ISO 27701 Klausul 6.9.5: Förstärkning av programvarans säkerhetskontroller
Mjukvaruimplementationer, patchar, uppdateringar och nya installationer har potential att påverka PII och integritetsrelaterade tillgångar på en mängd olika sätt.
Organisationer måste vara mycket försiktiga när de installerar applikationer, hjälpprogram och körbar kod på operativsystem.
Vad som omfattas av ISO 27701 klausul 6.9.5
ISO 27701 klausul 6.9.5 innehåller bara en underklausul (ISO 27701 6.9.5.1) som enbart handlar om installation av programvara på operativa system.
Det finns inga ytterligare PIMS- eller PII-relaterade vägledningspunkter, och det finns inte heller några länkade Storbritannien GDPR artiklar att överväga.
Hantera all din efterlevnad, allt på ett ställe
ISMS.online stöder över 100 standarder och föreskrifter, vilket ger dig en enda plattform för alla dina efterlevnadsbehov.
ISO 27701 Klausul 6.9.5.1 – Installation av programvara på operativa system
Referenser ISO 27002 Kontroll 8.19
För att skydda tillgängligheten och integriteten för PII och administrera förändringar bör organisationer:
- Se till att programuppdateringar utförs av kompetent personal (se ISO 27002 Kontroll 8.5).
- Se till att koden har lämnat utvecklingsstadiet på ett säkert sätt och är fri från buggar.
- Testa all programvara före uppdatering eller installation för att säkerställa att inga konflikter eller fel uppstår.
- Håll ett uppdaterat programvarubibliotekssystem.
- Upprätthålla ett "konfigurationskontrollsystem" för att administrera operativ programvara.
- Utforma en "återställningsstrategi" som återställer systemen till ett tidigare fungerande tillstånd, för att säkerställa kontinuitet i verksamheten.
- Håll en noggrann logg över alla uppdateringar som utförs.
- Se till att oanvända programvaror – och allt tillhörande material – lagras säkert för vidare användning och analys.
- Arbeta med en mjukvarubegränsningspolicy, som löper i enlighet med organisationens olika roller och ansvarsområden.
När du använder programvara från leverantören, bör applikationer hållas i gott skick och i enlighet med utfärdarens riktlinjer.
ISO gör det uttryckligen klart att organisationer bör undvika att använda programvara som inte stöds om det inte är absolut nödvändigt. Organisationer bör försöka uppgradera befintliga system, snarare än att använda inaktuella eller äldre applikationer som inte stöds.
En leverantör kan kräva åtkomst till en organisations nätverk för att utföra en installation eller uppdatering. Sådana aktiviteter bör alltid vara auktoriserade och övervakade (se ISO 27002 Kontroll 5.22).
Kompletterande vägledning
- Organisationer bör uppgradera, korrigera och installera programvara i enlighet med deras publicerade ändringshanteringsprocedurer.
- Patchar som eliminerar säkerhetssårbarheter eller på annat sätt förbättrar organisatoriskt integritetsskydd bör alltid betraktas som en prioriterad förändring.
- Organisationer bör vara mycket försiktiga med att använda programvara med öppen källkod, och bör identifiera den senaste allmänt tillgängliga versionen för att säkerställa att säkerhetskraven uppfylls i största möjliga utsträckning.
Stödkontroller
- ISO 27002 5.22
- ISO 27002 8.5
Stödjande kontroller från ISO 27002 och GDPR
| ISO 27701 Klausulidentifierare | ISO 27701 Klausulnamn | ISO 27002-krav | Tillhörande GDPR-artiklar |
|---|---|---|---|
| 6.9.5.1 | Installation av programvara på operativa system | 8.19 – Installation av programvara på operativa system för ISO 27002 | Ingen |
Hur ISMS.online hjälper
Du måste skapa ett Privacy Information Management System (PIMS) för att uppfylla ISO 27701-standarderna. Med hjälp av våra förkonfigurerade PIMS kan du snabbt och enkelt organisera och hantera kund-, leverantörs- och anställdinformation för att helt uppfylla ISO 27701-standarderna.
ISMS.online kan också ta emot det växande antalet globala, regionala och sektorspecifika integritetsbestämmelser.
Du måste först bli ISO 27001 (informationssäkerhet) certifierad för att uppnå ISO 27701 (integritet) certifiering. Lyckligtvis kan vår plattform hjälpa dig med båda dessa certifieringar.
