ISO 27002: 2022 - Steuerung 8.34 - Schutz von Informationssystemen während der Prüfungstests

Sicherstellung sicherer Informationssysteme bei Audits: Erläuterung der ISO 27002-Kontrolle 8.34

Audittests spielen eine entscheidende Rolle bei der Erkennung und Beseitigung von Sicherheitsrisiken und Schwachstellen in den Informationssystemen.

Allerdings ist die PrüfungsprozessUnabhängig davon, ob sie in Betriebs-, Test- oder Entwicklungsumgebungen durchgeführt werden, können sensible Informationen dem Risiko einer unbefugten Offenlegung oder eines Verlusts der Integrität und Verfügbarkeit ausgesetzt sein.

Control 8.34 befasst sich damit, wie Organisationen das aufrechterhalten können Sicherheit von Informationsressourcen während Audittests.

Zweck der Kontrolle 8.34

Control 8.34 ermöglicht es Unternehmen, Risiken für das Unternehmen zu beseitigen und zu mindern Sicherheit von Informationssystemen und zur Kontinuität des Geschäftsbetriebs durch die Einrichtung und Anwendung geeigneter Maßnahmen und Kontrollen wie Zugriffsbeschränkungen und Nur-Lese-Zugriffsbeschränkungen.

Attributtabelle der Steuerung 8.34

Die Kontrolle 8.34 ist präventiver Natur, da sie Folgendes erfordert Das obere Management und der Prüfer planen und vereinbaren Prüfungstests Verfahren, Einschränkungen und Kontrollen vor der Durchführung von Audits.

Eigentum an der Kontrolle 8.34

Das es Das Managementteam sollte dafür verantwortlich sein, Prüfungsverfahren zu planen und zu vereinbaren und notwendige Maßnahmen zu schaffen und anzuwenden.

Allgemeine Richtlinien zur Compliance

Control 8.34 listet acht spezifische Anforderungen auf, die Organisationen berücksichtigen sollten:

1. Angemessenes Management und der Prüfer sollten Vereinbaren Sie den Zugriff auf Systeme und Informationsressourcen.
2. Vereinbarung über den Umfang der durchzuführenden technischen Auditprüfungen.
3. Organisationen können nur Lesezugriff auf Informationen und Software gewähren. Ist die Verwendung der Nur-Lese-Technik nicht möglich, kann ein Administrator mit den erforderlichen Zugriffsrechten im Auftrag des Prüfers Zugriff auf Systeme oder Daten erhalten.
4. Wenn eine Zugriffsanfrage genehmigt wird, sollten Organisationen zunächst überprüfen, ob die für den Zugriff auf Systeme verwendeten Geräte die Sicherheitsanforderungen erfüllen, bevor sie Zugriff gewähren.
5. Der Zugriff sollte nur für isolierte Kopien gewährt werden der aus dem System extrahierten Dateien. Diese Kopien sollten nach Abschluss der Prüfung endgültig gelöscht werden, es sei denn, es besteht eine Verpflichtung zur Aufbewahrung dieser Dateien. Wenn nur lesender Zugriff möglich ist, entfällt diese Kontrolle.
6. Anfragen von Prüfern zur Durchführung spezieller Verarbeitungen, wie z. B. der Einsatz von Prüftools, sollten mit der Geschäftsleitung genehmigt werden.
7. Wenn ein Bei der Prüfung besteht die Gefahr, dass die Systemverfügbarkeit beeinträchtigt wirdUm die Verfügbarkeit der Informationen aufrechtzuerhalten, sollte das Audit außerhalb der Geschäftszeiten durchgeführt werden.
8. Zugriffsanfragen Für Audits erstellte Protokolle sollten für den Audit Trail protokolliert werden.

Ergänzende Leitlinien zur Kontrolle 8.34

Wenn Audits in Test- oder Entwicklungsumgebungen durchgeführt werden, sollten Unternehmen auf die folgenden Risiken achten:

• Beeinträchtigung der Integrität des Codes.
• Verlust der Vertraulichkeit sensibler Informationen.

Änderungen und Unterschiede zu ISO 27002:2013

27002:2022/8.34 replaces 27002:2013/(12.7.1)

Obwohl die Version 2022 der Version 2013 weitgehend ähnelt, gibt es zwei wesentliche Unterschiede.

Die Version ISO 27002:2022 führt eine neue Anforderung ein

Die Version 2022 führt die folgende Anforderung ein, auf die in der Version 2013 nicht Bezug genommen wurde:

Wenn eine Zugriffsanfrage genehmigt wird, sollten Organisationen zunächst überprüfen, ob die für den Zugriff auf Systeme verwendeten Geräte die Sicherheitsanforderungen erfüllen, bevor sie Zugriff gewähren.

Die Version 2022 befasst sich mit Test- und Entwicklungsumgebungen

In den ergänzenden Leitlinien warnt die Version 2022 Organisationen davor Sicherheitsrisiken aufgrund von Audits, die in Test- und Entwicklungsumgebungen durchgeführt wurden. Die Version 2013 hingegen bezog sich nicht auf die Test- und Entwicklungsumgebungen.

Neue ISO 27002-Kontrollen

Wie ISMS.online hilft

ISO 27002 Die Implementierung wird einfacher mit unserer Schritt-für-Schritt-Checkliste, die Sie durch den gesamten Prozess führt, von der Definition des Umfangs Ihres ISMS über die Risikoidentifizierung bis hin zur Kontrollimplementierung.

Unsere Plattform ist intuitiv und einfach zu bedienen. Es ist nicht nur etwas für hochtechnische Leute; Es ist für alle in Ihrer Organisation. Wir empfehlen Ihnen, Mitarbeiter auf allen Ebenen Ihres Unternehmens in den Aufbau Ihres Unternehmens einzubeziehen ISMS, denn das hilft Ihnen, ein wirklich nachhaltiges System aufzubauen.

Nehmen Sie noch heute Kontakt mit uns auf Demo buchen.