ISO 27002:2022, Control 8.26 – Anwendungssicherheitsanforderungen

Eigentum an der Kontrolle 8.26

Der Chief Information Security Officer sollte mit Unterstützung von Informationssicherheitsspezialisten für die Identifizierung, Genehmigung und Umsetzung von Informationsanforderungen für den Erwerb, die Nutzung und die Entwicklung von Anwendungen verantwortlich sein.

Allgemeine Richtlinien zur Compliance

Allgemeine Leitlinien weisen darauf hin, dass Organisationen Folgendes durchführen sollten: Risikobewertung zur Bestimmung der Art der Informationssicherheitsanforderungen für eine bestimmte Anwendung geeignet ist.

Während der Inhalt und die Art von Anforderungen an die Informationssicherheit Da die Anforderungen je nach Art der Anwendung variieren können, sollten sie Folgendes umfassen:

• Der Grad des Vertrauens, der der Identität bestimmter Entitäten gemäß Kontrolle 5.17, 8.2 und 8.5 zugewiesen wird.
• Identifizierung der Klassifizierungsebene Informationsressourcen zugeordnet auf der Anwendung gespeichert oder verarbeitet werden.
• Ob eine Trennung des Zugriffs auf in der Anwendung gespeicherte Funktionen und Informationen erforderlich ist.
• Ob die Anwendung widerstandsfähig gegen Cyberangriffe wie SQL-Injections oder unbeabsichtigte Abhörvorgänge wie Pufferüberlauf ist.
• Gesetzliche, behördliche und gesetzliche Anforderungen und Standards, die für die von der Anwendung verarbeitete, generierte, gespeicherte oder abgeschlossene Transaktion gelten.
• Datenschutzaspekte für alle Beteiligten.
• Voraussetzungen für die Schutz vertraulicher Daten.
• Schutz von Informationen während der Verwendung, während der Übertragung oder im Ruhezustand.
• Ob sichere Verschlüsselung der Kommunikation zwischen allen relevanten Parteien ist notwendig.
• Implementierung von Eingabekontrollen wie Eingabevalidierung oder Durchführung von Integritätsprüfungen.
• Durchführung automatisierter Kontrollen.
• Durchführen von Ausgabekontrollen unter Berücksichtigung der Personen, die Ausgaben sehen können, und der Zugriffsberechtigung.
• Es müssen Beschränkungen für den Inhalt von „Freitext“-Feldern eingeführt werden, um die Verbreitung vertraulicher Daten auf unkontrollierbare Weise zu verhindern.
• Anforderungen, die sich aus geschäftlichen Anforderungen ergeben, wie z. B. die Protokollierung von Transaktionen und Anforderungen zur Nichtabstreitbarkeit.
• Anforderungen, die durch andere Sicherheitskontrollen wie Systeme zur Erkennung von Datenlecks gestellt werden.
• Umgang mit Fehlermeldungen.

Ergänzende Leitlinien zu Transaktionsdiensten

Control 8.26 verlangt von Organisationen, die folgenden sieben Empfehlungen zu berücksichtigen, wenn eine Anwendung Transaktionsdienste zwischen der Organisation und einem Partner anbietet:

• Der Grad des Vertrauens, den jede Partei in der Transaktion in die Identität der anderen Partei erfordert.
• Der erforderliche Grad an Vertrauen in die Integrität der übermittelten oder verarbeiteten Daten und die Identifizierung eines geeigneten Mechanismus zur Erkennung etwaiger Integritätsmängel, einschließlich Tools wie Hashing und digitale Signaturen.
• Einrichtung eines Autorisierungsprozesses dafür, wer den Inhalt wesentlicher Transaktionsdokumente genehmigen, unterzeichnen oder abzeichnen darf.
• Wahrung der Vertraulichkeit und Integrität der kritischen Dokumente und Nachweis des Versands und Empfangs dieser Dokumente.
• Schutz und Wahrung der Integrität und Vertraulichkeit aller Transaktionen wie Bestellungen und Quittungen.
• Anforderungen, für welchen Zeitraum Transaktionen vertraulich behandelt werden müssen.
• Vertragliche und versicherungsbezogene Anforderungen.

