- Weitere Informationen finden Sie auch in den ISO 27002:2022 Kontrolle 8.29 .
- Weitere Informationen finden Sie auch in den ISO 27001:2013 Anhang A 14.2.8 .
- Weitere Informationen finden Sie auch in den ISO 27001:2013 Anhang A 14.2.9 .
Sichere Entwicklung gewährleisten: ISO 27001 Anhang A 8.29 Sicherheitstests erklärt
Cyberkriminelle entwickeln ständig neue Methoden und verbessern ihre Taktiken, um in Unternehmensnetzwerke einzudringen und sich Zugriff auf vertrauliche Daten zu verschaffen.
Cyberkriminelle könnten einen Fehler im Authentifizierungsprozess im Quellcode ausnutzen, um in Netzwerke einzudringen. Darüber hinaus versuchen sie möglicherweise, Endbenutzer auf der Client-Seite dazu zu überreden, Dinge zu tun, die es ihnen ermöglichen würden, Zugriff auf Daten zu erhalten, Netzwerke zu infiltrieren oder Ransomware-Angriffe auszuführen.
Wenn eine Anwendung, Software oder ein IT-System Schwachstellen aufweist, besteht die Gefahr, dass vertrauliche Informationen kompromittiert werden.
Unternehmen sollten einen geeigneten Sicherheitstestprozess einrichten und durchführen, um etwaige Schwachstellen in IT-Systemen zu identifizieren und zu beheben, bevor diese in der realen Welt eingesetzt werden.
Zweck von ISO 27001:2022 Anhang A 8.29
ISO 27001:2022 Anhang A Mit Control 8.29 können Unternehmen sicherstellen, dass alle Sicherheitsanforderungen erfüllt werden, wenn neue Anwendungen, Datenbanken, Software oder Code implementiert werden. Dies erfolgt durch die Erstellung und Befolgung eines gründlichen Sicherheitstestprozesses.
Unternehmen können potenzielle Schwachstellen in ihrem Code, ihren Netzwerken, Servern, Anwendungen und anderen IT-Systemen erkennen und beseitigen, bevor sie in der realen Welt implementiert werden.
Eigentum an Anlage A 8.29
Die Information Security Officer sollte sicherstellen, dass ISO 27001:2022 Annex A Control 8.29 erfüllt wird, was die Einrichtung, Aufrechterhaltung und Implementierung eines Sicherheitstestverfahrens erfordert, das alle neuen Informationssysteme abdeckt, unabhängig davon, ob sie intern oder von Dritten erstellt werden.
ISO 27001 leicht gemacht
Ein Vorsprung von 81 % vom ersten Tag an
Wir haben die harte Arbeit für Sie erledigt und Ihnen vom Moment Ihrer Anmeldung an einen Vorsprung von 81 % verschafft. Sie müssen nur noch die Lücken ausfüllen.
Allgemeine Leitlinien zur Einhaltung von ISO 27001:2022 Anhang A 8.29
Organisationen sollten Sicherheitstests in den Testprozess für alle Systeme integrieren und so sicherstellen, dass alle neuen Informationssysteme sowie ihre neuen/aktualisierten Versionen die Anforderungen an die Informationssicherheit erfüllen, wenn sie sich in der Produktionsumgebung befinden.
ISO 27001:2022 Annex A Control 8.29 beschreibt drei Elemente als wesentliche Komponenten von Sicherheitstests:
- Sorgen Sie für Sicherheit durch Benutzerauthentifizierung gemäß ISO 27001:2022 Anhang A 8.5, Zugriffsbeschränkung gemäß ISO 27001:2022 Anhang A 8.3 und Kryptographie gemäß ISO 27001:2022 Anhang A 8.24.
- Stellen Sie sicher, dass der Code gemäß ISO 27001:2022 Anhang A 8.28 sicher geschrieben ist.
- Stellen Sie sicher, dass die Konfigurationen die in Anhang A 8.9, 8.20 und 8.22 beschriebenen Anforderungen erfüllen, was Firewalls und Betriebssysteme umfassen kann.
