- Weitere Informationen finden Sie auch in den ISO 27002:2022 Kontrolle 8.31 .
- Weitere Informationen finden Sie auch in den ISO 27001:2013 Anhang A 12.1.4 .
- Weitere Informationen finden Sie auch in den ISO 27001:2013 Anhang A 14.2.6 .
ISO 27001 Anhang A 8.31: Warum die Trennung von Entwicklungs-, Test- und Produktionsumgebungen so wichtig ist
Wenn Entwicklungs-, Test- und Produktionsumgebungen nicht genau getrennt werden, kann dies zu einem Verlust der Verfügbarkeit, Vertraulichkeit und Integrität von Informationsressourcen führen.
Beispielsweise hat Uber fälschlicherweise ein Code-Repository auf Github bereitgestellt, das Passwörter aus seiner Produktionsumgebung enthielt und so die Vertraulichkeit sensibler Daten gefährdete.
Unternehmen sollten geeignete Protokolle und Vorschriften einführen, um Entwicklungs-, Test- und Produktionseinstellungen klar zu trennen und so Sicherheitsrisiken auszuschließen.
Zweck von ISO 27001:2022 Anhang A 8.31
ISO 27001:2022 Anhang A 8.31 erleichtert Organisationen die Wahrung der Vertraulichkeit, Integrität und Verfügbarkeit sensibler Informationsbestände durch geeignete Prozesse, Kontrollen und Vorschriften. Dies geschieht durch die Isolierung von Entwicklungs-, Test- und Produktionsumgebungen.
Eigentum an Anlage A 8.31
Die Chief Information Security Officer, mit Unterstützung des Entwicklungsteams, ist letztendlich für die Einhaltung von ISO 27001:2022 Anhang A 8.31 verantwortlich, der die Einrichtung und Implementierung organisationsweiter Prozesse und Kontrollen zur Trennung verschiedener Softwareumgebungen erfordert.
ISO 27001 leicht gemacht
Ein Vorsprung von 81 % vom ersten Tag an
Wir haben die harte Arbeit für Sie erledigt und Ihnen vom Moment Ihrer Anmeldung an einen Vorsprung von 81 % verschafft. Sie müssen nur noch die Lücken ausfüllen.
Allgemeine Leitlinien zur Einhaltung von ISO 27001:2022 Anhang A 8.31
Organisationen sollten die Produktionsprobleme berücksichtigen, die vermieden werden sollten, wenn sie über den erforderlichen Grad der Trennung zwischen den drei Umgebungen entscheiden.
In Anhang A 8.31 wird empfohlen, dass Organisationen sieben Kriterien berücksichtigen:
- Es wird empfohlen, Entwicklungs- und Produktionssysteme auf ein zufriedenstellendes Niveau zu trennen. Beispielsweise könnte die Nutzung unterschiedlicher virtueller und physischer Umgebungen für die Produktion eine Lösung sein machbare Lösung.
- Für den Einsatz von Software in der Produktionsumgebung nach dem Durchlaufen der Entwicklungsumgebung müssen Regeln und Autorisierungsverfahren erstellt, dokumentiert und umgesetzt werden.
- Organisationen sollten Änderungen an Anwendungen und Produktionssystemen in einer isolierten Testumgebung außerhalb der Produktionsumgebung bewerten und testen, bevor sie sie in der Produktionsumgebung implementieren.
- Es sollten keine Tests in Produktionsumgebungen durchgeführt werden, es sei denn, sie wurden zuvor genau definiert und genehmigt.
- Entwicklungsressourcen wie Compiler und Editoren sollten in Produktionsumgebungen nicht verfügbar sein, es sei denn, dies ist unbedingt erforderlich.
- Um Fehler zu vermeiden, sollten korrekte Umgebungsbezeichnungen gut sichtbar in Menüs hervorgehoben werden.
- Es sollten keine sensiblen Informationsbestände in Entwicklungs- oder Testsysteme übertragen werden, es sei denn, gleichwertige Sicherheitsmaßnahmen sind vorhanden.
