Github som inkluderade lösenord från deras produktionsmiljö, vilket äventyrade konfidentialiteten för känslig data.

Organisationer bör upprätta lämpliga protokoll och regler för att separera utvecklings-, testnings- och produktionsinställningar för att utrota säkerhetsrisker.

Syftet med ISO 27001:2022 bilaga A 8.31

ISO 27001: 2022 Bilaga A 8.31 underlättar organisationer att bevara konfidentialitet, integritet och tillgänglighet för känsliga informationstillgångar via lämpliga processer, kontroller och bestämmelser. Den gör detta genom att isolera utvecklings-, test- och produktionsmiljöer.

Äganderätt till bilaga A 8.31

Smakämnen Chef för informationssäkerhet, med hjälp av utvecklingsteamet, ska vara ytterst ansvarig för att följa ISO 27001:2022 Annex A 8.31, som kräver etablering och implementering av organisationsövergripande processer och kontroller för att separera olika mjukvarumiljöer.

Allmän vägledning om ISO 27001:2022 bilaga A 8.31 Överensstämmelse

Organisationer bör överväga de produktionsfrågor som bör undvikas när de beslutar om den nödvändiga graden av separation mellan de tre miljöerna.

Bilaga A 8.31 föreslår att organisationer ska tänka på sju kriterier:

1. Segregering av utvecklings- och produktionssystem till en tillfredsställande nivå rekommenderas. Till exempel, att använda distinkta virtuella och fysiska miljöer för produktion kan vara en hållbar lösning.
2. Regler och auktorisationsprocedurer ska utformas, dokumenteras och implementeras avseende användning av programvara i produktionsmiljön efter att den har passerat utvecklingsmiljön.
3. Organisationer bör utvärdera och testa ändringar av applikationer och produktionssystem i en isolerad testmiljö, utesluten från produktionsmiljön, innan de implementeras i produktionsmiljön.
4. Ingen testning i produktionsmiljöer bör förekomma om den inte har definierats och godkänts i förväg.
5. Utvecklingsresurser, såsom kompilatorer och redaktörer, bör inte vara tillgängliga i produktionsmiljöer om det inte är absolut nödvändigt.
6. För att minska misstag bör korrekta miljöetiketter vara framträdande i menyerna.
7. Inga känsliga informationstillgångar bör överföras till några utvecklings- eller testsystem om inte motsvarande säkerhetsåtgärder finns på plats.

Vägledning om skydd av utvecklings- och testmiljöer

Organisationer bör skydda utvecklings- och testmiljöer från potentiella säkerhetsrisker, med hänsyn till följande:

• Se till att alla utvecklings-, integrations- och testverktyg, t.ex. byggare, integratörer och bibliotek, korrigeras regelbundet och hålls uppdaterade.
• Se till att alla system och programvara är säkert konfigurerade.
• Lämpliga kontroller måste finnas på plats för åtkomst till miljöer.
• Ändringar av miljöer och deras koder bör övervakas och granskas.
• Säker övervakning och översyn av miljöer bör genomföras.
• Miljöer bör skyddas med säkerhetskopior.

Ingen individ ska ges privilegiet att göra ändringar i både utvecklings- och produktionsmiljöer utan att ha fått godkännande i förväg. För att undvika detta kan organisationer separera åtkomsträttigheter eller införa och utföra åtkomstkontroller.

Organisationer kan överväga ytterligare tekniska kontroller, som att logga alla åtkomstaktiviteter och övervaka åtkomsten till dessa miljöer i realtid.

Kompletterande vägledning om bilaga A 8.31

Om organisationer inte vidtar nödvändiga åtgärder kan deras informationssystem utsättas för betydande säkerhetsrisker.

Utvecklare och testare med åtkomst till produktionsmiljön kan göra oavsiktliga ändringar i filer eller systeminställningar, köra otillåten kod eller oavsiktligt avslöja känslig data.

Organisationer kräver en stadig inställning för att utföra grundliga tester av sin kod, vilket hindrar utvecklare från att komma åt produktionsmiljöer som lagrar och bearbetar känslig verklig data.

Organisationer bör tilldela specifika roller och genomdriva åtskillnad av arbetsuppgifter.

Utvecklings- och testteamen kan riskera att äventyra den konfidentiella produktionsdatan om de använder samma datorenheter. Oavsiktliga ändringar av känslig information eller program kan göras.

Organisationer uppmanas att sätta upp hjälpprocesser för att använda produktionsdata i test- och utvecklingssystem i enlighet med ISO 27001:2022 Annex A 8.33.

Organisationer bör överväga de åtgärder som diskuteras i denna bilaga A Kontroll när de genomför slutanvändarutbildning i utbildningsmiljöer.

Slutligen kan organisationer skymma gränserna mellan utveckling, testning och produktionsinställningar. Till exempel kan testning utföras i en utvecklingsmiljö, eller så kan personalen testa produkten genom att faktiskt använda den.

Ändringar och skillnader från ISO 27001:2013

ISO 27001:2022 bilaga A 8.31 ersätter ISO 27001:2013 Bilaga A 12.1.4 och ISO 27001:2013 Bilaga A 14.2.6. Denna revidering gör de nödvändiga justeringarna för att få standarden i linje med den senaste praxisen.

De två versionerna har mycket gemensamt, men två skillnader är anmärkningsvärda.

ISO 27001:2013 bilaga A 14.2.6 Mer detaljerad vägledning om säkra utvecklingsmiljöer

ISO 27001:2013 Annex A 14.2.6 behandlar säkra utvecklingsmiljöer och beskriver 10 rekommendationer för organisationer att överväga när de bygger en utvecklingsmiljö.

Som jämförelse innehåller ISO 27001:2022 bilaga A 8.33 inte vissa förslag, som att ha en säkerhetskopia på en avlägsen plats och begränsningar för dataöverföring.

ISO 27001:2022 bilaga A 8.31 behandlar produkttester och användning av produktionsdata

I jämförelse med ISO 27001:2013 erbjuder ISO 27001:2022 Annex A 8.31 vägledning om produkttestning och användning av produktionsdata i linje med ISO 27001:2022 Annex A 8.33.

Tabell över alla ISO 27001:2022 bilaga A kontroller

I tabellen nedan hittar du mer information om varje enskild ISO 27001:2022 Bilaga A Kontrollera.

Hur ISMS.online Hjälp

ISMS.Online ger support för hela ISO 27001 implementering, från riskbedömning till skapandet av policyer, procedurer och riktlinjer för att följa standarden.

ISMS.Online erbjuder ett bekvämt tillvägagångssätt för att registrera upptäckter och dela dem med kollegor online. Den gör det också möjligt för dig att skapa och lagra checklistor för varje ISO 27001-uppgift, vilket gör att du enkelt kan övervaka din organisations säkerhetsprogram.

Vi förser också organisationer med en automatiserad verktygsuppsättning som underlättar efterlevnaden av ISO 27001-standarden. Dess användarvänliga design gör det enkelt att bevisa överensstämmelse.

Kontakta oss nu för att arrangera en demonstration.