ISO 27002:2022 – Kontrolle 8.33 – Testinformationen

ISO 27002-Kontrolle 8.33: Wichtige Sicherheitsüberlegungen für Testdaten

Während nicht produktive Testumgebungen wie Staging-Umgebungen für die Entwicklung qualitativ hochwertiger Softwareprodukte und -anwendungen ohne Bugs und Fehler unerlässlich sind, setzen die Verwendung realer Daten und das Fehlen von Sicherheitsmaßnahmen in diesen Umgebungen Informationsressourcen erhöhten Risiken aus.

Beispielsweise können Entwickler leicht zu merkende Anmeldeinformationen (z. B. „admin“ für Benutzername und Passwort) zum Testen von Umgebungen verwenden, in denen sensible Datenbestände gespeichert sind.

Dies kann von Cyber-Angreifern ausgenutzt werden, um sich einfachen Zugang zu Testumgebungen zu verschaffen und sensible Informationsressourcen zu stehlen.

Daher sollten Organisationen geeignete Kontrollen und Verfahren einführen, um die für Tests verwendeten realen Daten zu schützen.

Zweck der Kontrolle 8.33

Mit Control 8.33 können Organisationen zwei Ziele erreichen:

• Schutz und Wahrung der Vertraulichkeit der in der Testumgebung verwendeten Informationen.
• Auswahl und Verwendung von Testinformationen, die zu zuverlässigen Ergebnissen führen.

Attributtabelle der Steuerung 8.33

Kontrolle 8.33 ist eine präventive Art der Kontrolle, die von Organisationen verlangt, die am besten geeigneten Informationen für die Testphase auszuwählen und zu schützen, um die Vertraulichkeit und Integrität der Informationen zu wahren.

Eigentum an der Kontrolle 8.33

In Anbetracht der Tatsache, dass Kontrolle 8.33 die Auswahl, den Schutz und die Verwaltung der am besten geeigneten Testinformationen für den Test umfasst, sollten Informationssicherheitsbeauftragte in Zusammenarbeit mit dem Entwicklungsteam letztendlich für die Einrichtung geeigneter Kontrollen und Verfahren verantwortlich sein.

Allgemeine Richtlinien zur Compliance

Organisationen sollten in den Entwicklungs- und Testumgebungen keine sensiblen Informationen, einschließlich personenbezogener Daten, verwenden.

Um die Testinformationen vor einem Verlust der Vertraulichkeit und Integrität zu schützen, sollten Organisationen Folgendes einhalten:

• Zugriffskontrollen, die in realen Umgebungen angewendet werden, sollten auch in Testumgebungen implementiert werden.
• Etablierung und Implementierung eines separaten Autorisierungsverfahrens für das Kopieren realer Informationen in Testumgebungen.
• Um einen Prüfpfad zu führen, sollten alle Aktivitäten im Zusammenhang mit dem Kopieren und Verwenden vertraulicher Informationen in Testumgebungen aufgezeichnet werden.
• Wenn in der Testumgebung vertrauliche Informationen verwendet werden, sollten diese durch geeignete Kontrollen wie Datenmaskierung oder Datenentfernung geschützt werden.
• Sobald der Test abgeschlossen ist, sollten die in der Testumgebung verwendeten Informationen sicher und dauerhaft entfernt werden, um das Risiko eines unbefugten Zugriffs auszuschließen.

Darüber hinaus sollten Organisationen geeignete Maßnahmen ergreifen, um die sichere Speicherung von Informationsbeständen zu gewährleisten.

Ergänzende Leitlinien zur Kontrolle 8.33

Es wird darauf hingewiesen, dass System- und Abnahmetests möglicherweise eine enorme Menge an Testinformationen erfordern, die den Betriebsinformationen entsprechen.

Änderungen und Unterschiede zu ISO 27002:2013

27002:2022/8.33 replaces 27002:2013/(14.3.1)

Obwohl die Version 2022 der Version 2013 weitgehend ähnelt, führt die Version 2022 die folgende Anforderung ein:

• Wenn in der Testumgebung vertrauliche Informationen verwendet werden, sollten diese durch geeignete Kontrollen wie Datenmaskierung oder Datenentfernung geschützt werden.

Die Version 27002:2013 enthielt diese Anforderung hingegen nicht.

Neue ISO 27002-Kontrollen

Wie ISMS.online hilft

ISMS.online ist eine cloudbasierte Lösung, die Unternehmen dabei hilft, die Einhaltung von ISO 27002 nachzuweisen. Mit der ISMS.online-Lösung können Sie die Anforderungen von ISO 27002 verwalten und sicherstellen, dass Ihre Organisation weiterhin mit der neuen Norm konform bleibt.

Der ISO 27002-Standard wurde aktualisiert, um den wachsenden Cyberbedrohungen Rechnung zu tragen, denen wir als Gesellschaft ausgesetzt sind. Der aktuelle Standard wurde erstmals 2005 veröffentlicht und 2013 überarbeitet, um Änderungen in Technologie, Vorschriften und Industriestandards Rechnung zu tragen. Die neue Version von ISO 27002 fasst diese Aktualisierungen in einem Dokument zusammen und fügt außerdem neue Anforderungen für Organisationen hinzu, die ihnen helfen sollen, ihre Datenbestände besser vor Cyberangriffen zu schützen.

Die ISMS.online-Lösung unterstützt Organisationen bei der Umsetzung von ISO 27002:2022, indem sie ein benutzerfreundliches Framework für die Dokumentation von Informationssicherheitsrichtlinien und -verfahren bereitstellt. Es bietet außerdem einen zentralen Ort, an dem Sie Ihre gesamte Compliance-Dokumentation speichern können, sodass verschiedene Stakeholder im Unternehmen (z. B. Personalabteilung, IT) problemlos darauf zugreifen können.

Unsere Plattform ist benutzerfreundlich und unkompliziert. Es ist nicht nur für hochtechnische Personen geeignet; Es gilt für jeden in Ihrem Unternehmen.

Nehmen Sie noch heute Kontakt mit uns auf Demo buchen.