ISO 27002-Kontrolle 8.33: Wichtige Sicherheitsüberlegungen für Testdaten
Während nicht produktive Testumgebungen wie Staging-Umgebungen für die Entwicklung qualitativ hochwertiger Softwareprodukte und -anwendungen ohne Bugs und Fehler unerlässlich sind, setzen die Verwendung realer Daten und das Fehlen von Sicherheitsmaßnahmen in diesen Umgebungen Informationsressourcen erhöhten Risiken aus.
Beispielsweise können Entwickler leicht zu merkende Anmeldeinformationen (z. B. „admin“ für Benutzername und Passwort) zum Testen von Umgebungen verwenden, in denen sensible Datenbestände gespeichert sind.
Dies kann von Cyber-Angreifern ausgenutzt werden, um sich einfachen Zugang zu Testumgebungen zu verschaffen und sensible Informationsressourcen zu stehlen.
Daher sollten Organisationen geeignete Kontrollen und Verfahren einführen, um die für Tests verwendeten realen Daten zu schützen.
Zweck der Kontrolle 8.33
Mit Control 8.33 können Organisationen zwei Ziele erreichen:
- Schutz und Wahrung der Vertraulichkeit der in der Testumgebung verwendeten Informationen.
- Auswahl und Verwendung von Testinformationen, die zu zuverlässigen Ergebnissen führen.
Attributtabelle der Steuerung 8.33
Kontrolle 8.33 ist eine präventive Art der Kontrolle, die von Organisationen verlangt, die am besten geeigneten Informationen für die Testphase auszuwählen und zu schützen, um die Vertraulichkeit und Integrität der Informationen zu wahren.
| Steuerungstyp | Eigenschaften der Informationssicherheit | Cybersicherheitskonzepte | Operative Fähigkeiten | Sicherheitsdomänen |
|---|---|---|---|---|
| #Präventiv | #Vertraulichkeit | #Schützen | #Informationsschutz | #Schutz |
| #Integrität |
ISO 27001 leicht gemacht
Ein Vorsprung von 81 % vom ersten Tag an
Wir haben die harte Arbeit für Sie erledigt und Ihnen vom Moment Ihrer Anmeldung an einen Vorsprung von 81 % verschafft. Sie müssen nur noch die Lücken ausfüllen.
Eigentum an der Kontrolle 8.33
In Anbetracht der Tatsache, dass Kontrolle 8.33 die Auswahl, den Schutz und die Verwaltung der am besten geeigneten Testinformationen für den Test umfasst, sollten Informationssicherheitsbeauftragte in Zusammenarbeit mit dem Entwicklungsteam letztendlich für die Einrichtung geeigneter Kontrollen und Verfahren verantwortlich sein.
Allgemeine Richtlinien zur Compliance
Organisationen sollten in den Entwicklungs- und Testumgebungen keine sensiblen Informationen, einschließlich personenbezogener Daten, verwenden.
Um die Testinformationen vor einem Verlust der Vertraulichkeit und Integrität zu schützen, sollten Organisationen Folgendes einhalten:
- Zugriffskontrollen, die in realen Umgebungen angewendet werden, sollten auch in Testumgebungen implementiert werden.
- Etablierung und Implementierung eines separaten Autorisierungsverfahrens für das Kopieren realer Informationen in Testumgebungen.
- Um einen Prüfpfad zu führen, sollten alle Aktivitäten im Zusammenhang mit dem Kopieren und Verwenden vertraulicher Informationen in Testumgebungen aufgezeichnet werden.
- Wenn in der Testumgebung vertrauliche Informationen verwendet werden, sollten diese durch geeignete Kontrollen wie Datenmaskierung oder Datenentfernung geschützt werden.
- Sobald der Test abgeschlossen ist, sollten die in der Testumgebung verwendeten Informationen sicher und dauerhaft entfernt werden, um das Risiko eines unbefugten Zugriffs auszuschließen.
Darüber hinaus sollten Organisationen geeignete Maßnahmen ergreifen, um die sichere Speicherung von Informationsbeständen zu gewährleisten.
Ergänzende Leitlinien zur Kontrolle 8.33
Es wird darauf hingewiesen, dass System- und Abnahmetests möglicherweise eine enorme Menge an Testinformationen erfordern, die den Betriebsinformationen entsprechen.
Verwalten Sie Ihre gesamte Compliance an einem Ort
ISMS.online unterstützt über 100 Standards und Vorschriften und bietet Ihnen eine einzige Plattform für alle Ihre Compliance-Anforderungen.
Änderungen und Unterschiede zu ISO 27002:2013
27002:2022/8.33 replaces 27002:2013/(14.3.1)
Obwohl die Version 2022 der Version 2013 weitgehend ähnelt, führt die Version 2022 die folgende Anforderung ein:
- Wenn in der Testumgebung vertrauliche Informationen verwendet werden, sollten diese durch geeignete Kontrollen wie Datenmaskierung oder Datenentfernung geschützt werden.
Die Version 27002:2013 enthielt diese Anforderung hingegen nicht.