Leitfaden zum Schutz von Entwicklungs- und Testumgebungen
Organisationen sollten Entwicklungs- und Testumgebungen vor potenziellen Sicherheitsrisiken schützen und dabei Folgendes berücksichtigen:
- Stellen Sie sicher, dass alle Entwicklungs-, Integrations- und Testtools, z. B. Builder, Integratoren und Bibliotheken, regelmäßig gepatcht und auf dem neuesten Stand gehalten werden.
- Stellen Sie sicher, dass alle Systeme und Software sicher eingerichtet sind.
- Für den Zugriff auf Umgebungen müssen entsprechende Kontrollen vorhanden sein.
- Änderungen an Umgebungen und deren Codes sollten überwacht und überprüft werden.
- Es sollte eine sichere Überwachung und Überprüfung der Umgebungen durchgeführt werden.
- Umgebungen sollten durch Backups gesichert werden.
Keiner Person sollte das Vorrecht eingeräumt werden, Änderungen sowohl an der Entwicklungs- als auch an der Produktionsumgebung vorzunehmen, ohne vorher eine Genehmigung einzuholen. Um dies zu vermeiden, können Organisationen Zugriffsrechte trennen oder Zugriffskontrollen einrichten und durchführen.
Organisationen können über weitere technische Kontrollen nachdenken, wie etwa die Protokollierung aller Zugriffsaktivitäten und die Überwachung des Zugriffs auf diese Umgebungen in Echtzeit.
Ergänzende Hinweise zu Anhang A 8.31
Wenn Unternehmen nicht die notwendigen Schritte unternehmen, können ihre Informationssysteme erheblichen Sicherheitsrisiken ausgesetzt sein.
Entwickler und Tester mit Zugriff auf die Produktionsumgebung können unbeabsichtigt Änderungen an Dateien oder Systemeinstellungen vornehmen, nicht autorisierten Code ausführen oder versehentlich vertrauliche Daten preisgeben.
Unternehmen benötigen eine stabile Umgebung, um ihren Code gründlich testen zu können und Entwicklern den Zugriff auf Produktionsumgebungen zu verwehren, in denen sensible reale Daten gespeichert und verarbeitet werden.
Organisationen sollten bestimmte Rollen zuweisen und eine Aufgabentrennung durchsetzen.
Die Entwicklungs- und Testteams können Gefahr laufen, die vertraulichen Produktionsdaten zu gefährden, wenn sie dieselben Computergeräte verwenden. Es kann zu unbeabsichtigten Änderungen an sensiblen Informationen oder Softwareprogrammen kommen.
Organisationen werden dringend aufgefordert, unterstützende Prozesse einzurichten, um Produktionsdaten in Test- und Entwicklungssystemen in Übereinstimmung mit ISO 27001:2022 Anhang A 8.33 zu nutzen.
Organisationen sollten die in dieser Anhang-A-Kontrolle besprochenen Maßnahmen berücksichtigen, wenn sie Endbenutzerschulungen in Schulungsumgebungen durchführen.
Schließlich können Unternehmen die Grenzen zwischen Entwicklungs-, Test- und Produktionsumgebungen verschleiern. Beispielsweise können Tests in einer Entwicklungsumgebung durchgeführt werden oder Mitarbeiter können das Produkt testen, indem sie es tatsächlich verwenden.
Verwalten Sie Ihre gesamte Compliance an einem Ort
ISMS.online unterstützt über 100 Standards und Vorschriften und bietet Ihnen eine einzige Plattform für alle Ihre Compliance-Anforderungen.
Änderungen und Unterschiede zu ISO 27001:2013
ISO 27001:2022 Anhang A 8.31 ersetzt ISO 27001:2013 Anhang A 12.1.4 und ISO 27001:2013 Anhang A 14.2.6. Mit dieser Überarbeitung werden die notwendigen Anpassungen vorgenommen, um den Standard an die aktuellste Praxis anzupassen.
Die beiden Versionen haben viele Gemeinsamkeiten, zwei Unterschiede sind jedoch bemerkenswert.
ISO 27001:2013 Anhang A 14.2.6 liefert detailliertere Leitlinien zu sicheren Entwicklungsumgebungen
ISO 27001:2013 Anhang A 14.2.6 befasst sich mit sicheren Entwicklungsumgebungen und skizziert 10 Empfehlungen, die Organisationen beim Aufbau einer Entwicklungsumgebung berücksichtigen sollten.
