Vad är ISO 27002:2022 Control 8.28 on Secure Coding?
Dålig kodningsmetoder som felaktig indatavalidering och svag nyckelgenerering kan utsätta informationssystem för säkerhetsbrister och resultera i cyberattacker och äventyra känslig informationstillgångar.
Till exempel i det ökända Heartbleed bug incident, hackare utnyttjade felaktig indatavalidering i koden för att få tillgång till mer än 4 miljoner patientdata.
Därför bör organisationer se till att principerna för säker kodning följs så att dålig kodning inte leder till säkerhetsbrister.
Syfte med kontroll 8.28
Kontroll 8.28 gör det möjligt för organisationer att förhindra säkerhetsrisker och sårbarheter som kan uppstå som ett resultat av dålig praxis för programvarukodning genom att designa, implementera och granska lämpliga principer för säker programvarukodning.
Attributtabell för kontroll 8.28
Kontroll 8.28 är en förebyggande typ av kontroll som hjälper organisationer att upprätthålla säkerheten för nätverk, system och applikationer genom att eliminera risker som kan uppstå på grund av dåligt utformad programvarukod.
| Kontroll typ | Informationssäkerhetsegenskaper | Cybersäkerhetskoncept | Operativa förmågor | Säkerhetsdomäner |
|---|---|---|---|---|
| #Förebyggande | #Sekretess | #Skydda | #Applikationssäkerhet | #Skydd |
| #Integritet | #System- och nätverkssäkerhet | |||
| #Tillgänglighet |
Få ett försprång på 81 %
Vi har gjort det hårda arbetet åt dig, vilket ger dig ett försprång på 81 % från det ögonblick du loggar in.
Allt du behöver göra är att fylla i tomrummen.
Äganderätt till kontroll 8.28
Med tanke på att 8.28 kräver utformning och implementering av organisationsövergripande principer och procedurer för säker kodning, bör chefen för informationssäkerhet vara ansvarig för att vidta lämpliga åtgärder för efterlevnad.
Allmän vägledning om efterlevnad
Kontroll 8.28 kräver att organisationer upprättar och implementerar organisationsomfattande processer för säker kodning som gäller både programvaruprodukter erhållna från externa parter och programvarukomponenter med öppen källkod.
Dessutom bör organisationer hålla sig uppdaterade med utvecklingen av verkliga säkerhetshot och med den senaste informationen om kända eller potentiella säkerhetsbrister i programvaran. Detta kommer att göra det möjligt för organisationer att förbättra och implementera robusta principer för säker programvarukodning som är effektiva mot föränderliga cyberhot.
Kompletterande vägledning om planering
Säkra programvarukodningsprinciper bör följas både för nya kodningsprojekt och för återanvändning av programvara.
Dessa principer bör följas både för interna programvaruutvecklingsaktiviteter och för överföring av organisationens mjukvaruprodukter eller tjänster till tredje part.
När organisationer upprättar en plan för principer för säker kodning och bestämmer förutsättningarna för säker kodning, bör organisationer följa följande:
- Organisationer bör fastställa säkerhetsförväntningar skräddarsydda för deras behov och fastställa godkända principer för säker programvarukodning som kommer att gälla både intern programvaruutveckling och outsourcade programvarukomponenter.
- Organisationer bör upptäcka och dokumentera de vanligaste och historiskt dåliga kodningsdesignmetoderna och misstagen som leder till att informationssäkerheten äventyras.
- Organisationer bör införa och konfigurera mjukvaruutvecklingsverktyg för att säkerställa säkerheten för all kod som skapas. Ett exempel på sådana verktyg är integrerade utvecklingsmiljöer (IDE).
- Organisationer bör uppnå överensstämmelse med de riktlinjer och instruktioner som tillhandahålls av verktyg för programvaruutveckling.
- Organisationer bör granska, underhålla och säkert använda utvecklingsverktyg som kompilatorer.
Kompletterande vägledning om säkerhet under kodning
Säkra kodningsmetoder och procedurer bör ta hänsyn till följande för kodningsprocessen:
- Säkra programvarukodningsprinciper bör skräddarsys för varje programmeringsspråk och teknik som används.