Was sollte ein Testplan beinhalten?
Bei der Ausarbeitung von Sicherheitstestplänen sollten Organisationen die Dringlichkeit und den Charakter des betreffenden Informationssystems berücksichtigen.
Dieser Sicherheitstestplan sollte die folgenden Elemente umfassen:
- Erstellen Sie einen umfassenden Zeitplan für die durchzuführenden Unternehmungen und Tests.
- Zu den erwarteten Ergebnissen, wenn bestimmte Bedingungen erfüllt sind, gehören sowohl Inputs als auch Outputs.
- Es müssen Kriterien zur Bewertung der Ergebnisse festgelegt werden.
- Sobald die Ergebnisse vorliegen, können Entscheidungen darüber getroffen werden, welche Maßnahmen ergriffen werden sollen.
Eigene Entwicklung
Das interne Entwicklungsteam sollte die ersten Sicherheitstests durchführen, um sicherzustellen, dass das IT-System den Sicherheitsspezifikationen entspricht.
Es sollte eine erste Testrunde durchgeführt werden, gefolgt von einer unabhängigen Abnahmeprüfung gemäß ISO 27001:2022 Anhang A 5.8.
Bei der Eigenentwicklung ist Folgendes zu beachten:
- Durchführung von Codeüberprüfungen zur Identifizierung und Behebung von Sicherheitsproblemen, einschließlich erwarteter Eingaben und Situationen.
- Durchführen von Schwachstellenscans, um unsichere Einstellungen und andere potenzielle Schwachstellen zu identifizieren.
- Durchführen von Penetrationstests zur Identifizierung schwacher Codierung und Designs.
Spezialisten
Organisationen sollten sich an eine strenge Einhaltung halten Erwerbsverfahren, wenn sie die Entwicklung delegieren oder IT-Elemente von externen Quellen beziehen.
Organisationen sollten mit ihren Lieferanten einen Vertrag abschließen, der die in ISO 27001:2022 Anhang A 5.20 festgelegten Informationssicherheitskriterien erfüllt.
Organisationen sollten garantieren, dass die von ihnen erworbenen Waren und Dienstleistungen den Sicherheitsstandards für Informationssicherheit entsprechen.
Ergänzende Leitlinien zu ISO 27001:2022 Anhang A 8.29
Unternehmen können mehrere Testumgebungen erstellen, um eine Reihe von Tests durchzuführen, darunter funktionale, nicht funktionale und Leistungstests. Sie können virtuelle Testumgebungen erstellen, diese zum Testen von IT-Systemen in verschiedenen Betriebsumgebungen konfigurieren und entsprechend weiterentwickeln.
Anhang A 8.29 betont die Notwendigkeit effektiver Sicherheitstests, die von Organisationen verlangen, die Testumgebungen, Tools und Technologien zu testen und zu überwachen.
Organisationen sollten den Grad der Sensibilität und Wichtigkeit berücksichtigen, wenn sie entscheiden, wie viele Ebenen von Metatests sie einsetzen möchten.
Befreien Sie sich von einem Berg an Tabellenkalkulationen
Integrieren, erweitern und skalieren Sie Ihre Compliance, ohne dass es zu Problemen kommt. IO gibt Ihnen die Widerstandsfähigkeit und das Vertrauen, um sicher zu wachsen.
Änderungen und Unterschiede zu ISO 27001:2013
ISO 27001:2022 Anhang A 8.29 ersetzt ISO 27001:2013 Anhang A 14.2.8 und 14.2.9 in der neuesten Revision.
Strukturelle Veränderungen
ISO 27001:2022 Konsolidiert sichere Tests in einer Kontrolle, im Gegensatz zu ISO 27001:2013, die sich auf sichere Tests in zwei verschiedenen Kontrollen bezog; Systemsicherheitstests (Anhang A 14.2.8) und Systemabnahmetests (Anhang A 14.2.9).
