ISO 27002:2022 – Kontrolle 8.31 – Trennung von Entwicklungs-, Test- und Produktionsumgebungen

Sichere Trennung von Entwicklungs-, Test- und Produktionsumgebungen

Wenn Entwicklungs-, Test- und Produktionsumgebungen nicht ordnungsgemäß getrennt werden, kann dies zu einem Verlust der Verfügbarkeit, Vertraulichkeit und Integrität von Informationsressourcen führen.

Zum Beispiel, Uber versehentlich veröffentlicht ein Code-Repository auf Github, das Passwörter von Benutzern aus der Produktionsumgebung enthielt, was zum Verlust der Vertraulichkeit sensibler Informationen führte.

Daher sollten Unternehmen geeignete Verfahren und Kontrollen implementieren, um Entwicklungs-, Test- und Produktionsumgebungen sicher zu trennen und Sicherheitsrisiken auszuschließen.

Zweck der Kontrolle 8.31

Control 8.31 ermöglicht es Unternehmen, die Vertraulichkeit, Integrität und Verfügbarkeit sensibler Informationsbestände aufrechtzuerhalten, indem Entwicklungs-, Test- und Produktionsumgebungen durch geeignete Verfahren, Kontrollen und Richtlinien getrennt werden.

Attributtabelle der Steuerung 8.31

Control 8.31 ist präventiver Natur und verlangt von Organisationen, präventiv Prozesse und technische Kontrollen einzurichten und anzuwenden, um die Entwicklungs-, Test- und Produktionsumgebungen sicher zu trennen.

Eigentum an der Kontrolle 8.31

Da Control 8.31 die Einrichtung und Implementierung organisationsweiter Prozesse und Kontrollen zur Trennung verschiedener Softwareumgebungen beinhaltet, ist der Chief Information Security Officer mit Hilfe des Entwicklungsteams letztendlich für die Einhaltung verantwortlich.

Allgemeine Richtlinien zur Compliance

Organisationen sollten die potenziellen Produktionsprobleme berücksichtigen, die vermieden werden sollten, wenn sie den erforderlichen Grad der Trennung zwischen den drei Umgebungen bestimmen.

Insbesondere empfiehlt Control 8.31 Organisationen, die folgenden sieben Kriterien zu berücksichtigen:

1. Trennung und Betrieb von Entwicklungs- und Produktionssystemen in ausreichendem Maße. Beispielsweise könnte die Nutzung getrennter virtueller und physischer Umgebungen für die Produktion eine effektive Methode sein.
2. Für den Einsatz von Software in der Produktionsumgebung nach Durchlaufen der Entwicklungsumgebung sollten entsprechende Regeln und Autorisierungsverfahren festgelegt, dokumentiert und angewendet werden.
3. Organisationen sollten an Anwendungen und Produktionssystemen vorgenommene Änderungen in einer von der Produktionsumgebung getrennten Testumgebung überprüfen und testen, bevor diese Änderungen in der Produktionsumgebung verwendet werden.
4. Tests in Produktionsumgebungen sollten nicht erlaubt sein, es sei denn, solche Tests werden vor dem Test definiert und genehmigt.
5. Entwicklungstools wie Compiler und Editoren sollten von den Produktionsumgebungen aus nicht zugänglich sein, es sei denn, dieser Zugriff ist unbedingt erforderlich.
6. Um Fehler zu minimieren, sollten in den Menüs geeignete Umgebungskennzeichnungsetiketten gut sichtbar angezeigt werden.
7. Sensible Informationsbestände sollten nicht in Entwicklungs- und Testumgebungen übertragen werden, es sei denn, in den Entwicklungs- und Testsystemen werden gleichwertige Sicherheitsmaßnahmen angewendet.

Ergänzende Leitlinien zum Schutz von Entwicklungs- und Testumgebungen

Organisationen sollten Entwicklungs- und Testumgebungen vor Sicherheitsrisiken schützen und dabei Folgendes berücksichtigen:

• Alle Entwicklungs-, Integrations- und Testtools wie Builder, Integratoren und Bibliotheken sollten regelmäßig gepatcht und aktualisiert werden.
• Alle Systeme und Software sollten sicher konfiguriert sein.
• Der Zugang zu Umgebungen sollte geeigneten Kontrollen unterliegen.
• Änderungen an Umgebungen und darin gespeichertem Code sollten überwacht und überprüft werden.
• Umgebungen sollten sicher überwacht und überprüft werden.
• Umgebungen sollten gesichert werden.

