ISO 27002:2022 – Kontroll 8.29 – Säkerhetstestning i utveckling och acceptans

Säkerställa säkerhet från utveckling till implementering: ISO 27002 Control 8.29 Explained

Cyberbrottslingar uppfinner ständigt nya sätt och förbättrar sina strategier för att infiltrera företagsnätverk och få tillgång till känslig informationstillgångar.

Till exempel kan cyberangripare utnyttja en sårbarhet relaterad till autentiseringsmekanismen i källkoden för att göra intrång i nätverk. Dessutom kan de också försöka manipulera slutanvändare på klientsidan att utföra åtgärder för att infiltrera nätverk, få tillgång till data eller utföra ransomware-attacker.

Om en applikation, programvara eller IT-system distribueras i den verkliga världen med sårbarheter, skulle detta utsätta känslig informationstillgångar för risken för kompromiss.

Därför bör organisationer upprätta och implementera ett lämpligt säkerhetstestförfarande för att identifiera och åtgärda alla sårbarheter i IT-system innan de distribueras till den verkliga världen.

Syfte med kontroll 8.29

Kontroll 8.29 gör det möjligt för organisationer att verifiera att alla informationssäkerhetskrav är uppfyllda när nya applikationer, databaser, programvara eller kod tas i drift genom att etablera och tillämpa en robust säkerhetstestning.

Detta hjälper organisationer att upptäcka och eliminera sårbarheter i koden, nätverk, servrar, applikationer eller andra IT-system innan de används i den verkliga världen.

Kontrollattribut 8.29

Kontroll 8.29 är förebyggande till sin natur. Det kräver att organisationer utsätter nya informationssystem och deras nya/uppdaterade versioner för en säkerhetstestprocess innan de släpps in i produktionsmiljön.

Äganderätt till kontroll 8.29

Med tanke på att Kontroll 8.29 innefattar upprättande, underhåll och implementering av en säkerhetstestningsprocedur som kommer att gälla för alla nya informationssystem, oavsett om de utvecklas internt eller av externa parter, bör informationssäkerhetsansvarig ansvara för efterlevnaden.

Allmän vägledning om efterlevnad

Organisationer bör införliva säkerhetstester i testprocessen för alla system och de måste säkerställa att alla nya informationssystem och deras nya/uppdaterade versioner uppfyller kraven på informationssäkerhet när de är i produktionsmiljön.

Kontroll 8.29 listar tre element som bör inkluderas i säkerhetstestningsprocessen:

1. Säkerhetsfunktioner såsom användarautentisering enligt definition i Kontroll 8..5, åtkomstbegränsning som föreskrivs i Kontroll 8.3, och kryptografi som adresseras i Kontroll 8.24.
2. Säker kodning enligt beskrivning i Kontroll 8.28.
3. Säkra konfigurationer som föreskrivs i kontroller 8.9, 8.20, 8.22. Detta kan täcka brandväggar och operativsystem.

Vad bör en testplan innehålla?

När man utformar säkerhetstestplaner bör organisationer ta hänsyn till graden av kritik och karaktären hos det aktuella informationssystemet.

Säkerhetstestplanen bör omfatta följande:

• Upprättande av ett detaljerat schema för de aktiviteter och de tester som ska genomföras.
• Ingångar och utgångar som förväntas ske under en given uppsättning förhållanden.
• Kriterier för att bedöma resultaten.
• Om så är lämpligt, beslut att vidta åtgärder baserat på resultaten.

Intern utveckling

När IT-system utvecklas av det interna utvecklingsteamet bör detta team utföra den första säkerhetstestningen för att säkerställa att IT-systemet uppfyller säkerhetskraven.

Denna inledande testning bör sedan följas av en oberoende acceptanstestning i enlighet med kontroll 5.8.

I samband med den interna utvecklingen bör följande beaktas:

• Genomföra kodgranskningsaktiviteter för att upptäcka och eliminera säkerhetsbrister, inklusive förväntade indata och villkor.
• Genomför sårbarhetsskanning för att upptäcka osäkra konfigurationer och andra sårbarheter.
• Genomföra penetrationstester för att upptäcka osäker kod och design.

Outsourcing

Organisationer bör följa en strikt förvärvsprocess när de lägger ut utveckling på entreprenad eller när de köper IT-komponenter från externa parter.

Organisationer bör ingå ett avtal med sina leverantörer och detta avtal bör behandla informationssäkerhetskraven som föreskrivs i Kontroll 5.20.

Dessutom bör organisationer se till att de produkter och tjänster de köper överensstämmer med informationssäkerhetsstandarderna.

Kompletterande vägledning om kontroll 8.29

Organisationer kan skapa flera testmiljöer för att utföra olika tester såsom funktionella, icke-funktionella och prestandatester.

Dessutom kan de skapa virtuella testmiljöer och sedan konfigurera dessa miljöer för att testa IT-systemen i olika operativa inställningar.

Kontroll 8.29 noterar också att effektiv säkerhetstestning kräver att organisationer testar och övervakar testmiljöer, verktyg och teknologier.

Slutligen bör organisationer ta hänsyn till nivån av känslighet och kritik av data när de bestämmer antalet lager av meta-testning.

Ändringar och skillnader från ISO 27002:2013

27002:2022/8.29 ersätter 27002:2013/(14.2.8 och 14.2.9)

Strukturella förändringar

2022-versionen behandlar säker testning under en enda kontroll, 2013-versionen hänvisade till säker testning i två separata kontroller. Systemsäkerhetstestning i kontroll 14.2.8 och systemacceptanstestning i kontroll 14.2.9

Kontroll 8.29 ger mer omfattande krav

Till skillnad från 2013-versionen innehåller 2022-versionen mer detaljerade krav och rekommendationer om följande:

• Säkerhetstestplan och vad den ska innehålla.
• Kriterier för säkerhetstestning för egen utveckling av IT-system.
• Säkerhetstestprocessen och vad den ska innebära.
• Användning av flera testmiljöer.

2013 års version var mer detaljerad i relation till acceptanstestning

I motsats till 2022-versionen var 2013-versionen mer föreskrivande för systemacceptanstestning. Det inkluderade krav som säkerhetstestning av mottagna komponenter och användning av automatiserade verktyg.

Nya ISO 27002 kontroller

Hur ISMS.online hjälper

ISMS.online effektiviserar implementeringsprocessen för ISO 27002 genom att tillhandahålla ett sofistikerat molnbaserat ramverk för att dokumentera procedurer och checklistor för informationssäkerhetshanteringssystem för att säkerställa efterlevnad av erkända standarder.

Hör av dig och boka en demo.