ISO 27001:2022 Anhang A 8.29 bringt umfassendere Anforderungen
Im Gegensatz zur ISO 27001:2013 enthält die Revision der ISO 27001:2022 umfassendere Anforderungen und Hinweise zu:
- Ein Sicherheitstestplan, der eine Vielzahl von Elementen umfassen sollte.
- Kriterien zur Beurteilung der Sicherheit bei der Entwicklung eigener IT-Systeme.
- Was sollte in den Sicherheitstestprozess einbezogen werden?
- Die Nutzung mehrerer Testumgebungen ist unerlässlich. Es sorgt für Gründlichkeit und Genauigkeit im Prozess.
ISO 27001:2013 war detaillierter in Bezug auf Abnahmetests
Im Gegensatz zu ISO 27001:2022 war ISO 27001:2013 detaillierter in Bezug auf Systemabnahmetests. Es umfasste Sicherheitstests für eingehende Komponenten und den Einsatz automatisierter Tools.
Tabelle aller ISO 27001:2022 Anhang A-Kontrollen
In der folgenden Tabelle finden Sie weitere Informationen zu jeder einzelnen ISO 27001:2022 Anhang A-Kontrolle.
| Anhang A Kontrolltyp | ISO/IEC 27001:2022 Anhang A Kennung | ISO/IEC 27001:2013 Anhang A Kennung | Anhang A Name |
|---|---|---|---|
| Organisatorische Kontrollen | Anhang A 5.1 |
Anhang A 5.1.1 Anhang A 5.1.2 |
Richtlinien zur Informationssicherheit |
| Organisatorische Kontrollen | Anhang A 5.2 | Anhang A 6.1.1 | Rollen und Verantwortlichkeiten im Bereich Informationssicherheit |
| Organisatorische Kontrollen | Anhang A 5.3 | Anhang A 6.1.2 | Aufgabentrennung |
| Organisatorische Kontrollen | Anhang A 5.4 | Anhang A 7.2.1 | Führungsaufgaben |
| Organisatorische Kontrollen | Anhang A 5.5 | Anhang A 6.1.3 | Kontakt mit Behörden |
| Organisatorische Kontrollen | Anhang A 5.6 | Anhang A 6.1.4 | Kontakt mit speziellen Interessengruppen |
| Organisatorische Kontrollen | Anhang A 5.7 | NEU | Threat Intelligence |
| Organisatorische Kontrollen | Anhang A 5.8 |
Anhang A 6.1.5 Anhang A 14.1.1 |
Informationssicherheit im Projektmanagement |
| Organisatorische Kontrollen | Anhang A 5.9 |
Anhang A 8.1.1 Anhang A 8.1.2 |
Inventar der Informationen und anderer damit verbundener Vermögenswerte |
| Organisatorische Kontrollen | Anhang A 5.10 |
Anhang A 8.1.3 Anhang A 8.2.3 |
Akzeptable Nutzung von Informationen und anderen damit verbundenen Vermögenswerten |
| Organisatorische Kontrollen | Anhang A 5.11 | Anhang A 8.1.4 | Rückgabe von Vermögenswerten |
| Organisatorische Kontrollen | Anhang A 5.12 | Anhang A 8.2.1 | Klassifizierung von Informationen |
| Organisatorische Kontrollen | Anhang A 5.13 | Anhang A 8.2.2 | Kennzeichnung von Informationen |
| Organisatorische Kontrollen | Anhang A 5.14 |
Anhang A 13.2.1 Anhang A 13.2.2 Anhang A 13.2.3 |
Informationsübertragung |
| Organisatorische Kontrollen | Anhang A 5.15 |
Anhang A 9.1.1 Anhang A 9.1.2 |
Zugangskontrolle |
| Organisatorische Kontrollen | Anhang A 5.16 | Anhang A 9.2.1 | Identitätsmanagement |
| Organisatorische Kontrollen | Anhang A 5.17 |
Anhang A 9.2.4 Anhang A 9.3.1 Anhang A 9.4.3 |
Authentifizierungsinformationen |
