Gewährleistung der Informationssicherheit bei ausgelagerter Entwicklung: ISO 27002-Kontrolle 8.30
Die Auslagerung von IT-Systemen und Softwareentwicklung an externe Parteien hat für Unternehmen viele Vorteile wie geringere Kosten und größere Skalierbarkeit. Diese Effizienzsteigerungen sollten jedoch nicht auf Kosten der Sicherheit gehen.
Beispielsweise verfügen externe Dienstleister möglicherweise nicht über strenge Zugriffskontrollen für Netzwerke oder wenden möglicherweise keine branchenübliche Verschlüsselung auf in der Cloud gespeicherte Daten an, was zur Gefährdung von IT-Systemen und Softwareprodukten führt.
Dies kann zu Datenschutzverletzungen und dem Verlust der Verfügbarkeit, Vertraulichkeit oder Integrität von Informationsressourcen führen.
Gemäß einer Bericht von TrustwaveBei mehr als 60 % aller Datenschutzverletzungen spielte die Auslagerung von Software und IT-Entwicklung eine Rolle.
Angesichts der Tatsache, dass Outsourcing unweigerlich zu einem Kontrollverlust über den Entwicklungsprozess führt und die Anwendung und Aufrechterhaltung von Informationssicherheitsanforderungen erschwert, sollten Organisationen sicherstellen, dass externe Parteien die von der Organisation festgelegten Informationssicherheitsanforderungen einhalten.
Zweck der Kontrolle 8.30
Mit Control 8.30 können Unternehmen sicherstellen, dass die festgelegten Anforderungen an die Informationssicherheit eingehalten werden, wenn die System- und Softwareentwicklung an externe Lieferanten ausgelagert wird.
Kontrollattribute 8.30
Control 8.30 hat sowohl detektivischen als auch präventiven Charakter: Es verlangt von Organisationen, alle Outsourcing-Aktivitäten zu beaufsichtigen und zu überwachen und sicherzustellen, dass der ausgelagerte Entwicklungsprozess den Anforderungen der Informationssicherheit entspricht.
| Steuerungstyp | Eigenschaften der Informationssicherheit | Cybersicherheitskonzepte | Operative Fähigkeiten | Sicherheitsdomänen |
|---|---|---|---|---|
| #Präventiv | #Vertraulichkeit | #Identifizieren | #System- und Netzwerksicherheit | #Governance und Ökosystem |
| #Detektiv | #Integrität | #Schützen | #Anwendungssicherheit | #Schutz |
| #Verfügbarkeit | #Erkennen | #Sicherheit der Lieferantenbeziehung |
ISO 27001 leicht gemacht
Ein Vorsprung von 81 % vom ersten Tag an
Wir haben die harte Arbeit für Sie erledigt und Ihnen vom Moment Ihrer Anmeldung an einen Vorsprung von 81 % verschafft. Sie müssen nur noch die Lücken ausfüllen.
Eigentum an der Kontrolle 8.30
Der Chief Information Security Officer sollte für die Einrichtung und Implementierung der erforderlichen Verfahren und Kontrollen verantwortlich sein, um sicherzustellen, dass diese Informationssicherheitsanforderungen externen Lieferanten mitgeteilt, von diesen vereinbart und eingehalten werden.
Allgemeine Richtlinien zur Compliance
In den allgemeinen Leitlinien wird hervorgehoben, dass Organisationen kontinuierlich überwachen und überprüfen sollten, ob die Bereitstellung der ausgelagerten Entwicklungsarbeit den Anforderungen an die Informationssicherheit entspricht, die dem externen Dienstleister auferlegt werden.
Control 8.30 empfiehlt Unternehmen, bei der Auslagerung der Entwicklung die folgenden 11 Faktoren zu berücksichtigen:
- Abschluss von Vereinbarungen, einschließlich Lizenzvereinbarungen, die das Eigentum an Code und geistigen Eigentumsrechten regeln.
- Festlegung angemessener vertraglicher Anforderungen für sicheres Design und Codierung gemäß Control 8.25 und 8.29.
- Etablierung eines Bedrohungsmodells, das von Drittentwicklern übernommen werden kann.
- Durchführung eines Abnahmetestverfahrens zur Sicherstellung der Qualität und Genauigkeit der gelieferten Arbeiten.
- Nachweis, dass die minimal erforderlichen Datenschutz- und Sicherheitsfunktionen erreicht werden. Dies kann durch Assurance-Berichte erreicht werden.
- Aufbewahrung von Nachweisen darüber, wie ausreichende Tests durchgeführt wurden, um das gelieferte IT-System oder die gelieferte Software vor schädlichen Inhalten zu schützen.
- Aufbewahrung von Nachweisen darüber, wie ausreichende Tests zum Schutz vor erkannten Schwachstellen durchgeführt wurden.
- Einrichten von Treuhandvereinbarungen, die den Software-Quellcode abdecken. Es kann sich beispielsweise damit befassen, was passiert, wenn der externe Lieferant sein Geschäft aufgibt.
