ISO 27002-Kontrolle 8.26 verstehen: Anwendungssicherheitsanforderungen
Anwendungssoftwareprogramme wie WebanwendungenGrafiksoftware, Datenbanksoftware und Zahlungsverarbeitungssoftware sind für viele wichtige Geschäftsabläufe von entscheidender Bedeutung.
Diese Anwendungen sind jedoch häufig ausgesetzt Sicherheitslücken, die zur Gefährdung vertraulicher Informationen führen können.
Equifax, ein in den USA ansässiges Kreditbüro, hat es beispielsweise versäumt, einen Sicherheitspatch auf ein Website-Anwendungs-Framework zu installieren, das zur Bearbeitung von Kundenbeschwerden verwendet wird. Die Cyber-Angreifer nutzten Sicherheitslücken in der Webanwendung, um die Unternehmensnetzwerke von Equifax zu infiltrieren und sensible Daten von rund 145 Millionen Menschen zu stehlen.
Control 8.26 befasst sich mit dem Wie Organisationen können Informationssicherheitsanforderungen festlegen und anwenden für die Entwicklung, Nutzung und den Erwerb von Anwendungen.
Zweck der Kontrolle 8.26
Mit Control 8.26 können Unternehmen Informationsbestände schützen, die in Anwendungen gespeichert oder durch diese verarbeitet werden, indem sie geeignete Anforderungen an die Informationssicherheit identifizieren und anwenden.
Attributtabelle der Steuerung 8.26
Kontrolle 8.26 ist eine präventive Art der Kontrolle, die Risiken für die Integrität, Verfügbarkeit und Vertraulichkeit der auf Antrag gespeicherten Informationsbestände durch den Einsatz geeigneter Informationssicherheitsmaßnahmen verhindert.
| Steuerungstyp | Eigenschaften der Informationssicherheit | Cybersicherheitskonzepte | Operative Fähigkeiten | Sicherheitsdomänen |
|---|---|---|---|---|
| #Präventiv | #Vertraulichkeit | #Schützen | #Anwendungssicherheit | #Schutz |
| #Integrität | #System- und Netzwerksicherheit | #Verteidigung | ||
| #Verfügbarkeit |
ISO 27001 leicht gemacht
Ein Vorsprung von 81 % vom ersten Tag an
Wir haben die harte Arbeit für Sie erledigt und Ihnen vom Moment Ihrer Anmeldung an einen Vorsprung von 81 % verschafft. Sie müssen nur noch die Lücken ausfüllen.
Eigentum an der Kontrolle 8.26
Der Chief Information Security Officer sollte mit Unterstützung von Informationssicherheitsspezialisten für die Identifizierung, Genehmigung und Umsetzung von Informationsanforderungen für den Erwerb, die Nutzung und die Entwicklung von Anwendungen verantwortlich sein.
Allgemeine Richtlinien zur Compliance
Allgemeine Leitlinien weisen darauf hin, dass Organisationen Folgendes durchführen sollten: Risikobewertung zur Bestimmung der Art der Informationssicherheitsanforderungen für eine bestimmte Anwendung geeignet ist.
Während der Inhalt und die Art von Anforderungen an die Informationssicherheit Da die Anforderungen je nach Art der Anwendung variieren können, sollten sie Folgendes umfassen:
- Der Grad des Vertrauens, der der Identität bestimmter Entitäten gemäß Kontrolle 5.17, 8.2 und 8.5 zugewiesen wird.
- Identifizierung der Klassifizierungsebene Informationsressourcen zugeordnet auf der Anwendung gespeichert oder verarbeitet werden.
- Ob eine Trennung des Zugriffs auf in der Anwendung gespeicherte Funktionen und Informationen erforderlich ist.
- Ob die Anwendung widerstandsfähig gegen Cyberangriffe wie SQL-Injections oder unbeabsichtigte Abhörvorgänge wie Pufferüberlauf ist.
- Gesetzliche, behördliche und gesetzliche Anforderungen und Standards, die für die von der Anwendung verarbeitete, generierte, gespeicherte oder abgeschlossene Transaktion gelten.
- Datenschutzaspekte für alle Beteiligten.
- Voraussetzungen für die Schutz vertraulicher Daten.
- Schutz von Informationen während der Verwendung, während der Übertragung oder im Ruhezustand.
- Ob sichere Verschlüsselung der Kommunikation zwischen allen relevanten Parteien ist notwendig.
- Implementierung von Eingabekontrollen wie Eingabevalidierung oder Durchführung von Integritätsprüfungen.
- Durchführung automatisierter Kontrollen.
- Durchführen von Ausgabekontrollen unter Berücksichtigung der Personen, die Ausgaben sehen können, und der Zugriffsberechtigung.
