ISO 27001:2022 Bilaga A Kontroll 8.31

Allmän vägledning om ISO 27001:2022 bilaga A 8.31 Överensstämmelse

Organisationer bör överväga de produktionsfrågor som bör undvikas när de beslutar om den nödvändiga graden av separation mellan de tre miljöerna.

Bilaga A 8.31 föreslår att organisationer ska tänka på sju kriterier:

1. Segregering av utvecklings- och produktionssystem till en tillfredsställande nivå rekommenderas. Till exempel, att använda distinkta virtuella och fysiska miljöer för produktion kan vara en hållbar lösning.
2. Regler och auktorisationsprocedurer ska utformas, dokumenteras och implementeras avseende användning av programvara i produktionsmiljön efter att den har passerat utvecklingsmiljön.
3. Organisationer bör utvärdera och testa ändringar av applikationer och produktionssystem i en isolerad testmiljö, utesluten från produktionsmiljön, innan de implementeras i produktionsmiljön.
4. Ingen testning i produktionsmiljöer bör förekomma om den inte har definierats och godkänts i förväg.
5. Utvecklingsresurser, såsom kompilatorer och redaktörer, bör inte vara tillgängliga i produktionsmiljöer om det inte är absolut nödvändigt.
6. För att minska misstag bör korrekta miljöetiketter vara framträdande i menyerna.
7. Inga känsliga informationstillgångar bör överföras till några utvecklings- eller testsystem om inte motsvarande säkerhetsåtgärder finns på plats.

Vägledning om skydd av utvecklings- och testmiljöer

Organisationer bör skydda utvecklings- och testmiljöer från potentiella säkerhetsrisker, med hänsyn till följande:

• Se till att alla utvecklings-, integrations- och testverktyg, t.ex. byggare, integratörer och bibliotek, korrigeras regelbundet och hålls uppdaterade.
• Se till att alla system och programvara är säkert konfigurerade.
• Lämpliga kontroller måste finnas på plats för åtkomst till miljöer.
• Ändringar av miljöer och deras koder bör övervakas och granskas.
• Säker övervakning och översyn av miljöer bör genomföras.
• Miljöer bör skyddas med säkerhetskopior.

Ingen individ ska ges privilegiet att göra ändringar i både utvecklings- och produktionsmiljöer utan att ha fått godkännande i förväg. För att undvika detta kan organisationer separera åtkomsträttigheter eller införa och utföra åtkomstkontroller.

Organisationer kan överväga ytterligare tekniska kontroller, som att logga alla åtkomstaktiviteter och övervaka åtkomsten till dessa miljöer i realtid.

Kompletterande vägledning om bilaga A 8.31

Om organisationer inte vidtar nödvändiga åtgärder kan deras informationssystem utsättas för betydande säkerhetsrisker.

Utvecklare och testare med åtkomst till produktionsmiljön kan göra oavsiktliga ändringar i filer eller systeminställningar, köra otillåten kod eller oavsiktligt avslöja känslig data.

Organisationer kräver en stadig inställning för att utföra grundliga tester av sin kod, vilket hindrar utvecklare från att komma åt produktionsmiljöer som lagrar och bearbetar känslig verklig data.

Organisationer bör tilldela specifika roller och genomdriva åtskillnad av arbetsuppgifter.

Utvecklings- och testteamen kan riskera att äventyra den konfidentiella produktionsdatan om de använder samma datorenheter. Oavsiktliga ändringar av känslig information eller program kan göras.

Organisationer uppmanas att sätta upp hjälpprocesser för att använda produktionsdata i test- och utvecklingssystem i enlighet med ISO 27001:2022 Annex A 8.33.

Organisationer bör överväga de åtgärder som diskuteras i denna bilaga A Kontroll när de genomför slutanvändarutbildning i utbildningsmiljöer.

Slutligen kan organisationer skymma gränserna mellan utveckling, testning och produktionsinställningar. Till exempel kan testning utföras i en utvecklingsmiljö, eller så kan personalen testa produkten genom att faktiskt använda den.

Ändringar och skillnader från ISO 27001:2013

ISO 27001:2022 bilaga A 8.31 ersätter ISO 27001:2013 Bilaga A 12.1.4 och ISO 27001:2013 Bilaga A 14.2.6. Denna revidering gör de nödvändiga justeringarna för att få standarden i linje med den senaste praxisen.

De två versionerna har mycket gemensamt, men två skillnader är anmärkningsvärda.

ISO 27001:2013 bilaga A 14.2.6 Mer detaljerad vägledning om säkra utvecklingsmiljöer

ISO 27001:2013 Annex A 14.2.6 behandlar säkra utvecklingsmiljöer och beskriver 10 rekommendationer för organisationer att överväga när de bygger en utvecklingsmiljö.

Som jämförelse innehåller ISO 27001:2022 bilaga A 8.33 inte vissa förslag, som att ha en säkerhetskopia på en avlägsen plats och begränsningar för dataöverföring.

ISO 27001:2022 bilaga A 8.31 behandlar produkttester och användning av produktionsdata

I jämförelse med ISO 27001:2013 erbjuder ISO 27001:2022 Annex A 8.31 vägledning om produkttestning och användning av produktionsdata i linje med ISO 27001:2022 Annex A 8.33.

Tabell över alla ISO 27001:2022 bilaga A kontroller

I tabellen nedan hittar du mer information om varje enskild ISO 27001:2022 Bilaga A Kontrollera.

Hur ISMS.online Hjälp

ISMS.Online ger support för hela ISO 27001 implementering, från riskbedömning till skapandet av policyer, procedurer och riktlinjer för att följa standarden.

ISMS.Online erbjuder ett bekvämt tillvägagångssätt för att registrera upptäckter och dela dem med kollegor online. Den gör det också möjligt för dig att skapa och lagra checklistor för varje ISO 27001-uppgift, vilket gör att du enkelt kan övervaka din organisations säkerhetsprogram.

Vi förser också organisationer med en automatiserad verktygsuppsättning som underlättar efterlevnaden av ISO 27001-standarden. Dess användarvänliga design gör det enkelt att bevisa överensstämmelse.

Kontakta oss nu för att arrangera en demonstration.