ISO 27002:2022, Kontroll 8.31 – Separation av utvecklings-, test- och produktionsmiljöer

Äganderätt till kontroll 8.31

Med tanke på att Kontroll 8.31 innebär etablering och implementering av organisationsövergripande processer och kontroller för att separera olika mjukvarumiljöer, ska informationssäkerhetschefen, med hjälp av utvecklingsteamet, vara ytterst ansvarig för efterlevnaden.

Allmän vägledning om efterlevnad

Organisationer bör ta hänsyn till de potentiella produktionsproblem som bör förhindras när de bestämmer vilken nivå av separation som krävs mellan de tre miljöerna.

I synnerhet rekommenderar Control 8.31 att organisationer överväger följande sju kriterier:

1. Segregering och drift av utvecklings- och produktionssystem i tillräcklig grad. Till exempel kan användningen av separata virtuella och fysiska miljöer för produktion vara en effektiv metod.
2. Lämpliga regler och auktoriseringsprocedurer bör fastställas, dokumenteras och tillämpas för användning av programvara i produktionsmiljön efter att ha gått igenom utvecklingsmiljön.
3. Organisationer bör granska och testa ändringar som görs i applikationer och produktionssystem i en testmiljö som är skild från produktionsmiljön innan dessa ändringar används i produktionsmiljön.
4. Testning i produktionsmiljöer bör inte tillåtas om inte sådan testning är definierad och godkänd före testning.
5. Utvecklingsverktyg som kompilatorer och redaktörer bör inte vara tillgängliga från produktionsmiljöerna om inte denna åtkomst är absolut nödvändig.
6. För att minimera fel bör korrekta miljöidentifieringsetiketter visas tydligt i menyerna.
7. Känsliga informationstillgångar bör inte överföras till utvecklings- och testmiljöer om inte motsvarande säkerhetsåtgärder tillämpas i utvecklings- och testsystemen.

Kompletterande vägledning om skydd av utvecklings- och testmiljöer

Organisationer bör skydda utvecklings- och testmiljöer mot säkerhetsrisker med hänsyn till följande:

• Alla utvecklings-, integrations- och testverktyg som byggare, integratörer och bibliotek bör korrigeras och uppdateras regelbundet.
• Alla system och programvara bör konfigureras säkert.
• Tillgång till miljöer bör vara föremål för lämpliga kontroller.
• Ändringar av miljöer och kod som lagras i den bör övervakas och granskas.
• Miljöer bör övervakas och ses över på ett säkert sätt.
• Miljöer bör säkerhetskopieras.

Vidare bör ingen enskild individ ges privilegiet att göra förändringar i både utvecklings- och produktionsmiljöer utan att först ha fått godkännande. För att förhindra detta kan organisationer separera åtkomsträttigheter eller upprätta och implementera åtkomstkontroller.

Dessutom kan organisationer även överväga extra tekniska kontroller såsom loggning av alla åtkomstaktiviteter och realtidsövervakning av all åtkomst till dessa miljöer.

Kompletterande vägledning om kontroll 8.31

Om organisationer misslyckas med att genomföra nödvändiga åtgärder kan deras informationssystem utsättas för betydande säkerhetsrisker.

Till exempel kan utvecklare och testare med åtkomst till produktionsmiljön göra oönskade ändringar i filer eller systemmiljöer, exekvera otillåten kod eller av misstag avslöja känslig information.

Därför behöver organisationer en stabil miljö för att utföra robusta tester av koden och för att förhindra utvecklare från att komma åt produktionsmiljöer där känslig verklig data lagras och bearbetas.

Organisationer bör också tillämpa åtgärder såsom utsedda roller tillsammans med krav på separation av arbetsuppgifter.

Ett annat hot mot produktionsdatas konfidentialitet är utvecklings- och testpersonalen. När utvecklings- och testteamen utför sina aktiviteter med samma datorenheter kan de av misstag göra ändringar i känslig information eller program.

Organisationer rekommenderas att upprätta stödjande processer för användning av produktionsdata i test- och utvecklingssystem i enlighet med kontroll 8.33.

Organisationer bör dessutom ta hänsyn till de åtgärder som tas upp i denna kontroll när de utför slutanvändarutbildning i utbildningsmiljöer.

Sist men inte minst kan organisationer medvetet sudda ut gränserna mellan utvecklings-, test- och produktionsmiljöer. Till exempel kan testning utföras i en utvecklingsmiljö eller produkttestning kan utföras genom att personalen i organisationen faktiskt använder produkten.

Ändringar och skillnader från ISO 27002:2013

27002:2022/8.31 ersätter 27002:2013/(12.1.4 och 14.2.6)

Även om de två versionerna i stor utsträckning liknar varandra, finns det två skillnader som bör lyftas fram.

Kontroll 14.2.6 i 2013 års version tillhandahåller mer detaljerad vägledning om säkra utvecklingsmiljöer

Kontroll 14.2.6 i 2013 års version tar upp säkra utvecklingsmiljöer och listar 10 rekommendationer som organisationer bör ta hänsyn till när de bygger en utvecklingsmiljö.

2022-versionen, däremot, innehöll inte några av dessa rekommendationer, såsom säkerhetskopiering på en annan plats och restriktioner för överföring av data.

Kontroll 8.31 Adresserar produkttestning och användning av produktionsdata

Till skillnad från 2013 års version ger kontroll 8.31 i 2022 års version vägledning om hur produkttester ska utföras och om användning av produktionsdata i enlighet med kontroll 8.33.

Hur ISMS.online hjälper

ISMS.Online-plattformen hjälper till med alla aspekter av implementering av ISO 27002, från att hantera riskbedömningsaktiviteter till att utveckla policyer, procedurer och riktlinjer för att uppfylla standardens krav.

Det ger ett sätt att dokumentera dina resultat och kommunicera dem med dina teammedlemmar online. ISMS.Online låter dig också skapa och spara checklistor för alla uppgifter som är involverade i implementeringen av ISO 27002, så att du enkelt kan spåra framstegen i din organisations säkerhetsprogram.

Med sin automatiserade verktygsuppsättning gör ISMS.Online det enkelt för organisationer att visa överensstämmelse med ISO 27002-standarden.

Kontakta oss idag för att schema en demo.