ISO 27002:2022 – Kontrolle 8.30 – Ausgelagerte Entwicklung

Gewährleistung der Informationssicherheit bei ausgelagerter Entwicklung: ISO 27002-Kontrolle 8.30

Die Auslagerung von IT-Systemen und Softwareentwicklung an externe Parteien hat für Unternehmen viele Vorteile wie geringere Kosten und größere Skalierbarkeit. Diese Effizienzsteigerungen sollten jedoch nicht auf Kosten der Sicherheit gehen.

Beispielsweise verfügen externe Dienstleister möglicherweise nicht über strenge Zugriffskontrollen für Netzwerke oder wenden möglicherweise keine branchenübliche Verschlüsselung auf in der Cloud gespeicherte Daten an, was zur Gefährdung von IT-Systemen und Softwareprodukten führt.

Dies kann zu Datenschutzverletzungen und dem Verlust der Verfügbarkeit, Vertraulichkeit oder Integrität von Informationsressourcen führen.

Gemäß einer Bericht von TrustwaveBei mehr als 60 % aller Datenschutzverletzungen spielte die Auslagerung von Software und IT-Entwicklung eine Rolle.

Angesichts der Tatsache, dass Outsourcing unweigerlich zu einem Kontrollverlust über den Entwicklungsprozess führt und die Anwendung und Aufrechterhaltung von Informationssicherheitsanforderungen erschwert, sollten Organisationen sicherstellen, dass externe Parteien die von der Organisation festgelegten Informationssicherheitsanforderungen einhalten.

Zweck der Kontrolle 8.30

Mit Control 8.30 können Unternehmen sicherstellen, dass die festgelegten Anforderungen an die Informationssicherheit eingehalten werden, wenn die System- und Softwareentwicklung an externe Lieferanten ausgelagert wird.

Kontrollattribute 8.30

Control 8.30 hat sowohl detektivischen als auch präventiven Charakter: Es verlangt von Organisationen, alle Outsourcing-Aktivitäten zu beaufsichtigen und zu überwachen und sicherzustellen, dass der ausgelagerte Entwicklungsprozess den Anforderungen der Informationssicherheit entspricht.

Eigentum an der Kontrolle 8.30

Der Chief Information Security Officer sollte für die Einrichtung und Implementierung der erforderlichen Verfahren und Kontrollen verantwortlich sein, um sicherzustellen, dass diese Informationssicherheitsanforderungen externen Lieferanten mitgeteilt, von diesen vereinbart und eingehalten werden.

Allgemeine Richtlinien zur Compliance

In den allgemeinen Leitlinien wird hervorgehoben, dass Organisationen kontinuierlich überwachen und überprüfen sollten, ob die Bereitstellung der ausgelagerten Entwicklungsarbeit den Anforderungen an die Informationssicherheit entspricht, die dem externen Dienstleister auferlegt werden.

Control 8.30 empfiehlt Unternehmen, bei der Auslagerung der Entwicklung die folgenden 11 Faktoren zu berücksichtigen:

1. Abschluss von Vereinbarungen, einschließlich Lizenzvereinbarungen, die das Eigentum an Code und geistigen Eigentumsrechten regeln.
2. Festlegung angemessener vertraglicher Anforderungen für sicheres Design und Codierung gemäß Control 8.25 und 8.29.
3. Etablierung eines Bedrohungsmodells, das von Drittentwicklern übernommen werden kann.
4. Durchführung eines Abnahmetestverfahrens zur Sicherstellung der Qualität und Genauigkeit der gelieferten Arbeiten.
5. Nachweis, dass die minimal erforderlichen Datenschutz- und Sicherheitsfunktionen erreicht werden. Dies kann durch Assurance-Berichte erreicht werden.
6. Aufbewahrung von Nachweisen darüber, wie ausreichende Tests durchgeführt wurden, um das gelieferte IT-System oder die gelieferte Software vor schädlichen Inhalten zu schützen.
7. Aufbewahrung von Nachweisen darüber, wie ausreichende Tests zum Schutz vor erkannten Schwachstellen durchgeführt wurden.
8. Einrichten von Treuhandvereinbarungen, die den Software-Quellcode abdecken. Es kann sich beispielsweise damit befassen, was passiert, wenn der externe Lieferant sein Geschäft aufgibt.
9. Die Vereinbarung mit dem Lieferanten sollte das Recht der Organisation beinhalten, Audits zu Entwicklungsprozessen und -kontrollen durchzuführen.
10. Festlegung und Umsetzung von Sicherheitsanforderungen für die Entwicklungsumgebung.
11. Organisationen sollten auch geltende Gesetze, Satzungen und Vorschriften berücksichtigen.

Ergänzende Anleitung

Ausführlichere Anleitungen zum Management von Lieferantenbeziehungen finden Unternehmen in ISO/IEC 27036.

Änderungen und Unterschiede zu ISO 27002:2013

27002:2022/8.30 replaces 27002:2013/(14.2.7)

Insgesamt gibt es keinen wesentlichen Unterschied zwischen den beiden Versionen.

Neue ISO 27002-Kontrollen

Wie ISMS.online hilft

Unternehmen können ISMS.Online nutzen, um sie bei ihren ISO 27002-Compliance-Bemühungen zu unterstützen, indem ihnen eine Plattform zur Verfügung gestellt wird, die es einfach macht, ihre Sicherheitsrichtlinien und -verfahren zu verwalten, sie bei Bedarf zu aktualisieren, sie zu testen und ihre Wirksamkeit zu überwachen.

Mit unserer cloudbasierten Plattform können Sie alle Aspekte Ihres ISMS, einschließlich Risikomanagement, Richtlinien, Pläne, Verfahren und mehr, schnell und einfach an einem zentralen Ort verwalten. Die Plattform ist einfach zu bedienen und verfügt über eine intuitive Benutzeroberfläche, die das Erlernen der Bedienung erleichtert.

Nehmen Sie noch heute Kontakt mit uns auf Demo buchen.