Im Vergleich dazu enthält ISO 27001:2022 Anhang A 8.33 bestimmte Vorschläge nicht, wie z. B. ein Backup an einem entfernten Standort und Einschränkungen bei der Datenübertragung.
ISO 27001:2022 Anhang A 8.31 befasst sich mit Produkttests und der Verwendung von Produktionsdaten
Im Vergleich zu ISO 27001:2013 bietet ISO 27001:2022 Anhang A 8.31 Leitlinien zur Produktprüfung und Nutzung von Produktionsdaten gemäß ISO 27001:2022 Anhang A 8.33.
Tabelle aller ISO 27001:2022 Anhang A-Kontrollen
In der folgenden Tabelle finden Sie weitere Informationen zu jeder einzelnen ISO 27001:2022 Anhang A Steuern.
| Anhang A Kontrolltyp | ISO/IEC 27001:2022 Anhang A Kennung | ISO/IEC 27001:2013 Anhang A Kennung | Anhang A Name |
|---|---|---|---|
| Organisatorische Kontrollen | Anhang A 5.1 |
Anhang A 5.1.1 Anhang A 5.1.2 |
Richtlinien zur Informationssicherheit |
| Organisatorische Kontrollen | Anhang A 5.2 | Anhang A 6.1.1 | Rollen und Verantwortlichkeiten im Bereich Informationssicherheit |
| Organisatorische Kontrollen | Anhang A 5.3 | Anhang A 6.1.2 | Aufgabentrennung |
| Organisatorische Kontrollen | Anhang A 5.4 | Anhang A 7.2.1 | Führungsaufgaben |
| Organisatorische Kontrollen | Anhang A 5.5 | Anhang A 6.1.3 | Kontakt mit Behörden |
| Organisatorische Kontrollen | Anhang A 5.6 | Anhang A 6.1.4 | Kontakt mit speziellen Interessengruppen |
| Organisatorische Kontrollen | Anhang A 5.7 | NEU | Threat Intelligence |
| Organisatorische Kontrollen | Anhang A 5.8 |
Anhang A 6.1.5 Anhang A 14.1.1 |
Informationssicherheit im Projektmanagement |
| Organisatorische Kontrollen | Anhang A 5.9 |
Anhang A 8.1.1 Anhang A 8.1.2 |
Inventar der Informationen und anderer damit verbundener Vermögenswerte |
| Organisatorische Kontrollen | Anhang A 5.10 |
Anhang A 8.1.3 Anhang A 8.2.3 |
Akzeptable Nutzung von Informationen und anderen damit verbundenen Vermögenswerten |
| Organisatorische Kontrollen | Anhang A 5.11 | Anhang A 8.1.4 | Rückgabe von Vermögenswerten |
| Organisatorische Kontrollen | Anhang A 5.12 | Anhang A 8.2.1 | Klassifizierung von Informationen |
| Organisatorische Kontrollen | Anhang A 5.13 | Anhang A 8.2.2 | Kennzeichnung von Informationen |
| Organisatorische Kontrollen | Anhang A 5.14 |
Anhang A 13.2.1 Anhang A 13.2.2 Anhang A 13.2.3 |
Informationsübertragung |
| Organisatorische Kontrollen | Anhang A 5.15 |
Anhang A 9.1.1 Anhang A 9.1.2 |
Zugangskontrolle |
| Organisatorische Kontrollen | Anhang A 5.16 | Anhang A 9.2.1 | Identitätsmanagement |
| Organisatorische Kontrollen | Anhang A 5.17 |
Anhang A 9.2.4 Anhang A 9.3.1 Anhang A 9.4.3 |
Authentifizierungsinformationen |
| Organisatorische Kontrollen | Anhang A 5.18 |
Anhang A 9.2.2 Anhang A 9.2.5 Anhang A 9.2.6 |
Zugangsrechte |
| Organisatorische Kontrollen | Anhang A 5.19 | Anhang A 15.1.1 | Informationssicherheit in Lieferantenbeziehungen |
| Organisatorische Kontrollen | Anhang A 5.20 | Anhang A 15.1.2 | Adressierung der Informationssicherheit in Lieferantenvereinbarungen |