Darüber hinaus sollte keiner einzelnen Person das Privileg eingeräumt werden, Änderungen sowohl in der Entwicklungs- als auch in der Produktionsumgebung vorzunehmen, ohne vorher eine Genehmigung einzuholen. Um dies zu verhindern, können Organisationen Zugriffsrechte trennen oder Zugriffskontrollen einrichten und implementieren.

Darüber hinaus können Unternehmen auch zusätzliche technische Kontrollen in Betracht ziehen, wie z. B. die Protokollierung aller Zugriffsaktivitäten und die Echtzeitüberwachung aller Zugriffe auf diese Umgebungen.

Ergänzende Leitlinien zur Kontrolle 8.31

Wenn Unternehmen die erforderlichen Maßnahmen nicht umsetzen, können ihre Informationssysteme erheblichen Sicherheitsrisiken ausgesetzt sein.

Beispielsweise können Entwickler und Tester mit Zugriff auf die Produktionsumgebung unerwünschte Änderungen an Dateien oder Systemumgebungen vornehmen, nicht autorisierten Code ausführen oder versehentlich vertrauliche Informationen offenlegen.

Daher benötigen Unternehmen eine stabile Umgebung, um robuste Tests des Codes durchzuführen und zu verhindern, dass Entwickler auf die Produktionsumgebungen zugreifen, in denen sensible reale Daten gehostet und verarbeitet werden.

Organisationen sollten auch Maßnahmen wie festgelegte Rollen zusammen mit Anforderungen an die Aufgabentrennung anwenden.

Eine weitere Bedrohung für die Vertraulichkeit von Produktionsdaten ist das Entwicklungs- und Testpersonal. Wenn die Entwicklungs- und Testteams ihre Aktivitäten mit denselben Computergeräten durchführen, kann es passieren, dass sie versehentlich Änderungen an vertraulichen Informationen oder Softwareprogrammen vornehmen.

Organisationen wird empfohlen, unterstützende Prozesse für die Verwendung der Produktionsdaten in Test- und Entwicklungssystemen gemäß Control 8.33 einzurichten.

Darüber hinaus sollten Organisationen die in dieser Kontrolle angesprochenen Maßnahmen berücksichtigen, wenn sie Endbenutzerschulungen in Schulungsumgebungen durchführen.

Nicht zuletzt verwischen Unternehmen möglicherweise bewusst die Grenzen zwischen Entwicklungs-, Test- und Produktionsumgebungen. Tests können beispielsweise in einer Entwicklungsumgebung durchgeführt werden oder Produkttests können durch die tatsächliche Nutzung des Produkts durch Mitarbeiter der Organisation durchgeführt werden.

Änderungen und Unterschiede zu ISO 27002:2013

27002:2022/8.31 ersetzt 27002:2013/(12.1.4 und 14.2.6)

Obwohl die beiden Versionen weitgehend ähnlich sind, gibt es zwei Unterschiede, die hervorgehoben werden sollten.

Control 14.2.6 in der Version 2013 bot detailliertere Anleitungen zu sicheren Entwicklungsumgebungen

Control 14.2.6 in der Version 2013 befasst sich mit sicheren Entwicklungsumgebungen und listet 10 Empfehlungen auf, die Organisationen beim Aufbau einer Entwicklungsumgebung berücksichtigen sollten.

Die Version 2022 hingegen enthielt einige dieser Empfehlungen nicht, wie z. B. die Sicherung an einem externen Standort und Einschränkungen bei der Datenübertragung.

Control 8.31 befasst sich mit Produkttests und der Verwendung von Produktionsdaten

Im Gegensatz zur Version 2013 bietet Control 8.31 in der Version 2022 Hinweise zur Durchführung von Produkttests und zur Verwendung von Produktionsdaten gemäß Control 8.33.

Neue ISO 27002-Kontrollen

Wie ISMS.online hilft

Die ISMS.Online-Plattform hilft bei allen Aspekten der Implementierung von ISO 27002, von der Verwaltung von Risikobewertungsaktivitäten bis hin zur Entwicklung von Richtlinien, Verfahren und Leitlinien zur Einhaltung der Anforderungen der Norm.

Es bietet eine Möglichkeit, Ihre Ergebnisse zu dokumentieren und diese online mit Ihren Teammitgliedern zu kommunizieren. Mit ISMS.Online können Sie außerdem Checklisten für alle Aufgaben bei der Implementierung von ISO 27002 erstellen und speichern, sodass Sie den Fortschritt des Sicherheitsprogramms Ihrer Organisation problemlos verfolgen können.

Mit seinem automatisierten Toolset erleichtert ISMS.Online Unternehmen den Nachweis der Einhaltung des ISO 27002-Standards.

Kontaktieren Sie uns noch heute zu Demo anfordern.