| Organisatorische Kontrollen | Anhang A 5.18 |
Anhang A 9.2.2 Anhang A 9.2.5 Anhang A 9.2.6 |
Zugangsrechte |
| Organisatorische Kontrollen | Anhang A 5.19 | Anhang A 15.1.1 | Informationssicherheit in Lieferantenbeziehungen |
| Organisatorische Kontrollen | Anhang A 5.20 | Anhang A 15.1.2 | Adressierung der Informationssicherheit in Lieferantenvereinbarungen |
| Organisatorische Kontrollen | Anhang A 5.21 | Anhang A 15.1.3 | Management der Informationssicherheit in der IKT-Lieferkette |
| Organisatorische Kontrollen | Anhang A 5.22 |
Anhang A 15.2.1 Anhang A 15.2.2 |
Überwachung, Überprüfung und Änderungsmanagement von Lieferantendienstleistungen |
| Organisatorische Kontrollen | Anhang A 5.23 | NEU | Informationssicherheit für die Nutzung von Cloud-Diensten |
| Organisatorische Kontrollen | Anhang A 5.24 | Anhang A 16.1.1 | Planung und Vorbereitung des Managements von Informationssicherheitsvorfällen |
| Organisatorische Kontrollen | Anhang A 5.25 | Anhang A 16.1.4 | Bewertung und Entscheidung zu Informationssicherheitsereignissen |
| Organisatorische Kontrollen | Anhang A 5.26 | Anhang A 16.1.5 | Reaktion auf Informationssicherheitsvorfälle |
| Organisatorische Kontrollen | Anhang A 5.27 | Anhang A 16.1.6 | Aus Informationssicherheitsvorfällen lernen |
| Organisatorische Kontrollen | Anhang A 5.28 | Anhang A 16.1.7 | Beweissammlung |
| Organisatorische Kontrollen | Anhang A 5.29 |
Anhang A 17.1.1 Anhang A 17.1.2 Anhang A 17.1.3 |
Informationssicherheit bei Störungen |
| Organisatorische Kontrollen | Anhang A 5.30 | NEU | IKT-Bereitschaft für Geschäftskontinuität |
| Organisatorische Kontrollen | Anhang A 5.31 |
Anhang A 18.1.1 Anhang A 18.1.5 |
Rechtliche, gesetzliche, behördliche und vertragliche Anforderungen |
| Organisatorische Kontrollen | Anhang A 5.32 | Anhang A 18.1.2 | Rechte an geistigem Eigentum |
| Organisatorische Kontrollen | Anhang A 5.33 | Anhang A 18.1.3 | Schutz von Aufzeichnungen |
| Organisatorische Kontrollen | Anhang A 5.34 | Anhang A 18.1.4 | Datenschutz und Schutz personenbezogener Daten |
| Organisatorische Kontrollen | Anhang A 5.35 | Anhang A 18.2.1 | Unabhängige Überprüfung der Informationssicherheit |
| Organisatorische Kontrollen | Anhang A 5.36 |
Anhang A 18.2.2 Anhang A 18.2.3 |
Einhaltung von Richtlinien, Regeln und Standards für die Informationssicherheit |
| Organisatorische Kontrollen | Anhang A 5.37 | Anhang A 12.1.1 | Dokumentierte Betriebsabläufe |
| Anhang A Kontrolltyp | ISO/IEC 27001:2022 Anhang A Kennung | ISO/IEC 27001:2013 Anhang A Kennung | Anhang A Name |
|---|---|---|---|
| Menschenkontrollen | Anhang A 6.1 | Anhang A 7.1.1 | Rekrutierung |
| Menschenkontrollen | Anhang A 6.2 | Anhang A 7.1.2 | Allgemeine Geschäftsbedingungen |
| Menschenkontrollen | Anhang A 6.3 | Anhang A 7.2.2 | Informationssicherheitsbewusstsein, Bildung und Schulung |
| Menschenkontrollen | Anhang A 6.4 | Anhang A 7.2.3 | Disziplinarverfahren |
