ISO 27002:2022 – Kontroll 8.32 – Change Management

Säkerställa säkra och kontrollerade ändringar med ISO 27002:2022 Control 8.32

Ändringar av informationssystem som att byta ut en nätverksenhet, skapa en ny databasinstans eller uppgradera programvara är ofta nödvändiga för förbättrad prestanda, minskade kostnader och högre effektivitet.

Dessa ändringar av informationsbehandlingsanläggningar och system kan dock, om de inte implementeras på rätt sätt, leda till att informationstillgångar som lagras i eller bearbetas av dessa anläggningar äventyras.

Kontroll 8.32 behandlar hur organisationer kan upprätta och tillämpa förändringshanteringsprocedurer för att övervaka, granska och kontrollera ändringar som görs i informationsbehandlingsanläggningarna och systemen.

Syfte med kontroll 8.32

Kontroll 8.32 gör det möjligt för organisationer att upprätthålla säkerheten för informationstillgångar när de utför ändringar i informationsbehandlingsanläggningarna och systemen genom att upprätta, implementera och hantera regler och procedurer för förändringshantering.

Attributtabell för kontroll 8.32

Kontroll 8.32 är förebyggande till sin natur. Det kräver att organisationer definierar, dokumenterar, specificerar och upprätthåller förändringskontrollprocesser som styr hela livscykeln för informationssystem, från den första designen till implementeringen och användningen.

Äganderätt till kontroll 8.32

Med tanke på att överensstämmelse med kontroll 8.32 innebär inrättande och upprätthållande av förfaranden för förändringskontroll som gäller alla stadier i informationssystemens livscykel, bör chefer för informationssäkerhet, med stöd av domänexperter, ansvara för att utforma och tillämpa dessa förfaranden.

Allmän vägledning om efterlevnad

Alla större förändringar av informationssystem och införandet av nya system bör omfattas av en överenskommen uppsättning regler och förfaranden. Dessa ändringar bör formellt specificeras och dokumenteras. Dessutom bör de gå igenom testnings- och kvalitetskontrollprocesserna.

För att säkerställa att alla ändringar överensstämmer med reglerna och standarderna för förändringskontroll bör organisationer tilldela ledningsansvar till lämplig ledning och fastställa nödvändiga rutiner.

Kontroll 8.32 listar nio element som bör inkluderas i ändringshanteringsproceduren:

1. Organisationer bör planera och mäta den sannolika effekten av planerade förändringar, med hänsyn till alla beroenden.
2. Implementera behörighetskontroller för ändringar.
3. Informera relevanta interna och externa parter om de planerade förändringarna.
4. Upprätta och implementera test- och acceptanstestningsprocesser för ändringar i enlighet med Kontroll 8.29.
5. Hur förändringarna kommer att genomföras, inklusive hur de kommer att implementeras i praktiken.
6. Upprätta nöd- och beredskapsplaner och rutiner. Detta kan också innefatta att fastställa ett reservförfarande.
7. Föra register över alla ändringar och relaterade aktiviteter, inklusive alla aktiviteter som anges ovan(1 till 6).
8. Driftsdokumentation som krävs i Kontroll 5.37 och användarprocedurer granskas och uppdateras för att återspegla ändringarna.
9. IKT-kontinuitetsplaner och återställnings- och svarsprocedurer bör ses över och revideras för att återspegla förändringarna.

Slutligen bör det noteras att organisationer bör integrera förändringskontrollprocedurer för programvara och IKT-infrastruktur i största möjliga utsträckning.

Kompletterande vägledning om kontroll 8.32

Ändringar av produktionsmiljöer som operativsystem och databaser kan äventyra integriteten och tillgängligheten av applikationer, särskilt överföringen av programvara från utvecklings- till produktionsmiljön.

En annan risk som organisationer bör vara försiktiga med är att byta mjukvara i produktionsmiljön kan få oavsiktliga konsekvenser.

För att förhindra dessa risker bör organisationer utföra tester på IKT-komponenter i en miljö isolerad från utvecklings- och produktionsmiljöer.

Detta kommer att göra det möjligt för organisationer att ha större kontroll över ny programvara och kommer att ge ett extra lager av skydd för verkliga data som används för teständamål. Detta extra skydd kan uppnås via patchar och service pack.

Ändringar och skillnader från ISO 27002:2013

27002:2022/8.32 ersätter 27002:2013/(12.1.2, 14.2.2, 14.2.3, 14.2.4)

Sammantaget var 2013 års version mer föreskrivande jämfört med 2022 års version när det gäller kraven på rutiner för förändringskontroll.

Det finns tre viktiga skillnader att lyfta fram mellan de två versionerna.

ISO 27002:2013-versionen var mer detaljerad i termer av vad "ändringsförfarande" borde innebära

Både versionen 27002:2022 och 27002:2013 listar vad ett "ändringsförfarande" bör omfatta på ett icke uttömmande sätt.

2013 års version innehöll dock följande element som inte hänvisades till i 2022 års version:

• Säkerhetskritisk kod bör identifieras och granskas för att åtgärda sårbarheter.
• Organisationer bör behålla versionskontroll för alla uppdateringar som implementeras på programvara.
• Organisationer bör identifiera och dokumentera en lista över alla hårdvaru- och mjukvarukomponenter som behöver ändras och uppdateras.

2013-versionen adresserad "Ändringar av operativa plattformar"

Kontroll 14.2.3 i version 27002:2013 handlade om hur organisationer kan minimera negativa effekter på och störningar i affärsverksamheten när förändringar görs i operativsystem.

Versionen 27002:2022 innehåller däremot inte krav på sådana ändringar.

2013-versionen adresserade "Ändringar av programvarupaket"

Kontroll 14.2.4 i versionen 27002:2013 adresserade "Ändringar av programvarupaket". Tvärtom innehåller versionen 27002:2022 inga krav på sådana ändringar.

Nya ISO 27002 kontroller

Hur ISMS.online hjälper

Vår molnbaserade plattform ger dig ett robust ramverk av informationssäkerhetskontroller så att du kan checklista din ISMS-process när du går för att säkerställa att den uppfyller kraven för ISO 27000k.

Används på rätt sätt, ISMS. online kan hjälpa dig att uppnå certifiering med ett minimum av tid och resurser.

Hör av dig idag för att boka en demo.