| Organisatorische Kontrollen | Anhang A 5.21 | Anhang A 15.1.3 | Management der Informationssicherheit in der IKT-Lieferkette |
| Organisatorische Kontrollen | Anhang A 5.22 |
Anhang A 15.2.1 Anhang A 15.2.2 |
Überwachung, Überprüfung und Änderungsmanagement von Lieferantendienstleistungen |
| Organisatorische Kontrollen | Anhang A 5.23 | NEU | Informationssicherheit für die Nutzung von Cloud-Diensten |
| Organisatorische Kontrollen | Anhang A 5.24 | Anhang A 16.1.1 | Planung und Vorbereitung des Managements von Informationssicherheitsvorfällen |
| Organisatorische Kontrollen | Anhang A 5.25 | Anhang A 16.1.4 | Bewertung und Entscheidung zu Informationssicherheitsereignissen |
| Organisatorische Kontrollen | Anhang A 5.26 | Anhang A 16.1.5 | Reaktion auf Informationssicherheitsvorfälle |
| Organisatorische Kontrollen | Anhang A 5.27 | Anhang A 16.1.6 | Aus Informationssicherheitsvorfällen lernen |
| Organisatorische Kontrollen | Anhang A 5.28 | Anhang A 16.1.7 | Beweissammlung |
| Organisatorische Kontrollen | Anhang A 5.29 |
Anhang A 17.1.1 Anhang A 17.1.2 Anhang A 17.1.3 |
Informationssicherheit bei Störungen |
| Organisatorische Kontrollen | Anhang A 5.30 | NEU | IKT-Bereitschaft für Geschäftskontinuität |
| Organisatorische Kontrollen | Anhang A 5.31 |
Anhang A 18.1.1 Anhang A 18.1.5 |
Rechtliche, gesetzliche, behördliche und vertragliche Anforderungen |
| Organisatorische Kontrollen | Anhang A 5.32 | Anhang A 18.1.2 | Rechte an geistigem Eigentum |
| Organisatorische Kontrollen | Anhang A 5.33 | Anhang A 18.1.3 | Schutz von Aufzeichnungen |
| Organisatorische Kontrollen | Anhang A 5.34 | Anhang A 18.1.4 | Datenschutz und Schutz personenbezogener Daten |
| Organisatorische Kontrollen | Anhang A 5.35 | Anhang A 18.2.1 | Unabhängige Überprüfung der Informationssicherheit |
| Organisatorische Kontrollen | Anhang A 5.36 |
Anhang A 18.2.2 Anhang A 18.2.3 |
Einhaltung von Richtlinien, Regeln und Standards für die Informationssicherheit |
| Organisatorische Kontrollen | Anhang A 5.37 | Anhang A 12.1.1 | Dokumentierte Betriebsabläufe |
| Anhang A Kontrolltyp | ISO/IEC 27001:2022 Anhang A Kennung | ISO/IEC 27001:2013 Anhang A Kennung | Anhang A Name |
|---|---|---|---|
| Menschenkontrollen | Anhang A 6.1 | Anhang A 7.1.1 | Rekrutierung |
| Menschenkontrollen | Anhang A 6.2 | Anhang A 7.1.2 | Allgemeine Geschäftsbedingungen |
| Menschenkontrollen | Anhang A 6.3 | Anhang A 7.2.2 | Informationssicherheitsbewusstsein, Bildung und Schulung |
| Menschenkontrollen | Anhang A 6.4 | Anhang A 7.2.3 | Disziplinarverfahren |
| Menschenkontrollen | Anhang A 6.5 | Anhang A 7.3.1 | Verantwortlichkeiten nach Beendigung oder Wechsel des Arbeitsverhältnisses |
| Menschenkontrollen | Anhang A 6.6 | Anhang A 13.2.4 | Vertraulichkeits- oder Geheimhaltungsvereinbarungen |
| Menschenkontrollen | Anhang A 6.7 | Anhang A 6.2.2 | Fernarbeit |
| Menschenkontrollen | Anhang A 6.8 |
Anhang A 16.1.2 Anhang A 16.1.3 |
