ISO 27002:2022, Kontroll 8.28 – Säker kodning

Äganderätt till kontroll 8.28

Med tanke på att 8.28 kräver utformning och implementering av organisationsövergripande principer och procedurer för säker kodning, bör chefen för informationssäkerhet vara ansvarig för att vidta lämpliga åtgärder för efterlevnad.

Allmän vägledning om efterlevnad

Kontroll 8.28 kräver att organisationer upprättar och implementerar organisationsomfattande processer för säker kodning som gäller både programvaruprodukter erhållna från externa parter och programvarukomponenter med öppen källkod.

Dessutom bör organisationer hålla sig uppdaterade med utvecklingen av verkliga säkerhetshot och med den senaste informationen om kända eller potentiella säkerhetsbrister i programvaran. Detta kommer att göra det möjligt för organisationer att förbättra och implementera robusta principer för säker programvarukodning som är effektiva mot föränderliga cyberhot.

Kompletterande vägledning om planering

Säkra programvarukodningsprinciper bör följas både för nya kodningsprojekt och för återanvändning av programvara.

Dessa principer bör följas både för interna programvaruutvecklingsaktiviteter och för överföring av organisationens mjukvaruprodukter eller tjänster till tredje part.

När organisationer upprättar en plan för principer för säker kodning och bestämmer förutsättningarna för säker kodning, bör organisationer följa följande:

• Organisationer bör fastställa säkerhetsförväntningar skräddarsydda för deras behov och fastställa godkända principer för säker programvarukodning som kommer att gälla både intern programvaruutveckling och outsourcade programvarukomponenter.
• Organisationer bör upptäcka och dokumentera de vanligaste och historiskt dåliga kodningsdesignmetoderna och misstagen som leder till att informationssäkerheten äventyras.
• Organisationer bör införa och konfigurera mjukvaruutvecklingsverktyg för att säkerställa säkerheten för all kod som skapas. Ett exempel på sådana verktyg är integrerade utvecklingsmiljöer (IDE).
• Organisationer bör uppnå överensstämmelse med de riktlinjer och instruktioner som tillhandahålls av verktyg för programvaruutveckling.
• Organisationer bör granska, underhålla och säkert använda utvecklingsverktyg som kompilatorer.

Kompletterande vägledning om säkerhet under kodning

Säkra kodningsmetoder och procedurer bör ta hänsyn till följande för kodningsprocessen:

• Säkra programvarukodningsprinciper bör skräddarsys för varje programmeringsspråk och teknik som används.
• Utplacering av säkra programmeringstekniker och metoder såsom testdriven utveckling och parprogrammering.
• Användning av strukturerade programmeringsmetoder.
• Korrekt koddokumentation och borttagning av koddefekter.
• Förbud mot användning av osäkra programvarukodningsmetoder såsom ej godkända kodexempel eller hårdkodade lösenord.

Kompletterande vägledning noterar också att säkerhetstestning bör utföras både under och efter utvecklingen i enlighet med Kontroll 8.29.

Innan de börjar använda programvaran i liveapplikationsmiljön bör organisationer överväga följande:

• Vad är attackytan?
• Följs principen om minsta privilegium?
• Genomföra en analys av de vanligaste programmeringsmisstagen och dokumentera att dessa risker har eliminerats.

Kompletterande vägledning om granskningsprocessen

Efter att koden har tagits i bruk i produktionsmiljön

• Uppdateringar bör tillämpas på ett säkert sätt.
• Säkerhetssårbarheter som rapporterats i enlighet med Control 8.8 bör åtgärdas.
• Misstänkta angrepp på informationssystem och fel bör registreras och dessa register bör granskas med jämna mellanrum så att lämpliga ändringar av koden kan göras.
• Obehörig åtkomst till, användning av eller ändringar av källkod bör förhindras via mekanismer som hanteringsverktyg.

När organisationer använder externa verktyg bör de ta hänsyn till följande

• Externa bibliotek bör övervakas och uppdateras med jämna mellanrum baserat på deras utgivningscykler.
• Programvarukomponenter bör noggrant granskas, utvalda och auktoriserade, särskilt kryptografi- och autentiseringskomponenter.
• Licensiering av externa komponenter och säkerställande av deras säkerhet.
• Programvara bör spåras och underhållas. Dessutom måste det säkerställas att det kommer från en pålitlig källa.
• Utvecklingsresurser bör finnas tillgängliga på lång sikt.

När du gör ändringar i ett programvarupaket bör följande beaktas

• Risker som kan uppstå på grund av inbyggda kontroller eller kompromisser med integritetsprocesser.
• Om säljaren ger samtycke till ändringar.
• Om det är möjligt att få medgivande från programvaruleverantören för regelbundna uppdateringar.
• Den sannolika effekten av att fortsätta underhållet av programvaran som uppstår till följd av ändringar.
• Om ändringarna skulle vara kompatibla med andra programvarukomponenter som används av organisationen.

Ytterligare vägledning om kontroll 8.28

Organisationer bör se till att säkerhetsrelevant kod används när det är nödvändigt och är resistent mot manipulering.

Kontroll 8.28 listar också följande rekommendationer för säkerhetsrelevant kod:

• Medan program som installeras via binär kod inkluderar säkerhetsrelevant kod, är detta begränsat till data som lagras i själva applikationen.
• Begreppet säkerhetsrelevant kod är endast användbart när koden körs på en server som inte är tillgänglig för användaren och den är separerad från de processer som använder den och dess data förvaras säkert i en annan databas. Du kan till exempel köra en tolkad kod på en molntjänst och åtkomst till kod kan begränsas till privilegierade administratörer. Det rekommenderas att du skyddar dessa åtkomsträttigheter via metoder som just-in-time administratörsbehörigheter och robusta autentiseringsmekanismer.
• Lämpliga konfigurationer på webbservrar bör implementeras för att förhindra obehörig åtkomst till och bläddring i katalogen.
• När du designar applikationskod bör du börja med antagandet att koden är sårbar för attacker på grund av kodningsfel och åtgärder från illvilliga aktörer. Du bör designa kritiska applikationer på ett sätt så att de inte är sårbara för interna fel. Till exempel kan utdata som produceras av en algoritm granskas för att säkerställa att den överensstämmer med säkerhetskraven innan den kan användas i kritiska applikationer som finansrelaterade applikationer.
• Vissa webbapplikationer är mycket sårbara för säkerhetshot på grund av dålig kodningsmetoder som databasinjektion och cross-site scripting-attacker.
• Organisationer bör hänvisa till ISO/IEC 15408-serien för mer information om IT-säkerhetsutvärdering.

Ändringar och skillnader från ISO 27002:2013

27002:2022/8.28 är en ny typ av kontroll.

Hur ISMS.online hjälper

Vår plattform har utvecklats specifikt för dig som är ny på informationssäkerhet eller behöver ett enkelt sätt att lära sig om ISO 27002 utan att behöva lägga tid på att lära sig från grunden eller läsa igenom långa dokument.

ISMS.Online är utrustad med alla verktyg som behövs för att uppnå efterlevnad inklusive dokumentmallar, checklistor och policyer som kan anpassas efter dina behov.

Vill du se hur det fungerar?

Hör av dig idag för att boka en demo.