| Menschenkontrollen | Anhang A 6.5 | Anhang A 7.3.1 | Verantwortlichkeiten nach Beendigung oder Wechsel des Arbeitsverhältnisses |
| Menschenkontrollen | Anhang A 6.6 | Anhang A 13.2.4 | Vertraulichkeits- oder Geheimhaltungsvereinbarungen |
| Menschenkontrollen | Anhang A 6.7 | Anhang A 6.2.2 | Fernarbeit |
| Menschenkontrollen | Anhang A 6.8 |
Anhang A 16.1.2 Anhang A 16.1.3 |
Berichterstattung über Informationssicherheitsereignisse |
| Anhang A Kontrolltyp | ISO/IEC 27001:2022 Anhang A Kennung | ISO/IEC 27001:2013 Anhang A Kennung | Anhang A Name |
|---|---|---|---|
| Physikalische Kontrollen | Anhang A 7.1 | Anhang A 11.1.1 | Physische Sicherheitsbereiche |
| Physikalische Kontrollen | Anhang A 7.2 |
Anhang A 11.1.2 Anhang A 11.1.6 |
Physischer Eintritt |
| Physikalische Kontrollen | Anhang A 7.3 | Anhang A 11.1.3 | Sicherung von Büros, Räumen und Einrichtungen |
| Physikalische Kontrollen | Anhang A 7.4 | NEU | Physische Sicherheitsüberwachung |
| Physikalische Kontrollen | Anhang A 7.5 | Anhang A 11.1.4 | Schutz vor physischen und umweltbedingten Bedrohungen |
| Physikalische Kontrollen | Anhang A 7.6 | Anhang A 11.1.5 | Arbeiten in sicheren Bereichen |
| Physikalische Kontrollen | Anhang A 7.7 | Anhang A 11.2.9 | Klarer Schreibtisch und klarer Bildschirm |
| Physikalische Kontrollen | Anhang A 7.8 | Anhang A 11.2.1 | Standort und Schutz der Ausrüstung |
| Physikalische Kontrollen | Anhang A 7.9 | Anhang A 11.2.6 | Sicherheit von Vermögenswerten außerhalb des Betriebsgeländes |
| Physikalische Kontrollen | Anhang A 7.10 |
Anhang A 8.3.1 Anhang A 8.3.2 Anhang A 8.3.3 Anhang A 11.2.5 |
Speichermedien |
| Physikalische Kontrollen | Anhang A 7.11 | Anhang A 11.2.2 | Unterstützende Dienstprogramme |
| Physikalische Kontrollen | Anhang A 7.12 | Anhang A 11.2.3 | Verkabelungssicherheit |
| Physikalische Kontrollen | Anhang A 7.13 | Anhang A 11.2.4 | Wartung der Ausrüstung |
| Physikalische Kontrollen | Anhang A 7.14 | Anhang A 11.2.7 | Sichere Entsorgung oder Wiederverwendung von Geräten |
| Anhang A Kontrolltyp | ISO/IEC 27001:2022 Anhang A Kennung | ISO/IEC 27001:2013 Anhang A Kennung | Anhang A Name |
|---|---|---|---|
| Technologische Kontrollen | Anhang A 8.1 |
Anhang A 6.2.1 Anhang A 11.2.8 |
Benutzer-Endpunktgeräte |
| Technologische Kontrollen | Anhang A 8.2 | Anhang A 9.2.3 | Privilegierte Zugriffsrechte |
| Technologische Kontrollen | Anhang A 8.3 | Anhang A 9.4.1 | Beschränkung des Informationszugriffs |
| Technologische Kontrollen | Anhang A 8.4 | Anhang A 9.4.5 | Zugang zum Quellcode |
| Technologische Kontrollen | Anhang A 8.5 | Anhang A 9.4.2 | Sichere Authentifizierung |
| Technologische Kontrollen | Anhang A 8.6 | Anhang A 12.1.3 | Kapazitätsmanagement |
| Technologische Kontrollen | Anhang A 8.7 | Anhang A 12.2.1 | Schutz vor Malware |
| Technologische Kontrollen | Anhang A 8.8 |
Anhang A 12.6.1 Anhang A 18.2.3 |
Management technischer Schwachstellen |
| Technologische Kontrollen | Anhang A 8.9 | NEU | Configuration Management |