Neue ISO 27002-Kontrollen
| ISO/IEC 27002:2022 Kontrollkennung | ISO/IEC 27002:2013 Kontrollkennung | Kontrollname |
|---|---|---|
| 5.7 | NEU | Bedrohungsinformationen |
| 5.23 | NEU | Informationssicherheit bei der Nutzung von Cloud-Diensten |
| 5.30 | NEU | IKT-Bereitschaft für Geschäftskontinuität |
| 7.4 | NEU | Physische Sicherheitsüberwachung |
| 8.9 | NEU | Konfigurationsmanagement |
| 8.10 | NEU | Löschung von Informationen |
| 8.11 | NEU | Datenmaskierung |
| 8.12 | NEU | Verhinderung von Datenlecks |
| 8.16 | NEU | Überwachungsaktivitäten |
| 8.23 | NEU | Web-Filter |
| 8.28 | NEU | Sichere Codierung |
| ISO/IEC 27002:2022 Kontrollkennung | ISO/IEC 27002:2013 Kontrollkennung | Kontrollname |
|---|---|---|
| 6.1 | 07.1.1 | Rekrutierung |
| 6.2 | 07.1.2 | Beschäftigungsbedingungen |
| 6.3 | 07.2.2 | Bewusstsein für Informationssicherheit, Aus- und Weiterbildung |
| 6.4 | 07.2.3 | Disziplinarverfahren |
| 6.5 | 07.3.1 | Verantwortlichkeiten nach Beendigung oder Wechsel des Arbeitsverhältnisses |
| 6.6 | 13.2.4 | Vertraulichkeits- oder Geheimhaltungsvereinbarungen |
| 6.7 | 06.2.2 | Fernarbeit |
| 6.8 | 16.1.2, 16.1.3 | Berichterstattung über Informationssicherheitsereignisse |
| ISO/IEC 27002:2022 Kontrollkennung | ISO/IEC 27002:2013 Kontrollkennung | Kontrollname |
|---|---|---|
| 7.1 | 11.1.1 | Physische Sicherheitsbereiche |
| 7.2 | 11.1.2, 11.1.6 | Physischer Eintritt |
| 7.3 | 11.1.3 | Absicherung von Büros, Räumen und Anlagen |
| 7.4 | NEU | Physische Sicherheitsüberwachung |
| 7.5 | 11.1.4 | Schutz vor physischen und umweltbedingten Bedrohungen |
| 7.6 | 11.1.5 | Arbeiten in sicheren Bereichen |
| 7.7 | 11.2.9 | Klarer Schreibtisch und klarer Bildschirm |
| 7.8 | 11.2.1 | Standort und Schutz der Ausrüstung |
| 7.9 | 11.2.6 | Sicherheit von Vermögenswerten außerhalb des Betriebsgeländes |
| 7.10 | 08.3.1, 08.3.2, 08.3.3, 11.2.5 | Speichermedium |
| 7.11 | 11.2.2 | Unterstützende Versorgungsunternehmen |
| 7.12 | 11.2.3 | Verkabelungssicherheit |
| 7.13 | 11.2.4 | Wartung der Ausrüstung |
| 7.14 | 11.2.7 | Sichere Entsorgung oder Wiederverwendung von Geräten |
Wie ISMS.online hilft
ISMS.online ist eine cloudbasierte Lösung, die Unternehmen dabei hilft, die Einhaltung von ISO 27002 nachzuweisen. Mit der ISMS.online-Lösung können Sie die Anforderungen von ISO 27002 verwalten und sicherstellen, dass Ihre Organisation weiterhin mit der neuen Norm konform bleibt.
Der ISO 27002-Standard wurde aktualisiert, um den wachsenden Cyberbedrohungen Rechnung zu tragen, denen wir als Gesellschaft ausgesetzt sind. Der aktuelle Standard wurde erstmals 2005 veröffentlicht und 2013 überarbeitet, um Änderungen in Technologie, Vorschriften und Industriestandards Rechnung zu tragen. Die neue Version von ISO 27002 fasst diese Aktualisierungen in einem Dokument zusammen und fügt außerdem neue Anforderungen für Organisationen hinzu, die ihnen helfen sollen, ihre Datenbestände besser vor Cyberangriffen zu schützen.
Die ISMS.online-Lösung unterstützt Organisationen bei der Umsetzung von ISO 27002:2022, indem sie ein benutzerfreundliches Framework für die Dokumentation von Informationssicherheitsrichtlinien und -verfahren bereitstellt. Es bietet außerdem einen zentralen Ort, an dem Sie Ihre gesamte Compliance-Dokumentation speichern können, sodass verschiedene Stakeholder im Unternehmen (z. B. Personalabteilung, IT) problemlos darauf zugreifen können.
Unsere Plattform ist benutzerfreundlich und unkompliziert. Es ist nicht nur für hochtechnische Personen geeignet; Es gilt für jeden in Ihrem Unternehmen.
Nehmen Sie noch heute Kontakt mit uns auf Demo buchen.