- Es müssen Beschränkungen für den Inhalt von „Freitext“-Feldern eingeführt werden, um die Verbreitung vertraulicher Daten auf unkontrollierbare Weise zu verhindern.
- Anforderungen, die sich aus geschäftlichen Anforderungen ergeben, wie z. B. die Protokollierung von Transaktionen und Anforderungen zur Nichtabstreitbarkeit.
- Anforderungen, die durch andere Sicherheitskontrollen wie Systeme zur Erkennung von Datenlecks gestellt werden.
- Umgang mit Fehlermeldungen.
Befreien Sie sich von einem Berg an Tabellenkalkulationen
Integrieren, erweitern und skalieren Sie Ihre Compliance, ohne dass es zu Problemen kommt. IO gibt Ihnen die Widerstandsfähigkeit und das Vertrauen, um sicher zu wachsen.
Ergänzende Leitlinien zu Transaktionsdiensten
Control 8.26 verlangt von Organisationen, die folgenden sieben Empfehlungen zu berücksichtigen, wenn eine Anwendung Transaktionsdienste zwischen der Organisation und einem Partner anbietet:
- Der Grad des Vertrauens, den jede Partei in der Transaktion in die Identität der anderen Partei erfordert.
- Der erforderliche Grad an Vertrauen in die Integrität der übermittelten oder verarbeiteten Daten und die Identifizierung eines geeigneten Mechanismus zur Erkennung etwaiger Integritätsmängel, einschließlich Tools wie Hashing und digitale Signaturen.
- Einrichtung eines Autorisierungsprozesses dafür, wer den Inhalt wesentlicher Transaktionsdokumente genehmigen, unterzeichnen oder abzeichnen darf.
- Wahrung der Vertraulichkeit und Integrität der kritischen Dokumente und Nachweis des Versands und Empfangs dieser Dokumente.
- Schutz und Wahrung der Integrität und Vertraulichkeit aller Transaktionen wie Bestellungen und Quittungen.
- Anforderungen, für welchen Zeitraum Transaktionen vertraulich behandelt werden müssen.
- Vertragliche und versicherungsbezogene Anforderungen.
Ergänzende Anleitung zu elektronischen Bestell- und Zahlungsanwendungen
Wenn Anwendungen Zahlungs- und elektronische Bestellfunktionen umfassen, sollten Organisationen Folgendes berücksichtigen:
- Die Anforderungen stellen sicher, dass die Vertraulichkeit und Integrität der Bestellinformationen nicht gefährdet wird.
- Bestimmen eines angemessenen Verifizierungsgrads zur Verifizierung der von einem Kunden bereitgestellten Zahlungsdaten.
- Verhinderung des Verlusts oder der Vervielfältigung von Transaktionsinformationen.
- Sicherstellen, dass informationsbezogene Informationen außerhalb einer öffentlich zugänglichen Umgebung gespeichert werden, beispielsweise auf einem Speichermedium im eigenen Intranet der Organisation.
- Wenn Organisationen auf eine vertrauenswürdige externe Autorität angewiesen sind, beispielsweise bei der Ausstellung digitaler Signaturen, müssen sie sicherstellen, dass die Sicherheit in den gesamten Prozess integriert ist.
Ergänzende Anleitung zu Netzwerken
Wenn auf Anwendungen über Netzwerke zugegriffen wird, sind sie anfällig für Bedrohungen wie Vertragsstreitigkeiten, betrügerische Aktivitäten, Fehlleitungen, unbefugte Änderungen am Kommunikationsinhalt oder den Verlust der Vertraulichkeit sensibler Informationen.
Control 8.26 empfiehlt Organisationen eine umfassende Durchführung Risikobewertungen zur Identifizierung geeigneter Kontrollen wie der Einsatz von Kryptographie zur Gewährleistung der Sicherheit von Informationsübertragungen.
Verwalten Sie Ihre gesamte Compliance an einem Ort
ISMS.online unterstützt über 100 Standards und Vorschriften und bietet Ihnen eine einzige Plattform für alle Ihre Compliance-Anforderungen.
Änderungen und Unterschiede zu ISO 27002:2013
27002:2022/8.26 ersetzt 27002:2013/(14.1.2 und 14.1.3)
Es gibt drei große Unterschiede zwischen den beiden Versionen.
Alle Anwendungen im Vergleich zu Anwendungen, die über öffentliche Netzwerke laufen
Die Version ISO 27002:2013 listete keine Anforderungen auf, die für alle Anwendungen gelten: Sie enthielt eine Liste von Informationssicherheitsanforderungen, die für Anwendungen, die über öffentliche Netzwerke laufen, berücksichtigt werden sollten.
