ISO 27002:2022, Control 8.28 – Sichere Codierung

Eigentum an der Kontrolle 8.28

In Anbetracht der Tatsache, dass 8.28 den Entwurf und die Implementierung organisationsweiter sicherer Codierungsprinzipien und -verfahren erfordert, sollte der Chief Information Security Officer dafür verantwortlich sein, geeignete Maßnahmen zur Einhaltung zu ergreifen.

Allgemeine Richtlinien zur Compliance

Control 8.28 verlangt von Organisationen, organisationsweite Prozesse für sichere Codierung einzurichten und zu implementieren, die sowohl für von externen Parteien erworbene Softwareprodukte als auch für Open-Source-Softwarekomponenten gelten.

Darüber hinaus sollten Unternehmen über sich entwickelnde reale Sicherheitsbedrohungen und die neuesten Informationen zu bekannten oder potenziellen Sicherheitslücken in der Software auf dem Laufenden bleiben. Dies wird es Unternehmen ermöglichen, robuste, sichere Software-Codierungsprinzipien zu verbessern und zu implementieren, die wirksam gegen sich entwickelnde Cyber-Bedrohungen sind.

Ergänzende Hinweise zur Planung

Sowohl bei neuen Codierungsprojekten als auch bei der Wiederverwendung von Software sollten die Grundsätze der sicheren Softwarecodierung befolgt werden.

Diese Grundsätze sollten sowohl bei unternehmensinternen Softwareentwicklungsaktivitäten als auch bei der Weitergabe von Softwareprodukten oder -dienstleistungen der Organisation an Dritte eingehalten werden.

Bei der Erstellung eines Plans für sichere Codierungsprinzipien und der Festlegung der Voraussetzungen für sichere Codierung sollten Organisationen Folgendes beachten:

• Unternehmen sollten Sicherheitserwartungen festlegen, die auf ihre Bedürfnisse zugeschnitten sind, und anerkannte Grundsätze für sichere Softwarecodierung festlegen, die sowohl für die interne Softwareentwicklung als auch für ausgelagerte Softwarekomponenten gelten.
• Unternehmen sollten die am weitesten verbreiteten und in der Vergangenheit schlechten Codierungsdesignpraktiken und Fehler, die zu einer Beeinträchtigung der Informationssicherheit führen, erkennen und dokumentieren.
• Unternehmen sollten Softwareentwicklungstools einrichten und konfigurieren, um die Sicherheit des gesamten erstellten Codes zu gewährleisten. Ein Beispiel für solche Tools sind integrierte Entwicklungsumgebungen (IDE).
• Organisationen sollten die von Softwareentwicklungstools bereitgestellten Leitlinien und Anweisungen einhalten.
• Organisationen sollten Entwicklungstools wie Compiler überprüfen, warten und sicher verwenden.

Ergänzende Anleitung zur Sicherheit beim Codieren

Sichere Codierungspraktiken und -verfahren sollten Folgendes für den Codierungsprozess berücksichtigen:

• Sichere Software-Codierungsprinzipien sollten auf jede verwendete Programmiersprache und -technik zugeschnitten sein.
• Einsatz sicherer Programmiertechniken und -methoden wie testgetriebene Entwicklung und Paarprogrammierung.
• Einsatz strukturierter Programmiermethoden.
• Ordnungsgemäße Codedokumentation und Beseitigung von Codefehlern.
• Verbot der Verwendung unsicherer Software-Codierungsmethoden wie nicht genehmigter Codebeispiele oder hartcodierter Passwörter.

In den ergänzenden Leitlinien wird außerdem darauf hingewiesen, dass Sicherheitstests sowohl während als auch nach der Entwicklung gemäß Control 8.29 durchgeführt werden sollten.

Bevor die Software tatsächlich in der Live-Anwendungsumgebung eingesetzt wird, sollten Unternehmen Folgendes berücksichtigen:

• Was ist die Angriffsfläche?
• Wird das Prinzip der geringsten Privilegien befolgt?
• Durchführung einer Analyse der häufigsten Programmierfehler und Dokumentation der Beseitigung dieser Risiken.

Ergänzende Anleitung zum Überprüfungsprozess

Nachdem der Code in der Produktionsumgebung verwendet wurde

• Updates sollten auf sichere Weise angewendet werden.
• Gemäß Control 8.8 gemeldete Sicherheitslücken sollten behoben werden.
• Vermutete Angriffe auf Informationssysteme und Fehler sollten aufgezeichnet und diese Aufzeichnungen in regelmäßigen Abständen überprüft werden, damit entsprechende Änderungen am Code vorgenommen werden können.
• Unbefugter Zugriff auf, Nutzung oder Änderung des Quellcodes sollten durch Mechanismen wie Verwaltungstools verhindert werden.