- Utplacering av säkra programmeringstekniker och metoder såsom testdriven utveckling och parprogrammering.
- Användning av strukturerade programmeringsmetoder.
- Korrekt koddokumentation och borttagning av koddefekter.
- Förbud mot användning av osäkra programvarukodningsmetoder såsom ej godkända kodexempel eller hårdkodade lösenord.
Kompletterande vägledning noterar också att säkerhetstestning bör utföras både under och efter utvecklingen i enlighet med Kontroll 8.29.
Innan de börjar använda programvaran i liveapplikationsmiljön bör organisationer överväga följande:
- Vad är attackytan?
- Följs principen om minsta privilegium?
- Genomföra en analys av de vanligaste programmeringsmisstagen och dokumentera att dessa risker har eliminerats.
Efterlevnad behöver inte vara komplicerat.
Vi har gjort det hårda arbetet åt dig, vilket ger dig ett försprång på 81 % från det ögonblick du loggar in.
Allt du behöver göra är att fylla i tomrummen.
Kompletterande vägledning om granskningsprocessen
Efter att koden har tagits i bruk i produktionsmiljön
- Uppdateringar bör tillämpas på ett säkert sätt.
- Säkerhetssårbarheter som rapporterats i enlighet med Control 8.8 bör åtgärdas.
- Misstänkta angrepp på informationssystem och fel bör registreras och dessa register bör granskas med jämna mellanrum så att lämpliga ändringar av koden kan göras.
- Obehörig åtkomst till, användning av eller ändringar av källkod bör förhindras via mekanismer som hanteringsverktyg.
När organisationer använder externa verktyg bör de ta hänsyn till följande
- Externa bibliotek bör övervakas och uppdateras med jämna mellanrum baserat på deras utgivningscykler.
- Programvarukomponenter bör noggrant granskas, utvalda och auktoriserade, särskilt kryptografi- och autentiseringskomponenter.
- Licensiering av externa komponenter och säkerställande av deras säkerhet.
- Programvara bör spåras och underhållas. Dessutom måste det säkerställas att det kommer från en pålitlig källa.
- Utvecklingsresurser bör finnas tillgängliga på lång sikt.
När du gör ändringar i ett programvarupaket bör följande beaktas
- Risker som kan uppstå på grund av inbyggda kontroller eller kompromisser med integritetsprocesser.
- Om säljaren ger samtycke till ändringar.
- Om det är möjligt att få medgivande från programvaruleverantören för regelbundna uppdateringar.
- Den sannolika effekten av att fortsätta underhållet av programvaran som uppstår till följd av ändringar.
- Om ändringarna skulle vara kompatibla med andra programvarukomponenter som används av organisationen.
Ytterligare vägledning om kontroll 8.28
Organisationer bör se till att säkerhetsrelevant kod används när det är nödvändigt och är resistent mot manipulering.
Kontroll 8.28 listar också följande rekommendationer för säkerhetsrelevant kod:
- Medan program som installeras via binär kod inkluderar säkerhetsrelevant kod, är detta begränsat till data som lagras i själva applikationen.
- Begreppet säkerhetsrelevant kod är endast användbart när koden körs på en server som inte är tillgänglig för användaren och den är separerad från de processer som använder den och dess data förvaras säkert i en annan databas. Du kan till exempel köra en tolkad kod på en molntjänst och åtkomst till kod kan begränsas till privilegierade administratörer. Det rekommenderas att du skyddar dessa åtkomsträttigheter via metoder som just-in-time administratörsbehörigheter och robusta autentiseringsmekanismer.
- Lämpliga konfigurationer på webbservrar bör implementeras för att förhindra obehörig åtkomst till och bläddring i katalogen.
- När du designar applikationskod bör du börja med antagandet att koden är sårbar för attacker på grund av kodningsfel och åtgärder från illvilliga aktörer. Du bör designa kritiska applikationer på ett sätt så att de inte är sårbara för interna fel. Till exempel kan utdata som produceras av en algoritm granskas för att säkerställa att den överensstämmer med säkerhetskraven innan den kan användas i kritiska applikationer som finansrelaterade applikationer.
- Vissa webbapplikationer är mycket sårbara för säkerhetshot på grund av dålig kodningsmetoder som databasinjektion och cross-site scripting-attacker.