| Technologische Kontrollen | Anhang A 8.10 | NEU | Löschen von Informationen |
| Technologische Kontrollen | Anhang A 8.11 | NEU | Datenmaskierung |
| Technologische Kontrollen | Anhang A 8.12 | NEU | Verhinderung von Datenlecks |
| Technologische Kontrollen | Anhang A 8.13 | Anhang A 12.3.1 | Informationssicherung |
| Technologische Kontrollen | Anhang A 8.14 | Anhang A 17.2.1 | Redundanz von Informationsverarbeitungseinrichtungen |
| Technologische Kontrollen | Anhang A 8.15 |
Anhang A 12.4.1 Anhang A 12.4.2 Anhang A 12.4.3 |
Protokollierung |
| Technologische Kontrollen | Anhang A 8.16 | NEU | Überwachungsaktivitäten |
| Technologische Kontrollen | Anhang A 8.17 | Anhang A 12.4.4 | Uhrensynchronisation |
| Technologische Kontrollen | Anhang A 8.18 | Anhang A 9.4.4 | Nutzung privilegierter DienstprogrammeZugriffsrechte |
| Technologische Kontrollen | Anhang A 8.19 |
Anhang A 12.5.1 Anhang A 12.6.2 |
Installation von Software auf Betriebssystemen |
| Technologische Kontrollen | Anhang A 8.20 | Anhang A 13.1.1 | Netzwerksicherheit |
| Technologische Kontrollen | Anhang A 8.21 | Anhang A 13.1.2 | Sicherheit von Netzwerkdiensten |
| Technologische Kontrollen | Anhang A 8.22 | Anhang A 13.1.3 | Trennung von Netzwerken |
| Technologische Kontrollen | Anhang A 8.23 | NEU | Web-Filter |
| Technologische Kontrollen | Anhang A 8.24 |
Anhang A 10.1.1 Anhang A 10.1.2 |
Verwendung von Kryptographie |
| Technologische Kontrollen | Anhang A 8.25 | Anhang A 14.2.1 | Sicherer Entwicklungslebenszyklus |
| Technologische Kontrollen | Anhang A 8.26 |
Anhang A 14.1.2 Anhang A 14.1.3 |
Anforderungen an die Anwendungssicherheit |
| Technologische Kontrollen | Anhang A 8.27 | Anhang A 14.2.5 | Sichere Systemarchitektur und technische Prinzipien. Lernen aus Informationssicherheitsvorfällen. |
| Technologische Kontrollen | Anhang A 8.28 | NEU | Sichere Codierung |
| Technologische Kontrollen | Anhang A 8.29 |
Anhang A 14.2.8 Anhang A 14.2.9 |
Sicherheitstests in Entwicklung und Akzeptanz |
| Technologische Kontrollen | Anhang A 8.30 | Anhang A 14.2.7 | Ausgelagerte Entwicklung |
| Technologische Kontrollen | Anhang A 8.31 |
Anhang A 12.1.4 Anhang A 14.2.6 |
Trennung von Entwicklungs-, Test- und Produktionsumgebungen |
| Technologische Kontrollen | Anhang A 8.32 |
Anhang A 12.1.2 Anhang A 14.2.2 Anhang A 14.2.3 Anhang A 14.2.4 |
Change Control |
| Technologische Kontrollen | Anhang A 8.33 | Anhang A 14.3.1 | Testinformationen |
| Technologische Kontrollen | Anhang A 8.34 | Anhang A 12.7.1 | Schutz von Informationssystemen während Audittests |
Wie ISMS.online hilft
ISMS.online vereinfacht den ISO 27001:2022-Implementierungsprozess durch ein ausgefeiltes cloudbasiertes Framework, das eine Dokumentation der Prozesse des Informationssicherheitsmanagementsystems und Checklisten bereitstellt, um die Kompatibilität mit anerkannten Standards sicherzustellen.
Kontaktieren Sie uns, um Vereinbaren Sie eine Vorführung.