Wenn Organisationen externe Tools verwenden, sollten sie Folgendes berücksichtigen

• Externe Bibliotheken sollten basierend auf ihren Release-Zyklen in regelmäßigen Abständen überwacht und aktualisiert werden.
• Softwarekomponenten sollten sorgfältig überprüft, ausgewählt und autorisiert werden, insbesondere Kryptografie- und Authentifizierungskomponenten.
• Lizenzierung externer Komponenten und Gewährleistung ihrer Sicherheit.
• Software sollte verfolgt und gewartet werden. Darüber hinaus muss sichergestellt sein, dass es aus einer vertrauenswürdigen Quelle stammt.
• Entwicklungsressourcen sollten langfristig verfügbar sein.

Wenn Sie Änderungen an einem Softwarepaket vornehmen, sollten Sie Folgendes berücksichtigen

• Risiken, die sich aus integrierten Kontrollen oder der Beeinträchtigung von Integritätsprozessen ergeben können.
• Ob der Anbieter Änderungen zustimmt.
• Ob es möglich ist, die Zustimmung des Softwareherstellers für regelmäßige Updates einzuholen.
• Die wahrscheinlichen Auswirkungen der Fortführung der Wartung der Software, die sich aus Änderungen ergeben.
• Ob die Änderungen mit anderen von der Organisation verwendeten Softwarekomponenten kompatibel wären.

Zusätzliche Leitlinien zur Kontrolle 8.28

Organisationen sollten sicherstellen, dass sicherheitsrelevanter Code bei Bedarf verwendet wird und manipulationssicher ist.

Control 8.28 listet außerdem folgende Empfehlungen für sicherheitsrelevanten Code auf:

• Während über Binärcode installierte Programme sicherheitsrelevanten Code enthalten, beschränkt sich dieser auf die in der Anwendung selbst gespeicherten Daten.
• Das Konzept des sicherheitsrelevanten Codes ist nur dann sinnvoll, wenn der Code auf einem Server ausgeführt wird, auf den der Benutzer nicht zugreifen kann, und er von den Prozessen, die ihn verwenden, getrennt ist und seine Daten sicher in einer anderen Datenbank gespeichert werden. Sie können beispielsweise einen interpretierten Code auf einem Cloud-Dienst ausführen und den Zugriff auf den Code auf privilegierte Administratoren beschränken. Es wird empfohlen, diese Zugriffsrechte durch Methoden wie Just-in-Time-Administratorrechte und robuste Authentifizierungsmechanismen zu schützen.
• Um unbefugten Zugriff auf das Verzeichnis und das Durchsuchen des Verzeichnisses zu verhindern, sollten entsprechende Konfigurationen auf Webservern implementiert werden.
• Beim Entwerfen von Anwendungscode sollten Sie davon ausgehen, dass der Code aufgrund von Codierungsfehlern und Aktionen böswilliger Akteure anfällig für Angriffe ist. Sie sollten kritische Anwendungen so gestalten, dass sie nicht anfällig für interne Fehler sind. Beispielsweise kann die von einem Algorithmus erzeugte Ausgabe überprüft werden, um sicherzustellen, dass sie den Sicherheitsanforderungen entspricht, bevor sie in kritischen Anwendungen wie finanzbezogenen Anwendungen verwendet werden kann.
• Bestimmte Webanwendungen sind aufgrund schlechter Codierungspraktiken wie Datenbankeinschleusung und Cross-Site-Scripting-Angriffe sehr anfällig für Sicherheitsbedrohungen.
• Weitere Informationen zur IT-Sicherheitsbewertung finden Organisationen in der ISO/IEC 15408-Reihe.

Änderungen und Unterschiede zu ISO 27002:2013

27002:2022/8.28 ist eine neue Art der Steuerung.

Wie ISMS.online hilft

Unsere Plattform wurde speziell für diejenigen entwickelt, die neu in der Informationssicherheit sind oder eine einfache Möglichkeit benötigen, sich mit ISO 27002 vertraut zu machen, ohne Zeit damit verbringen zu müssen, von Grund auf neu zu lernen oder lange Dokumente durchzulesen.

ISMS.Online ist mit allen Tools ausgestattet, die zum Erreichen der Compliance erforderlich sind, einschließlich Dokumentvorlagen, Checklisten und Richtlinien, die an Ihre Bedürfnisse angepasst werden können.

Willst du sehen wie es funktioniert?

Nehmen Sie noch heute Kontakt mit uns auf Demo buchen.