- Organisationer bör hänvisa till ISO/IEC 15408-serien för mer information om IT-säkerhetsutvärdering.
Hantera all efterlevnad på ett ställe
ISMS.online stöder över 100 standarder
och förordningar, vilket ger dig en singel
plattform för alla dina efterlevnadsbehov.
Ändringar och skillnader från ISO 27002:2013
27002:2022/8.28 är en ny typ av kontroll.
Nya ISO 27002 kontroller
Nya kontroller
| ISO/IEC 27002:2022 Kontrollidentifierare | ISO/IEC 27002:2013 Kontrollidentifierare | Kontrollnamn |
|---|---|---|
| 5.7 | Nytt | Hot intelligens |
| 5.23 | Nytt | Informationssäkerhet för användning av molntjänster |
| 5.30 | Nytt | ICT-beredskap för kontinuitet i verksamheten |
| 7.4 | Nytt | Fysisk säkerhetsövervakning |
| 8.9 | Nytt | Konfigurationshantering |
| 8.10 | Nytt | Radering av information |
| 8.11 | Nytt | Datamaskering |
| 8.12 | Nytt | Förebyggande av dataläckage |
| 8.16 | Nytt | Övervakningsaktiviteter |
| 8.23 | Nytt | Webbfiltrering |
| 8.28 | Nytt | Säker kodning |
Organisatoriska kontroller
Människor kontroller
| ISO/IEC 27002:2022 Kontrollidentifierare | ISO/IEC 27002:2013 Kontrollidentifierare | Kontrollnamn |
|---|---|---|
| 6.1 | 07.1.1 | Screening |
| 6.2 | 07.1.2 | Anställningsvillkor |
| 6.3 | 07.2.2 | Informationssäkerhetsmedvetenhet, utbildning och träning |
| 6.4 | 07.2.3 | Disciplinär process |
| 6.5 | 07.3.1 | Ansvar efter uppsägning eller byte av anställning |
| 6.6 | 13.2.4 | Sekretess- eller sekretessavtal |
| 6.7 | 06.2.2 | Fjärrbearbetning |
| 6.8 | 16.1.2, 16.1.3 | Händelserapportering för informationssäkerhet |
Fysiska kontroller
| ISO/IEC 27002:2022 Kontrollidentifierare | ISO/IEC 27002:2013 Kontrollidentifierare | Kontrollnamn |
|---|---|---|
| 7.1 | 11.1.1 | Fysiska säkerhetsområden |
| 7.2 | 11.1.2, 11.1.6 | Fysiskt inträde |
| 7.3 | 11.1.3 | Säkra kontor, rum och lokaler |
| 7.4 | Nytt | Fysisk säkerhetsövervakning |
| 7.5 | 11.1.4 | Skydd mot fysiska och miljömässiga hot |
| 7.6 | 11.1.5 | Arbeta i säkra områden |
| 7.7 | 11.2.9 | Tydligt skrivbord och tydlig skärm |
| 7.8 | 11.2.1 | Utrustningsplacering och skydd |
| 7.9 | 11.2.6 | Säkerhet av tillgångar utanför lokaler |
| 7.10 | 08.3.1, 08.3.2, 08.3.3, 11.2.5 | Lagringsmedia |
| 7.11 | 11.2.2 | Stöd till verktyg |
| 7.12 | 11.2.3 | Kabelsäkerhet |
| 7.13 | 11.2.4 | Utrustningsunderhåll |
| 7.14 | 11.2.7 | Säker kassering eller återanvändning av utrustning |
Tekniska kontroller
Hur ISMS.online hjälper
Vår plattform har utvecklats specifikt för dig som är ny på informationssäkerhet eller behöver ett enkelt sätt att lära sig om ISO 27002 utan att behöva lägga tid på att lära sig från grunden eller läsa igenom långa dokument.
ISMS.Online är utrustad med alla verktyg som behövs för att uppnå efterlevnad inklusive dokumentmallar, checklistor och policyer som kan anpassas efter dina behov.
Vill du se hur det fungerar?
Hör av dig idag för att boka en demo.
Hoppa till ämnet
