ISO 27002:2022 – Kontroll 8.30 – Outsourcad utveckling

Säkerställa informationssäkerhet i outsourcad utveckling: ISO 27002 Control 8.30

Att lägga ut IT-system och mjukvaruutveckling på entreprenad till externa parter har många fördelar för företag såsom minskade kostnader och större skalbarhet. Dessa effektivitetsvinster bör dock inte ske på bekostnad av säkerheten.

Externa tjänsteleverantörer kanske inte har strikta åtkomstkontroller för nätverk på plats eller misslyckas med att tillämpa kryptering på branschnivå på data som lagras i molnet, vilket leder till att IT-system och mjukvaruprodukter kompromissar.

Detta kan resultera i dataintrång och förlust av tillgänglighet, konfidentialitet eller integritet för informationstillgångar.

Enligt en rapport av Trustwave, spelade outsourcing av mjukvara och IT-utveckling en roll i mer än 60 % av alla dataintrång.

Med tanke på att outsourcing oundvikligen leder till förlust av kontroll över utvecklingsprocessen och gör det svårare att tillämpa och upprätthålla informationssäkerhetskrav, bör organisationer se till att externa parter följer de informationssäkerhetskrav som organisationen ställer upp.

Syfte med kontroll 8.30

Kontroll 8.30 gör det möjligt för organisationer att säkerställa att de fastställda informationssäkerhetskraven efterlevs när system- och mjukvaruutvecklingen läggs ut på externa leverantörer.

Kontrollattribut 8.30

Kontroll 8.30 är både detektiv och förebyggande till sin natur: Den kräver att organisationer övervakar och övervakar all outsourcingverksamhet och att den outsourcade utvecklingsprocessen uppfyller kraven på informationssäkerhet.

Äganderätt till kontroll 8.30

Chief Information Security Officer bör ansvara för att upprätta och implementera nödvändiga procedurer och kontroller för att säkerställa att dessa informationssäkerhetskrav kommuniceras till, godkänns av och efterlevs av externa leverantörer.

Allmän vägledning om efterlevnad

Allmän vägledning framhåller att organisationer kontinuerligt bör övervaka och verifiera att leveransen av utkontrakterat utvecklingsarbete uppfyller de informationssäkerhetskrav som ställs på den externa tjänsteleverantören.

Control 8.30 rekommenderar att organisationer tar hänsyn till följande 11 faktorer vid outsourcing av utveckling:

1. Ingå avtal, inklusive licensavtal, som behandlar äganderätt över kod och immateriella rättigheter.
2. Att införa lämpliga avtalskrav för säker design och kodning i linje med kontroll 8.25 och 8.29.
3. Etablering av en hotmodell som ska användas av tredjepartsutvecklare.
4. Genomföra en acceptanstestning för att säkerställa kvaliteten och noggrannheten på levererat arbete.
5. Bevis på att minimalt erforderliga sekretess- och säkerhetsfunktioner uppnås. Detta kan uppnås via bestyrkanderapporter.
6. Att hålla bevis på hur tillräckliga tester har utförts för att skydda det levererade IT-systemet eller programvaran mot skadligt innehåll.
7. Att behålla bevis på hur tillräckliga tester har tillämpats för att skydda mot identifierade sårbarheter.
8. Inrätta depositionsavtal som täcker programvarans källkod. Det kan till exempel ta upp vad som kommer att hända om den externa leverantören går i konkurs.
9. Avtalet med leverantören bör medföra rätt för organisationen att utföra revisioner av utvecklingsprocesser och kontroller.
10. Etablera och implementera säkerhetskrav för utvecklingsmiljön.
11. Organisationer bör också överväga tillämpliga lagar, stadgar och förordningar.

Kompletterande vägledning

För mer detaljerad vägledning om hantering av leverantörsrelationer kan organisationer hänvisa till ISO/IEC 27036.

Ändringar och skillnader från ISO 27002:2013

27002:2022/8.30 replaces 27002:2013/(14.2.7)

Sammantaget finns det ingen väsentlig skillnad mellan de två versionerna.

Nya ISO 27002 kontroller

Hur ISMS.online hjälper

Företag kan använda ISMS.Online för att hjälpa dem med sina ISO 27002-efterlevnadsinsatser genom att förse dem med en plattform som gör det enkelt att hantera sina säkerhetspolicyer och procedurer, uppdatera dem vid behov, testa dem och övervaka deras effektivitet.

Vår molnbaserade plattform låter dig snabbt och enkelt hantera alla aspekter av ditt ISMS, inklusive riskhantering, policyer, planer, procedurer och mer, på en central plats. Plattformen är lätt att använda och har ett intuitivt gränssnitt som gör det enkelt att lära sig att använda.

Hör av dig idag för att boka en demo.