- Die Vereinbarung mit dem Lieferanten sollte das Recht der Organisation beinhalten, Audits zu Entwicklungsprozessen und -kontrollen durchzuführen.
- Festlegung und Umsetzung von Sicherheitsanforderungen für die Entwicklungsumgebung.
- Organisationen sollten auch geltende Gesetze, Satzungen und Vorschriften berücksichtigen.
Ergänzende Anleitung
Ausführlichere Anleitungen zum Management von Lieferantenbeziehungen finden Unternehmen in ISO/IEC 27036.
Verwalten Sie Ihre gesamte Compliance an einem Ort
ISMS.online unterstützt über 100 Standards und Vorschriften und bietet Ihnen eine einzige Plattform für alle Ihre Compliance-Anforderungen.
Änderungen und Unterschiede zu ISO 27002:2013
27002:2022/8.30 replaces 27002:2013/(14.2.7)
Insgesamt gibt es keinen wesentlichen Unterschied zwischen den beiden Versionen.
Neue ISO 27002-Kontrollen
| ISO/IEC 27002:2022 Kontrollkennung | ISO/IEC 27002:2013 Kontrollkennung | Kontrollname |
|---|---|---|
| 5.7 | NEU | Bedrohungsinformationen |
| 5.23 | NEU | Informationssicherheit bei der Nutzung von Cloud-Diensten |
| 5.30 | NEU | IKT-Bereitschaft für Geschäftskontinuität |
| 7.4 | NEU | Physische Sicherheitsüberwachung |
| 8.9 | NEU | Konfigurationsmanagement |
| 8.10 | NEU | Löschung von Informationen |
| 8.11 | NEU | Datenmaskierung |
| 8.12 | NEU | Verhinderung von Datenlecks |
| 8.16 | NEU | Überwachungsaktivitäten |
| 8.23 | NEU | Web-Filter |
| 8.28 | NEU | Sichere Codierung |
| ISO/IEC 27002:2022 Kontrollkennung | ISO/IEC 27002:2013 Kontrollkennung | Kontrollname |
|---|---|---|
| 6.1 | 07.1.1 | Rekrutierung |
| 6.2 | 07.1.2 | Beschäftigungsbedingungen |
| 6.3 | 07.2.2 | Bewusstsein für Informationssicherheit, Aus- und Weiterbildung |
| 6.4 | 07.2.3 | Disziplinarverfahren |
| 6.5 | 07.3.1 | Verantwortlichkeiten nach Beendigung oder Wechsel des Arbeitsverhältnisses |
| 6.6 | 13.2.4 | Vertraulichkeits- oder Geheimhaltungsvereinbarungen |
| 6.7 | 06.2.2 | Fernarbeit |
| 6.8 | 16.1.2, 16.1.3 | Berichterstattung über Informationssicherheitsereignisse |
| ISO/IEC 27002:2022 Kontrollkennung | ISO/IEC 27002:2013 Kontrollkennung | Kontrollname |
|---|---|---|
| 7.1 | 11.1.1 | Physische Sicherheitsbereiche |
| 7.2 | 11.1.2, 11.1.6 | Physischer Eintritt |
| 7.3 | 11.1.3 | Absicherung von Büros, Räumen und Anlagen |
| 7.4 | NEU | Physische Sicherheitsüberwachung |
| 7.5 | 11.1.4 | Schutz vor physischen und umweltbedingten Bedrohungen |
| 7.6 | 11.1.5 | Arbeiten in sicheren Bereichen |
| 7.7 | 11.2.9 | Klarer Schreibtisch und klarer Bildschirm |
| 7.8 | 11.2.1 | Standort und Schutz der Ausrüstung |
| 7.9 | 11.2.6 | Sicherheit von Vermögenswerten außerhalb des Betriebsgeländes |
| 7.10 | 08.3.1, 08.3.2, 08.3.3, 11.2.5 | Speichermedium |
| 7.11 | 11.2.2 | Unterstützende Versorgungsunternehmen |
| 7.12 | 11.2.3 | Verkabelungssicherheit |
| 7.13 | 11.2.4 | Wartung der Ausrüstung |
| 7.14 | 11.2.7 | Sichere Entsorgung oder Wiederverwendung von Geräten |
Wie ISMS.online hilft
Unternehmen können ISMS.Online nutzen, um sie bei ihren ISO 27002-Compliance-Bemühungen zu unterstützen, indem ihnen eine Plattform zur Verfügung gestellt wird, die es einfach macht, ihre Sicherheitsrichtlinien und -verfahren zu verwalten, sie bei Bedarf zu aktualisieren, sie zu testen und ihre Wirksamkeit zu überwachen.
Mit unserer cloudbasierten Plattform können Sie alle Aspekte Ihres ISMS, einschließlich Risikomanagement, Richtlinien, Pläne, Verfahren und mehr, schnell und einfach an einem zentralen Ort verwalten. Die Plattform ist einfach zu bedienen und verfügt über eine intuitive Benutzeroberfläche, die das Erlernen der Bedienung erleichtert.
Nehmen Sie noch heute Kontakt mit uns auf Demo buchen.
