Att lägga ut IT-system och mjukvaruutveckling på entreprenad till externa parter har många fördelar för företag såsom minskade kostnader och större skalbarhet. Dessa effektivitetsvinster bör dock inte ske på bekostnad av säkerheten.
Externa tjänsteleverantörer kanske inte har strikta åtkomstkontroller för nätverk på plats eller misslyckas med att tillämpa kryptering på branschnivå på data som lagras i molnet, vilket leder till att IT-system och mjukvaruprodukter kompromissar.
Detta kan resultera i dataintrång och förlust av tillgänglighet, konfidentialitet eller integritet för informationstillgångar.
Enligt en rapport av Trustwave, spelade outsourcing av mjukvara och IT-utveckling en roll i mer än 60 % av alla dataintrång.
Med tanke på att outsourcing oundvikligen leder till förlust av kontroll över utvecklingsprocessen och gör det svårare att tillämpa och upprätthålla informationssäkerhetskrav, bör organisationer se till att externa parter följer de informationssäkerhetskrav som organisationen ställer upp.
Kontroll 8.30 gör det möjligt för organisationer att säkerställa att de fastställda informationssäkerhetskraven efterlevs när system- och mjukvaruutvecklingen läggs ut på externa leverantörer.
Kontroll 8.30 är både detektiv och förebyggande till sin natur: Den kräver att organisationer övervakar och övervakar all outsourcingverksamhet och att den outsourcade utvecklingsprocessen uppfyller kraven på informationssäkerhet.
| Kontroll typ | Informationssäkerhetsegenskaper | Cybersäkerhetskoncept | Operativa förmågor | Säkerhetsdomäner |
|---|---|---|---|---|
| #Förebyggande #Detektiv | #Sekretess #Integritet #Tillgänglighet | #Identifiera #Skydda #Upptäcka, detektera | #System- och nätverkssäkerhet #Applikationssäkerhet #Säkerhet för leverantörsrelationer | #Styrelse och ekosystem #Skydd |
Chief Information Security Officer bör ansvara för att upprätta och implementera nödvändiga procedurer och kontroller för att säkerställa att dessa informationssäkerhetskrav kommuniceras till, godkänns av och efterlevs av externa leverantörer.
Allmän vägledning framhåller att organisationer kontinuerligt bör övervaka och verifiera att leveransen av utkontrakterat utvecklingsarbete uppfyller de informationssäkerhetskrav som ställs på den externa tjänsteleverantören.
Control 8.30 rekommenderar att organisationer tar hänsyn till följande 11 faktorer vid outsourcing av utveckling:
För mer detaljerad vägledning om hantering av leverantörsrelationer kan organisationer hänvisa till ISO/IEC 27036.
27002:2022/8.30 replace 27002:2013/(14.2.7)
Sammantaget finns det ingen väsentlig skillnad mellan de två versionerna.
Företag kan använda ISMS.Online för att hjälpa dem med sina ISO 27002-efterlevnadsinsatser genom att förse dem med en plattform som gör det enkelt att hantera sina säkerhetspolicyer och procedurer, uppdatera dem vid behov, testa dem och övervaka deras effektivitet.
Vår molnbaserade plattform låter dig snabbt och enkelt hantera alla aspekter av ditt ISMS, inklusive riskhantering, policyer, planer, procedurer och mer, på en central plats. Plattformen är lätt att använda och har ett intuitivt gränssnitt som gör det enkelt att lära sig att använda.
Hör av dig idag för att boka en demo.
Boka en skräddarsydd hands-on session
utifrån dina behov och mål
Boka din demo
| ISO/IEC 27002:2022 Kontrollidentifierare | ISO/IEC 27002:2013 Kontrollidentifierare | Kontrollnamn |
|---|---|---|
| 5.7 | Nya | Hot intelligens |
| 5.23 | Nya | Informationssäkerhet för användning av molntjänster |
| 5.30 | Nya | ICT-beredskap för kontinuitet i verksamheten |
| 7.4 | Nya | Fysisk säkerhetsövervakning |
| 8.9 | Nya | Konfigurationshantering |
| 8.10 | Nya | Radering av information |
| 8.11 | Nya | Datamaskering |
| 8.12 | Nya | Förebyggande av dataläckage |
| 8.16 | Nya | Övervakningsaktiviteter |
| 8.23 | Nya | Webbfiltrering |
| 8.28 | Nya | Säker kodning |
| ISO/IEC 27002:2022 Kontrollidentifierare | ISO/IEC 27002:2013 Kontrollidentifierare | Kontrollnamn |
|---|---|---|
| 6.1 | 07.1.1 | Screening |
| 6.2 | 07.1.2 | Anställningsvillkor |
| 6.3 | 07.2.2 | Informationssäkerhetsmedvetenhet, utbildning och träning |
| 6.4 | 07.2.3 | Disciplinär process |
| 6.5 | 07.3.1 | Ansvar efter uppsägning eller byte av anställning |
| 6.6 | 13.2.4 | Sekretess- eller sekretessavtal |
| 6.7 | 06.2.2 | Fjärrbearbetning |
| 6.8 | 16.1.2, 16.1.3 | Händelserapportering för informationssäkerhet |
| ISO/IEC 27002:2022 Kontrollidentifierare | ISO/IEC 27002:2013 Kontrollidentifierare | Kontrollnamn |
|---|---|---|
| 7.1 | 11.1.1 | Fysiska säkerhetsområden |
| 7.2 | 11.1.2, 11.1.6 | Fysiskt inträde |
| 7.3 | 11.1.3 | Säkra kontor, rum och lokaler |
| 7.4 | Nya | Fysisk säkerhetsövervakning |
| 7.5 | 11.1.4 | Skydd mot fysiska och miljömässiga hot |
| 7.6 | 11.1.5 | Arbeta i säkra områden |
| 7.7 | 11.2.9 | Tydligt skrivbord och tydlig skärm |
| 7.8 | 11.2.1 | Utrustningsplacering och skydd |
| 7.9 | 11.2.6 | Säkerhet av tillgångar utanför lokaler |
| 7.10 | 08.3.1, 08.3.2, 08.3.3, 11.2.5 | Lagringsmedia |
| 7.11 | 11.2.2 | Stöd till verktyg |
| 7.12 | 11.2.3 | Kabelsäkerhet |
| 7.13 | 11.2.4 | Utrustningsunderhåll |
| 7.14 | 11.2.7 | Säker kassering eller återanvändning av utrustning |
