ISO 27001:2022 Anhang A Kontrolle 8.29

Allgemeine Leitlinien zur Einhaltung von ISO 27001:2022 Anhang A 8.29

Organisationen sollten Sicherheitstests in den Testprozess für alle Systeme integrieren und so sicherstellen, dass alle neuen Informationssysteme sowie ihre neuen/aktualisierten Versionen die Anforderungen an die Informationssicherheit erfüllen, wenn sie sich in der Produktionsumgebung befinden.

ISO 27001:2022 Annex A Control 8.29 beschreibt drei Elemente als wesentliche Komponenten von Sicherheitstests:

1. Sorgen Sie für Sicherheit durch Benutzerauthentifizierung gemäß ISO 27001:2022 Anhang A 8.5, Zugriffsbeschränkung gemäß ISO 27001:2022 Anhang A 8.3 und Kryptographie gemäß ISO 27001:2022 Anhang A 8.24.
2. Stellen Sie sicher, dass der Code gemäß ISO 27001:2022 Anhang A 8.28 sicher geschrieben ist.
3. Stellen Sie sicher, dass die Konfigurationen die in Anhang A 8.9, 8.20 und 8.22 beschriebenen Anforderungen erfüllen, was Firewalls und Betriebssysteme umfassen kann.

Was sollte ein Testplan beinhalten?

Bei der Ausarbeitung von Sicherheitstestplänen sollten Organisationen die Dringlichkeit und den Charakter des betreffenden Informationssystems berücksichtigen.

Dieser Sicherheitstestplan sollte die folgenden Elemente umfassen:

• Erstellen Sie einen umfassenden Zeitplan für die durchzuführenden Unternehmungen und Tests.
• Zu den erwarteten Ergebnissen, wenn bestimmte Bedingungen erfüllt sind, gehören sowohl Inputs als auch Outputs.
• Es müssen Kriterien zur Bewertung der Ergebnisse festgelegt werden.
• Sobald die Ergebnisse vorliegen, können Entscheidungen darüber getroffen werden, welche Maßnahmen ergriffen werden sollen.

Eigene Entwicklung

Das interne Entwicklungsteam sollte die ersten Sicherheitstests durchführen, um sicherzustellen, dass das IT-System den Sicherheitsspezifikationen entspricht.

Es sollte eine erste Testrunde durchgeführt werden, gefolgt von einer unabhängigen Abnahmeprüfung gemäß ISO 27001:2022 Anhang A 5.8.

Bei der Eigenentwicklung ist Folgendes zu beachten:

• Durchführung von Codeüberprüfungen zur Identifizierung und Behebung von Sicherheitsproblemen, einschließlich erwarteter Eingaben und Situationen.
• Durchführen von Schwachstellenscans, um unsichere Einstellungen und andere potenzielle Schwachstellen zu identifizieren.
• Durchführen von Penetrationstests zur Identifizierung schwacher Codierung und Designs.

Outsourcing

Organisationen sollten sich an eine strenge Einhaltung halten Erwerbsverfahren, wenn sie die Entwicklung delegieren oder IT-Elemente von externen Quellen beziehen.

Organisationen sollten mit ihren Lieferanten einen Vertrag abschließen, der die in ISO 27001:2022 Anhang A 5.20 festgelegten Informationssicherheitskriterien erfüllt.

Organisationen sollten garantieren, dass die von ihnen erworbenen Waren und Dienstleistungen den Sicherheitsstandards für Informationssicherheit entsprechen.

Ergänzende Leitlinien zu ISO 27001:2022 Anhang A 8.29

Unternehmen können mehrere Testumgebungen erstellen, um eine Reihe von Tests durchzuführen, darunter funktionale, nicht funktionale und Leistungstests. Sie können virtuelle Testumgebungen erstellen, diese zum Testen von IT-Systemen in verschiedenen Betriebsumgebungen konfigurieren und entsprechend weiterentwickeln.

Anhang A 8.29 betont die Notwendigkeit effektiver Sicherheitstests, die von Organisationen verlangen, die Testumgebungen, Tools und Technologien zu testen und zu überwachen.

Organisationen sollten den Grad der Sensibilität und Wichtigkeit berücksichtigen, wenn sie entscheiden, wie viele Ebenen von Metatests sie einsetzen möchten.

Änderungen und Unterschiede zu ISO 27001:2013

ISO 27001:2022 Anhang A 8.29 ersetzt ISO 27001:2013 Anhang A 14.2.8 und 14.2.9 in der neuesten Revision.

Strukturelle Veränderungen

ISO 27001:2022 Konsolidiert sichere Tests in einer Kontrolle, im Gegensatz zu ISO 27001:2013, die sich auf sichere Tests in zwei verschiedenen Kontrollen bezog; Systemsicherheitstests (Anhang A 14.2.8) und Systemabnahmetests (Anhang A 14.2.9).

ISO 27001:2022 Anhang A 8.29 bringt umfassendere Anforderungen

Im Gegensatz zur ISO 27001:2013 enthält die Revision der ISO 27001:2022 umfassendere Anforderungen und Hinweise zu:

• Ein Sicherheitstestplan, der eine Vielzahl von Elementen umfassen sollte.
• Kriterien zur Beurteilung der Sicherheit bei der Entwicklung eigener IT-Systeme.
• Was sollte in den Sicherheitstestprozess einbezogen werden?
• Die Nutzung mehrerer Testumgebungen ist unerlässlich. Es sorgt für Gründlichkeit und Genauigkeit im Prozess.

ISO 27001:2013 war detaillierter in Bezug auf Abnahmetests

Im Gegensatz zu ISO 27001:2022 war ISO 27001:2013 detaillierter in Bezug auf Systemabnahmetests. Es umfasste Sicherheitstests für eingehende Komponenten und den Einsatz automatisierter Tools.

Tabelle aller ISO 27001:2022 Anhang A-Kontrollen

In der folgenden Tabelle finden Sie weitere Informationen zu jeder einzelnen ISO 27001:2022 Anhang A-Kontrolle.

Wie ISMS.online hilft

ISMS.online vereinfacht den ISO 27001:2022-Implementierungsprozess durch ein ausgefeiltes cloudbasiertes Framework, das eine Dokumentation der Prozesse des Informationssicherheitsmanagementsystems und Checklisten bereitstellt, um die Kompatibilität mit anerkannten Standards sicherzustellen.

Kontaktieren Sie uns, um Vereinbaren Sie eine Vorführung.