ISO 27002:2022 – Kontrolle 8.25 – Sicherer Entwicklungslebenszyklus

Was ist ISO 27002 Control 8.25 und warum ist es wichtig?

In den 90er Jahren führten Unternehmen Sicherheitstests für Softwareprodukte und -systeme nur während der Testphase, in der letzten Phase des Softwareentwicklungslebenszyklus, durch.

Infolgedessen gelang es ihnen oft nicht, kritische Schwachstellen, Bugs und Fehler zu erkennen und zu beseitigen.

Um Sicherheitslücken frühzeitig zu erkennen und zu beheben, sollten Unternehmen Sicherheitsüberlegungen in alle Phasen des Entwicklungslebenszyklus einbeziehen, von der Planung bis zur Bereitstellungsphase.

Control 8.25 befasst sich damit, wie Organisationen Regeln zum Aufbau sicherer Softwareprodukte und -systeme festlegen und implementieren können.

Zweck der Kontrolle 8.25

Control 8.25 ermöglicht es Unternehmen, Informationssicherheitsstandards zu entwerfen und diese Standards über den gesamten sicheren Entwicklungslebenszyklus für Softwareprodukte und -systeme anzuwenden.

Attributtabelle der Steuerung 8.25

Control 8.25 ist präventiver Natur, da es von Organisationen verlangt, proaktiv Regeln und Kontrollen zu entwerfen und umzusetzen, die den gesamten Entwicklungslebenszyklus für jedes neue Softwareprodukt und -system regeln.

Eigentum an der Kontrolle 8.25

Der Chief Information Security Officer sollte für die Erstellung, Implementierung und Aufrechterhaltung von Regeln und Maßnahmen zur Gewährleistung der Sicherheit des Entwicklungslebenszyklus verantwortlich sein.

Allgemeine Richtlinien zur Compliance

Control 8.25 enthält 10 Anforderungen, die Unternehmen einhalten sollten, um sichere Softwareprodukte, Systeme und Architekturen zu entwickeln:

1. Entwicklungs-, Test- und Produktionsumgebungen sollten gemäß Control 8.31 getrennt werden.
2. Organisationen sollten Leitlinien zu Folgendem bereitstellen:
• Sicherheitsüberlegungen in der Softwareentwicklungsmethodik gemäß Control 8.27 und 8.28.
• Sichere Codierung für jede Programmiersprache gemäß 8.28.
3. Organisationen sollten Sicherheitsanforderungen festlegen und umsetzen, die für die Spezifikations- und Entwurfsphase gemäß Control 5.8 gelten.
4. Organisationen sollten Sicherheitschecklisten für die Projekte gemäß Control 5.8 definieren.
5. Organisationen sollten Sicherheits- und Systemtests wie Penetrationstests und Code-Scans gemäß Control 8.29 durchführen.
6. Organisationen sollten sichere Repositorys erstellen, in denen Quellcodes und Konfigurationen gemäß den Kontrollen 8.4 und 8.9 gespeichert werden.
7. Organisationen sollten die Sicherheit in der Versionskontrolle wie in Control 8.32 vorgeschrieben aufrechterhalten.
8. Organisationen sollten sicherstellen, dass alle an der Entwicklung beteiligten Mitarbeiter über ausreichende Kenntnisse im Bereich Anwendungssicherheit verfügen und die erforderliche Schulung gemäß Steuerung 8.28 erhalten.
9. Entwickler sollten in der Lage sein, Sicherheitslücken gemäß Control 8.28 zu erkennen und zu verhindern.
10. Organisationen sollten die Lizenzanforderungen einhalten und die Machbarkeit alternativer kostengünstiger Methoden bewerten, wie in Kontrolle 8.30 vorgeschrieben.

Wenn eine Organisation außerdem bestimmte Entwicklungsaufgaben an externe Parteien auslagert, muss sie sicherstellen, dass die externe Partei die Regeln und Verfahren der Organisation für die sichere Entwicklung von Software und Systemen einhält.

Ergänzende Leitlinien zur Kontrolle 8.25

Control 8.25 weist darauf hin, dass Softwareprodukte, Architekturen und Systeme auch innerhalb von Anwendungen, Datenbanken oder Browsern entwickelt werden können.

Änderungen und Unterschiede zu ISO 27002:2013

27002:2022/8.25 replace 27002:2013/(14.2.1)

Insgesamt gibt es zwei wesentliche Unterschiede.

Die Version ISO 27002:2022 stellt zwei neue Anforderungen

Während die Version 2022 der Version 2013 weitgehend ähnelt, stellt Control 8.25 zwei neue Anforderungen an Organisationen:

• Organisationen sollten die Lizenzanforderungen einhalten und die Machbarkeit alternativer kostengünstiger Methoden bewerten, wie in Kontrolle 8.30 vorgeschrieben.
• Organisationen sollten Sicherheits- und Systemtests wie Penetrationstests und Code-Scans gemäß Control 8.29 durchführen.

Die Version ISO 27002:2013 bezog sich ausdrücklich auf die Wiederverwendung von Code

In der Version 2013 wurde ausdrücklich darauf hingewiesen, dass die Regelung 14.2.1 sowohl für Neuentwicklungen als auch für die Wiederverwendung von Code gilt. Im Gegensatz dazu bezog sich Control 8.25 nicht auf Code-Wiederverwendungsszenarien.

Neue ISO 27002-Kontrollen

Wie ISMS.online hilft

Mit unserer Schritt-für-Schritt-Checkliste, die Sie durch den gesamten Prozess führt, wird die Implementierung von ISO 27002 einfacher. Ihre komplette Compliance-Lösung für ISO/IEC 27002:2022.

• Bis zu 81 % Fortschritt ab dem Zeitpunkt der Anmeldung.
• Einfache und umfassende Compliance-Lösung.

Nehmen Sie noch heute Kontakt mit uns auf Demo buchen.