ISO 27002:2022, Kontroll 8.26 – Applikationssäkerhetskrav

Äganderätt till kontroll 8.26

Chief Information Security Officer, med stöd av informationssäkerhetsspecialister, bör ansvara för identifiering, godkännande och implementering av informationskrav för anskaffning, användning och utveckling av applikationer.

Allmän vägledning om efterlevnad

Allmänna riktlinjer noterar att organisationer bör utföra en riskbedömning för att fastställa typen av informationssäkerhetskrav lämplig för en viss applikation.

Medan innehållet och typerna av krav på informationssäkerhet kan variera beroende på vilken typ av ansökan, kraven bör ta upp följande:

• Graden av förtroende som tilldelas identiteten för specifika enheter i enlighet med kontroll 5.17, 8.2 och 8.5.
• Identifiering av klassificeringsnivån tilldelas informationstillgångar ska lagras på eller behandlas av applikationen.
• Om det finns behov av att separera åtkomsten till funktioner och information som lagras i applikationen.
• Oavsett om applikationen är motståndskraftig mot cyberattacker som SQL-injektioner eller oavsiktliga avlyssningar som buffertspill.
• Lagliga, regulatoriska och lagstadgade krav och standarder som är tillämpliga på transaktionen som bearbetas, genereras, lagras eller slutförs av applikationen.
• Sekretessöverväganden för alla inblandade parter.
• Krav på skydd av konfidentiella uppgifter.
• Skydd av information när den används, under transport eller i vila.
• Vare säker kryptering av kommunikation mellan alla berörda parter är nödvändigt.
• Implementering av indatakontroller såsom indatavalidering eller utförande av integritetskontroller.
• Utföra automatiserade kontroller.
• Utföra utdatakontroller, med hänsyn till vem som kan se utdata och behörigheten för Access.
• Behöver införa begränsningar för innehållet i "fritext"-fält för att skydda spridningen av konfidentiella uppgifter på ett okontrollerbart sätt.
• Krav som härrör från affärsbehov såsom loggning av transaktioner och krav på icke-avvisning.
• Krav som ställs av andra säkerhetskontroller såsom system för upptäckt av dataläckage.
• Hur man hanterar felmeddelanden.

Kompletterande vägledning om transaktionstjänster

Kontroll 8.26 kräver att organisationer tar hänsyn till följande sju rekommendationer när en applikation erbjuder transaktionstjänster mellan organisationen och en partner:

• Graden av förtroende varje part i transaktionen kräver för den andra partens identitet.
• Graden av förtroende som krävs för integriteten hos data som kommuniceras eller behandlas och identifiering av en lämplig mekanism för att upptäcka eventuell brist på integritet, inklusive verktyg som hash och digitala signaturer.
• Upprättande av en auktoriseringsprocess för vem som får godkänna innehållet i, signera eller signera väsentliga transaktionsdokument.
• Upprätthålla konfidentialitet och integritet för de kritiska dokumenten och bevisa sändning och mottagande av sådana dokument.
• Skydda och upprätthålla integriteten och sekretessen för alla transaktioner som order och kvitton.
• Krav för vilken tidsperiod transaktioner ska hållas konfidentiella.
• Kontraktskrav och krav relaterade till försäkring.

Kompletterande vägledning om elektronisk beställning och betalningsansökningar

När applikationer inkluderar betalning och elektronisk beställningsfunktion, bör organisationer ta hänsyn till följande:

• Krav säkerställer att konfidentialitet och integritet för orderinformation inte äventyras.
• Bestämma en lämplig grad av verifiering för att verifiera betalningsinformationen som tillhandahålls av en kund.
• Förhindra förlust eller dubblering av transaktionsinformation.
• Säkerställa att information relaterad till information lagras utanför en allmänt tillgänglig miljö såsom på ett lagringsmedium som finns på organisationens eget intranät.
• När organisationer förlitar sig på en betrodd extern myndighet, till exempel för utfärdande av digitala signaturer, måste de säkerställa att säkerheten är integrerad i hela processen.

Kompletterande vägledning om nätverk

När applikationer nås via nätverk är de sårbara för hot som kontraktstvister, bedrägliga aktiviteter, feldirigering, obehöriga ändringar av innehållet i kommunikation eller förlust av konfidentialitet för känslig information.

Kontroll 8.26 rekommenderar att organisationer utför omfattande riskbedömningar för att identifiera lämpliga kontroller såsom användning av kryptografi för att säkerställa säkerheten för informationsöverföringar.

Ändringar och skillnader från ISO 27002:2013

27002:2022/8.26 ersätt 27002:2013/(14.1.2 och 14.1.3)

Det finns tre stora skillnader mellan de två versionerna.

Alla applikationer kontra applikationer som passerar genom offentliga nätverk

ISO 27002:2013-versionen listade inte krav som gäller för alla applikationer: Den gav en lista över informationssäkerhetskrav som bör beaktas för applikationer som passerar genom offentliga nätverk.

Kontroll 8.26 i 2022 års version, tvärtom, tillhandahållit en lista över informationssäkerhetskrav som gäller för alla applikationer.

Ytterligare vägledning om elektronisk beställning och betalningsansökningar

Kontroll 8.26 i 2022 års version innehåller specifik vägledning om Elektroniska beställnings- och betalningsapplikationer. Däremot tog 2013 års version inte upp detta.

Ytterligare krav på transaktionstjänster

Medan 2022-versionen och 2013-versionen är nästan identiska när det gäller kraven för transaktionstjänster, inför 2022-versionen ett ytterligare krav som inte tas upp i 2013 års version:

• Organisationer bör överväga avtalskrav och krav relaterade till försäkring.

Hur ISMS.online hjälper

ISMS.online är en molnbaserad lösning som hjälper företag att visa efterlevnad av ISO 27002. ISMS.online-lösningen kan användas för att hantera kraven på ISO 27002 och se till att din organisation förblir kompatibel med den nya standarden.

Vår plattform är användarvänlig och enkel. Det är inte bara för mycket tekniska individer; det är för alla i ditt företag.

Hör av dig idag för att boka en demo.