Ergänzende Anleitung zu elektronischen Bestell- und Zahlungsanwendungen

Wenn Anwendungen Zahlungs- und elektronische Bestellfunktionen umfassen, sollten Organisationen Folgendes berücksichtigen:

• Die Anforderungen stellen sicher, dass die Vertraulichkeit und Integrität der Bestellinformationen nicht gefährdet wird.
• Bestimmen eines angemessenen Verifizierungsgrads zur Verifizierung der von einem Kunden bereitgestellten Zahlungsdaten.
• Verhinderung des Verlusts oder der Vervielfältigung von Transaktionsinformationen.
• Sicherstellen, dass informationsbezogene Informationen außerhalb einer öffentlich zugänglichen Umgebung gespeichert werden, beispielsweise auf einem Speichermedium im eigenen Intranet der Organisation.
• Wenn Organisationen auf eine vertrauenswürdige externe Autorität angewiesen sind, beispielsweise bei der Ausstellung digitaler Signaturen, müssen sie sicherstellen, dass die Sicherheit in den gesamten Prozess integriert ist.

Ergänzende Anleitung zu Netzwerken

Wenn auf Anwendungen über Netzwerke zugegriffen wird, sind sie anfällig für Bedrohungen wie Vertragsstreitigkeiten, betrügerische Aktivitäten, Fehlleitungen, unbefugte Änderungen am Kommunikationsinhalt oder den Verlust der Vertraulichkeit sensibler Informationen.

Control 8.26 empfiehlt Organisationen eine umfassende Durchführung Risikobewertungen zur Identifizierung geeigneter Kontrollen wie der Einsatz von Kryptographie zur Gewährleistung der Sicherheit von Informationsübertragungen.

Änderungen und Unterschiede zu ISO 27002:2013

27002:2022/8.26 ersetzt 27002:2013/(14.1.2 und 14.1.3)

Es gibt drei große Unterschiede zwischen den beiden Versionen.

Alle Anwendungen im Vergleich zu Anwendungen, die über öffentliche Netzwerke laufen

Die Version ISO 27002:2013 listete keine Anforderungen auf, die für alle Anwendungen gelten: Sie enthielt eine Liste von Informationssicherheitsanforderungen, die für Anwendungen, die über öffentliche Netzwerke laufen, berücksichtigt werden sollten.

Control 8.26 in der Version 2022, im Gegenteil, stellte eine Liste von Informationssicherheitsanforderungen bereit, die für alle Anwendungen gelten.

Weitere Hinweise zu elektronischen Bestell- und Zahlungsanwendungen

Control 8.26 in der Version 2022 enthält spezifische Anleitungen dazu Elektronische Bestell- und Zahlungsanwendungen. Im Gegensatz dazu wurde in der Version von 2013 darauf nicht eingegangen.

Zusätzliche Anforderung an Transaktionsdienste

Während die Version 2022 und die Version 2013 hinsichtlich der Anforderungen an Transaktionsdienste nahezu identisch sind, führt die Version 2022 eine zusätzliche Anforderung ein, die in der Version 2013 nicht berücksichtigt wurde:

• Organisationen sollten vertragliche Anforderungen und Anforderungen im Zusammenhang mit Versicherungen berücksichtigen.

Wie ISMS.online hilft

ISMS.online ist eine cloudbasierte Lösung, die Unternehmen dabei hilft, die Einhaltung von ISO 27002 nachzuweisen. Mit der ISMS.online-Lösung können die Anforderungen von verwaltet werden ISO 27002 und stellen Sie sicher, dass Ihre Organisation weiterhin dem neuen Standard entspricht.

Unsere Plattform ist benutzerfreundlich und unkompliziert. Es ist nicht nur für hochtechnische Personen geeignet; Es gilt für jeden in Ihrem Unternehmen.

Nehmen Sie noch heute Kontakt mit uns auf Demo buchen.