Berichterstattung über Informationssicherheitsereignisse |
| Anhang A Kontrolltyp | ISO/IEC 27001:2022 Anhang A Kennung | ISO/IEC 27001:2013 Anhang A Kennung | Anhang A Name |
|---|---|---|---|
| Physikalische Kontrollen | Anhang A 7.1 | Anhang A 11.1.1 | Physische Sicherheitsbereiche |
| Physikalische Kontrollen | Anhang A 7.2 |
Anhang A 11.1.2 Anhang A 11.1.6 |
Physischer Eintritt |
| Physikalische Kontrollen | Anhang A 7.3 | Anhang A 11.1.3 | Sicherung von Büros, Räumen und Einrichtungen |
| Physikalische Kontrollen | Anhang A 7.4 | NEU | Physische Sicherheitsüberwachung |
| Physikalische Kontrollen | Anhang A 7.5 | Anhang A 11.1.4 | Schutz vor physischen und umweltbedingten Bedrohungen |
| Physikalische Kontrollen | Anhang A 7.6 | Anhang A 11.1.5 | Arbeiten in sicheren Bereichen |
| Physikalische Kontrollen | Anhang A 7.7 | Anhang A 11.2.9 | Klarer Schreibtisch und klarer Bildschirm |
| Physikalische Kontrollen | Anhang A 7.8 | Anhang A 11.2.1 | Standort und Schutz der Ausrüstung |
| Physikalische Kontrollen | Anhang A 7.9 | Anhang A 11.2.6 | Sicherheit von Vermögenswerten außerhalb des Betriebsgeländes |
| Physikalische Kontrollen | Anhang A 7.10 |
Anhang A 8.3.1 Anhang A 8.3.2 Anhang A 8.3.3 Anhang A 11.2.5 |
Speichermedien |
| Physikalische Kontrollen | Anhang A 7.11 | Anhang A 11.2.2 | Unterstützende Dienstprogramme |
| Physikalische Kontrollen | Anhang A 7.12 | Anhang A 11.2.3 | Verkabelungssicherheit |
| Physikalische Kontrollen | Anhang A 7.13 | Anhang A 11.2.4 | Wartung der Ausrüstung |
| Physikalische Kontrollen | Anhang A 7.14 | Anhang A 11.2.7 | Sichere Entsorgung oder Wiederverwendung von Geräten |
| Anhang A Kontrolltyp | ISO/IEC 27001:2022 Anhang A Kennung | ISO/IEC 27001:2013 Anhang A Kennung | Anhang A Name |
|---|---|---|---|
| Technologische Kontrollen | Anhang A 8.1 |
Anhang A 6.2.1 Anhang A 11.2.8 |
Benutzer-Endpunktgeräte |
| Technologische Kontrollen | Anhang A 8.2 | Anhang A 9.2.3 | Privilegierte Zugriffsrechte |
| Technologische Kontrollen | Anhang A 8.3 | Anhang A 9.4.1 | Beschränkung des Informationszugriffs |
| Technologische Kontrollen | Anhang A 8.4 | Anhang A 9.4.5 | Zugang zum Quellcode |
| Technologische Kontrollen | Anhang A 8.5 | Anhang A 9.4.2 | Sichere Authentifizierung |
| Technologische Kontrollen | Anhang A 8.6 | Anhang A 12.1.3 | Kapazitätsmanagement |
| Technologische Kontrollen | Anhang A 8.7 | Anhang A 12.2.1 | Schutz vor Malware |
| Technologische Kontrollen | Anhang A 8.8 |
Anhang A 12.6.1 Anhang A 18.2.3 |
Management technischer Schwachstellen |
| Technologische Kontrollen | Anhang A 8.9 | NEU | Configuration Management |
| Technologische Kontrollen | Anhang A 8.10 | NEU | Löschen von Informationen |
| Technologische Kontrollen | Anhang A 8.11 | NEU | Datenmaskierung |
| Technologische Kontrollen | Anhang A 8.12 | NEU | Verhinderung von Datenlecks |
| Technologische Kontrollen | Anhang A 8.13 | Anhang A 12.3.1 | Informationssicherung |