Control 8.26 in der Version 2022, im Gegenteil, stellte eine Liste von Informationssicherheitsanforderungen bereit, die für alle Anwendungen gelten.
Weitere Hinweise zu elektronischen Bestell- und Zahlungsanwendungen
Control 8.26 in der Version 2022 enthält spezifische Anleitungen dazu Elektronische Bestell- und Zahlungsanwendungen. Im Gegensatz dazu wurde in der Version von 2013 darauf nicht eingegangen.
Zusätzliche Anforderung an Transaktionsdienste
Während die Version 2022 und die Version 2013 hinsichtlich der Anforderungen an Transaktionsdienste nahezu identisch sind, führt die Version 2022 eine zusätzliche Anforderung ein, die in der Version 2013 nicht berücksichtigt wurde:
- Organisationen sollten vertragliche Anforderungen und Anforderungen im Zusammenhang mit Versicherungen berücksichtigen.
Neue ISO 27002-Kontrollen
| ISO/IEC 27002:2022 Kontrollkennung | ISO/IEC 27002:2013 Kontrollkennung | Kontrollname |
|---|---|---|
| 5.7 | NEU | Bedrohungsinformationen |
| 5.23 | NEU | Informationssicherheit bei der Nutzung von Cloud-Diensten |
| 5.30 | NEU | IKT-Bereitschaft für Geschäftskontinuität |
| 7.4 | NEU | Physische Sicherheitsüberwachung |
| 8.9 | NEU | Konfigurationsmanagement |
| 8.10 | NEU | Löschung von Informationen |
| 8.11 | NEU | Datenmaskierung |
| 8.12 | NEU | Verhinderung von Datenlecks |
| 8.16 | NEU | Überwachungsaktivitäten |
| 8.23 | NEU | Web-Filter |
| 8.28 | NEU | Sichere Codierung |
| ISO/IEC 27002:2022 Kontrollkennung | ISO/IEC 27002:2013 Kontrollkennung | Kontrollname |
|---|---|---|
| 6.1 | 07.1.1 | Rekrutierung |
| 6.2 | 07.1.2 | Beschäftigungsbedingungen |
| 6.3 | 07.2.2 | Bewusstsein für Informationssicherheit, Aus- und Weiterbildung |
| 6.4 | 07.2.3 | Disziplinarverfahren |
| 6.5 | 07.3.1 | Verantwortlichkeiten nach Beendigung oder Wechsel des Arbeitsverhältnisses |
| 6.6 | 13.2.4 | Vertraulichkeits- oder Geheimhaltungsvereinbarungen |
| 6.7 | 06.2.2 | Fernarbeit |
| 6.8 | 16.1.2, 16.1.3 | Berichterstattung über Informationssicherheitsereignisse |
| ISO/IEC 27002:2022 Kontrollkennung | ISO/IEC 27002:2013 Kontrollkennung | Kontrollname |
|---|---|---|
| 7.1 | 11.1.1 | Physische Sicherheitsbereiche |
| 7.2 | 11.1.2, 11.1.6 | Physischer Eintritt |
| 7.3 | 11.1.3 | Absicherung von Büros, Räumen und Anlagen |
| 7.4 | NEU | Physische Sicherheitsüberwachung |
| 7.5 | 11.1.4 | Schutz vor physischen und umweltbedingten Bedrohungen |
| 7.6 | 11.1.5 | Arbeiten in sicheren Bereichen |
| 7.7 | 11.2.9 | Klarer Schreibtisch und klarer Bildschirm |
| 7.8 | 11.2.1 | Standort und Schutz der Ausrüstung |
| 7.9 | 11.2.6 | Sicherheit von Vermögenswerten außerhalb des Betriebsgeländes |
| 7.10 | 08.3.1, 08.3.2, 08.3.3, 11.2.5 | Speichermedium |
| 7.11 | 11.2.2 | Unterstützende Versorgungsunternehmen |
| 7.12 | 11.2.3 | Verkabelungssicherheit |
| 7.13 | 11.2.4 | Wartung der Ausrüstung |
| 7.14 | 11.2.7 | Sichere Entsorgung oder Wiederverwendung von Geräten |
Wie ISMS.online hilft
ISMS.online ist eine cloudbasierte Lösung, die Unternehmen dabei hilft, die Einhaltung von ISO 27002 nachzuweisen. Mit der ISMS.online-Lösung können die Anforderungen von verwaltet werden ISO 27002 und stellen Sie sicher, dass Ihre Organisation weiterhin dem neuen Standard entspricht.
Unsere Plattform ist benutzerfreundlich und unkompliziert. Es ist nicht nur für hochtechnische Personen geeignet; Es gilt für jeden in Ihrem Unternehmen.
Nehmen Sie noch heute Kontakt mit uns auf Demo buchen.
