Säkerställa informationssäkerhet i outsourcad utveckling: ISO 27002 Control 8.30
Att lägga ut IT-system och mjukvaruutveckling på entreprenad till externa parter har många fördelar för företag såsom minskade kostnader och större skalbarhet. Dessa effektivitetsvinster bör dock inte ske på bekostnad av säkerheten.
Externa tjänsteleverantörer kanske inte har strikta åtkomstkontroller för nätverk på plats eller misslyckas med att tillämpa kryptering på branschnivå på data som lagras i molnet, vilket leder till att IT-system och mjukvaruprodukter kompromissar.
Detta kan resultera i dataintrång och förlust av tillgänglighet, konfidentialitet eller integritet för informationstillgångar.
Enligt en rapport av Trustwave, spelade outsourcing av mjukvara och IT-utveckling en roll i mer än 60 % av alla dataintrång.
Med tanke på att outsourcing oundvikligen leder till förlust av kontroll över utvecklingsprocessen och gör det svårare att tillämpa och upprätthålla informationssäkerhetskrav, bör organisationer se till att externa parter följer de informationssäkerhetskrav som organisationen ställer upp.
Syfte med kontroll 8.30
Kontroll 8.30 gör det möjligt för organisationer att säkerställa att de fastställda informationssäkerhetskraven efterlevs när system- och mjukvaruutvecklingen läggs ut på externa leverantörer.
Kontrollattribut 8.30
Kontroll 8.30 är både detektiv och förebyggande till sin natur: Den kräver att organisationer övervakar och övervakar all outsourcingverksamhet och att den outsourcade utvecklingsprocessen uppfyller kraven på informationssäkerhet.
| Kontroll typ | Informationssäkerhetsegenskaper | Cybersäkerhetskoncept | Operativa förmågor | Säkerhetsdomäner |
|---|---|---|---|---|
| #Förebyggande | #Sekretess | #Identifiera | #System- och nätverkssäkerhet | #Styrelse och ekosystem |
| #Detektiv | #Integritet | #Skydda | #Applikationssäkerhet | #Skydd |
| #Tillgänglighet | #Upptäcka, detektera | #Säkerhet för leverantörsrelationer |
ISO 27001 på ett enkelt sätt
Ett försprång på 81 % från dag ett
Vi har gjort det hårda arbetet åt dig, vilket ger dig ett försprång på 81 % från det ögonblick du loggar in. Allt du behöver göra är att fylla i tomrummen.
Äganderätt till kontroll 8.30
Chief Information Security Officer bör ansvara för att upprätta och implementera nödvändiga procedurer och kontroller för att säkerställa att dessa informationssäkerhetskrav kommuniceras till, godkänns av och efterlevs av externa leverantörer.
Allmän vägledning om efterlevnad
Allmän vägledning framhåller att organisationer kontinuerligt bör övervaka och verifiera att leveransen av utkontrakterat utvecklingsarbete uppfyller de informationssäkerhetskrav som ställs på den externa tjänsteleverantören.
Control 8.30 rekommenderar att organisationer tar hänsyn till följande 11 faktorer vid outsourcing av utveckling:
- Ingå avtal, inklusive licensavtal, som behandlar äganderätt över kod och immateriella rättigheter.
- Att införa lämpliga avtalskrav för säker design och kodning i linje med kontroll 8.25 och 8.29.
- Etablering av en hotmodell som ska användas av tredjepartsutvecklare.
- Genomföra en acceptanstestning för att säkerställa kvaliteten och noggrannheten på levererat arbete.
- Bevis på att minimalt erforderliga sekretess- och säkerhetsfunktioner uppnås. Detta kan uppnås via bestyrkanderapporter.
- Att hålla bevis på hur tillräckliga tester har utförts för att skydda det levererade IT-systemet eller programvaran mot skadligt innehåll.
- Att behålla bevis på hur tillräckliga tester har tillämpats för att skydda mot identifierade sårbarheter.
- Inrätta depositionsavtal som täcker programvarans källkod. Det kan till exempel ta upp vad som kommer att hända om den externa leverantören går i konkurs.
- Avtalet med leverantören bör medföra rätt för organisationen att utföra revisioner av utvecklingsprocesser och kontroller.
- Etablera och implementera säkerhetskrav för utvecklingsmiljön.