| Technologische Kontrollen | Anhang A 8.14 | Anhang A 17.2.1 | Redundanz von Informationsverarbeitungseinrichtungen |
| Technologische Kontrollen | Anhang A 8.15 |
Anhang A 12.4.1 Anhang A 12.4.2 Anhang A 12.4.3 |
Protokollierung |
| Technologische Kontrollen | Anhang A 8.16 | NEU | Überwachungsaktivitäten |
| Technologische Kontrollen | Anhang A 8.17 | Anhang A 12.4.4 | Uhrensynchronisation |
| Technologische Kontrollen | Anhang A 8.18 | Anhang A 9.4.4 | Nutzung privilegierter DienstprogrammeZugriffsrechte |
| Technologische Kontrollen | Anhang A 8.19 |
Anhang A 12.5.1 Anhang A 12.6.2 |
Installation von Software auf Betriebssystemen |
| Technologische Kontrollen | Anhang A 8.20 | Anhang A 13.1.1 | Netzwerksicherheit |
| Technologische Kontrollen | Anhang A 8.21 | Anhang A 13.1.2 | Sicherheit von Netzwerkdiensten |
| Technologische Kontrollen | Anhang A 8.22 | Anhang A 13.1.3 | Trennung von Netzwerken |
| Technologische Kontrollen | Anhang A 8.23 | NEU | Web-Filter |
| Technologische Kontrollen | Anhang A 8.24 |
Anhang A 10.1.1 Anhang A 10.1.2 |
Verwendung von Kryptographie |
| Technologische Kontrollen | Anhang A 8.25 | Anhang A 14.2.1 | Sicherer Entwicklungslebenszyklus |
| Technologische Kontrollen | Anhang A 8.26 |
Anhang A 14.1.2 Anhang A 14.1.3 |
Anforderungen an die Anwendungssicherheit |
| Technologische Kontrollen | Anhang A 8.27 | Anhang A 14.2.5 | Sichere Systemarchitektur und technische Prinzipien. Lernen aus Informationssicherheitsvorfällen. |
| Technologische Kontrollen | Anhang A 8.28 | NEU | Sichere Codierung |
| Technologische Kontrollen | Anhang A 8.29 |
Anhang A 14.2.8 Anhang A 14.2.9 |
Sicherheitstests in Entwicklung und Akzeptanz |
| Technologische Kontrollen | Anhang A 8.30 | Anhang A 14.2.7 | Ausgelagerte Entwicklung |
| Technologische Kontrollen | Anhang A 8.31 |
Anhang A 12.1.4 Anhang A 14.2.6 |
Trennung von Entwicklungs-, Test- und Produktionsumgebungen |
| Technologische Kontrollen | Anhang A 8.32 |
Anhang A 12.1.2 Anhang A 14.2.2 Anhang A 14.2.3 Anhang A 14.2.4 |
Change Control |
| Technologische Kontrollen | Anhang A 8.33 | Anhang A 14.3.1 | Testinformationen |
| Technologische Kontrollen | Anhang A 8.34 | Anhang A 12.7.1 | Schutz von Informationssystemen während Audittests |
Wie ISMS.online hilft
ISMS.Online unterstützt Sie in allen Bereichen Implementierung von ISO 27001, von der Risikobewertung bis zur Erstellung von Richtlinien, Verfahren und Leitlinien zur Einhaltung des Standards.
ISMS.Online bietet einen komfortablen Ansatz, Entdeckungen zu erfassen und online mit Kollegen zu teilen. Darüber hinaus können Sie Checklisten für jede ISO 27001-Aufgabe erstellen und speichern, sodass Sie das Sicherheitsprogramm Ihrer Organisation mühelos überwachen können.
Wir stellen Organisationen außerdem ein automatisiertes Toolset zur Verfügung, das die Einhaltung der ISO 27001-Norm erleichtert. Das benutzerfreundliche Design erleichtert den Nachweis der Konformität.
Nehmen Sie jetzt Kontakt mit uns auf Vereinbaren Sie eine Vorführung.