ISO 27002:2022, Kontroll 8.34 – Skydd av informationssystem under revisionstestning

Äganderätt till kontroll 8.34

Det ledningsgruppen bör ansvara för att planera och komma överens om revisionsförfaranden och att skapa och tillämpa nödvändiga åtgärder.

Allmän vägledning om efterlevnad

Kontroll 8.34 listar åtta specifika krav som organisationer bör beakta:

1. Lämplig ledning och revisor bör komma överens om tillgång till system och informationstillgångar.
2. Överenskommelse om omfattningen av tekniska revisionstester som ska utföras.
3. Organisationer kan endast ge skrivskyddad tillgång till information och programvara. Om det inte är möjligt att använda skrivskyddad teknik kan en administratör med nödvändiga åtkomsträttigheter få åtkomst till system eller data för revisorns räkning.
4. Om en åtkomstbegäran är auktoriserad bör organisationer först verifiera att enheter som används för att komma åt system uppfyller säkerhetskraven innan de ger åtkomst.
5. Tillgång bör endast ges för isolerade kopior filer som extraherats från systemet. Dessa kopior bör raderas permanent när granskningen är klar, såvida det inte finns en skyldighet att behålla dessa filer. Om skrivskyddad åtkomst är möjlig gäller inte denna kontroll.
6. Förfrågningar från revisorer om att utföra speciell bearbetning, såsom att använda revisionsverktyg, bör godkännas av ledningen.
7. Om en revision riskerar att påverka systemets tillgänglighet, bör revisionen utföras utanför kontorstid för att upprätthålla tillgängligheten till information.
8. Åtkomstförfrågningar gjorda för revisioner bör loggas för revisionsspåret.

Kompletterande vägledning om kontroll 8.34

När revisioner utförs på test- eller utvecklingsmiljöer bör organisationer vara försiktiga mot följande risker:

• Kompromiss med kodens integritet.
• Förlust av konfidentialitet för känslig information.

Ändringar och skillnader från ISO 27002:2013

27002:2022/8.34 replace 27002:2013/(12.7.1)

Även om 2022-versionen i stor utsträckning liknar 2013-versionen, finns det två viktiga skillnader.

ISO 27002:2022-versionen introducerar ett nytt krav

2022-versionen introducerar följande krav som inte hänvisades till i 2013-versionen:

Om en åtkomstbegäran är auktoriserad bör organisationer först verifiera att enheter som används för att komma åt system uppfyller säkerhetskraven innan de ger åtkomst.

2022-versionen adresserar test- och utvecklingsmiljöer

I den kompletterande vägledningen varnar 2022-versionen organisationer mot säkerhetsrisker på grund av revisioner utförda på test- och utvecklingsmiljöer. 2013 års version hänvisade tvärtom inte till test- och utvecklingsmiljöerna.

Hur ISMS.online hjälper

ISO 27002 implementering är enklare med vår steg-för-steg checklista som guidar dig genom hela processen, från att definiera omfattningen av ditt ISMS till riskidentifiering och kontrollimplementering.

Vår plattform är intuitivt och lätt att använda. Det är inte bara för högtekniska personer; det är för alla i din organisation. Vi uppmuntrar dig att involvera personal på alla nivåer i ditt företag i processen att bygga ditt ISMS, eftersom det hjälper dig att bygga ett verkligt hållbart system.

Hör av dig idag för att boka en demo.