- Organisationer bör också överväga tillämpliga lagar, stadgar och förordningar.
Kompletterande vägledning
För mer detaljerad vägledning om hantering av leverantörsrelationer kan organisationer hänvisa till ISO/IEC 27036.
Hantera all din efterlevnad, allt på ett ställe
ISMS.online stöder över 100 standarder och föreskrifter, vilket ger dig en enda plattform för alla dina efterlevnadsbehov.
Ändringar och skillnader från ISO 27002:2013
27002:2022/8.30 replaces 27002:2013/(14.2.7)
Sammantaget finns det ingen väsentlig skillnad mellan de två versionerna.
Nya ISO 27002 kontroller
| ISO/IEC 27002:2022 Kontrollidentifierare | ISO/IEC 27002:2013 Kontrollidentifierare | Kontrollnamn |
|---|---|---|
| 5.7 | NYA | Hot intelligens |
| 5.23 | NYA | Informationssäkerhet för användning av molntjänster |
| 5.30 | NYA | ICT-beredskap för kontinuitet i verksamheten |
| 7.4 | NYA | Fysisk säkerhetsövervakning |
| 8.9 | NYA | Konfigurationshantering |
| 8.10 | NYA | Radering av information |
| 8.11 | NYA | Datamaskering |
| 8.12 | NYA | Förebyggande av dataläckage |
| 8.16 | NYA | Övervakningsaktiviteter |
| 8.23 | NYA | Webbfiltrering |
| 8.28 | NYA | Säker kodning |
| ISO/IEC 27002:2022 Kontrollidentifierare | ISO/IEC 27002:2013 Kontrollidentifierare | Kontrollnamn |
|---|---|---|
| 6.1 | 07.1.1 | Screening |
| 6.2 | 07.1.2 | Anställningsvillkor |
| 6.3 | 07.2.2 | Informationssäkerhetsmedvetenhet, utbildning och träning |
| 6.4 | 07.2.3 | Disciplinär process |
| 6.5 | 07.3.1 | Ansvar efter uppsägning eller byte av anställning |
| 6.6 | 13.2.4 | Sekretess- eller sekretessavtal |
| 6.7 | 06.2.2 | Fjärrbearbetning |
| 6.8 | 16.1.2, 16.1.3 | Händelserapportering för informationssäkerhet |
| ISO/IEC 27002:2022 Kontrollidentifierare | ISO/IEC 27002:2013 Kontrollidentifierare | Kontrollnamn |
|---|---|---|
| 7.1 | 11.1.1 | Fysiska säkerhetsområden |
| 7.2 | 11.1.2, 11.1.6 | Fysiskt inträde |
| 7.3 | 11.1.3 | Säkra kontor, rum och lokaler |
| 7.4 | NYA | Fysisk säkerhetsövervakning |
| 7.5 | 11.1.4 | Skydd mot fysiska och miljömässiga hot |
| 7.6 | 11.1.5 | Arbeta i säkra områden |
| 7.7 | 11.2.9 | Tydligt skrivbord och tydlig skärm |
| 7.8 | 11.2.1 | Utrustningsplacering och skydd |
| 7.9 | 11.2.6 | Säkerhet av tillgångar utanför lokaler |
| 7.10 | 08.3.1, 08.3.2, 08.3.3, 11.2.5 | Lagringsmedia |
| 7.11 | 11.2.2 | Stöd till verktyg |
| 7.12 | 11.2.3 | Kabelsäkerhet |
| 7.13 | 11.2.4 | Utrustningsunderhåll |
| 7.14 | 11.2.7 | Säker kassering eller återanvändning av utrustning |
Hur ISMS.online hjälper
Företag kan använda ISMS.Online för att hjälpa dem med sina ISO 27002-efterlevnadsinsatser genom att förse dem med en plattform som gör det enkelt att hantera sina säkerhetspolicyer och procedurer, uppdatera dem vid behov, testa dem och övervaka deras effektivitet.
Vår molnbaserade plattform låter dig snabbt och enkelt hantera alla aspekter av ditt ISMS, inklusive riskhantering, policyer, planer, procedurer och mer, på en central plats. Plattformen är lätt att använda och har ett intuitivt gränssnitt som gör det enkelt att lära sig att använda.
Hör av dig idag för att boka en demo.
