ISO 27002:2022 – Kontrolle 8.4 – Zugriff auf Quellcode

Zweck der Kontrolle 8.4

Für die Zwecke ISO 27002 Control 8.4 definiert „Quellcode“ als den zugrunde liegenden Code, die Spezifikationen und Pläne, die zur Erstellung von Anwendungen, Programmen und Prozessen verwendet werden und Eigentum der Organisation selbst sind.

Bei der Erörterung des Zugriffs auf Quellcode misst Control 8.4 den Entwicklungstools (Compiler, Testumgebungen usw.) die gleiche Bedeutung bei.

Die Verwaltung des Quellcodes stellt ein besonderes Risiko dar an jede Organisation, die es speichern muss. Zu den Elementen des geschäftskritischen Quellcodes gehören Produktionsdaten, geschützte Konfigurationsdetails und Aspekte des geistigen Eigentums einer Organisation.

Kontrolle 8.4 ist ein vorbeugende Kontrolle zur Abwicklung, Integrierung, Speicherung und verändert das Risiko durch die Festlegung einer Reihe grundlegender Datenzugriffsprinzipien (im Einklang mit den umfassenderen Zugriffskontrollen einer Organisation), die den Lese-/Schreibzugriff regeln auf:

• Quellcode
• Entwicklungswerkzeuge
• Softwarebibliotheken

Attributtabelle der Steuerung 8.4

Eigentum an der Kontrolle 8.4

Control 8.4 befasst sich mit der Fähigkeit einer Organisation, den Zugriff auf geschäftskritische Daten in Bezug auf Quellcode, Entwicklungstools und wirtschaftlich sensible Informationen wie Softwarebibliotheken zu kontrollieren.

Daher sollte das Eigentum beim Chief Information Security Officer (oder einer gleichwertigen Organisation) liegen, der die Verantwortung trägt Verantwortung für die allgemeine Informations- und Datensicherheit der Organisation Praktiken.

Allgemeine Leitlinien zur Kontrolle 8.4

Control 8.4 befürwortet ein Quellcode-Verwaltungssystem, das es Unternehmen ermöglicht, den Zugriff auf den Quellcode und deren Änderung im gesamten IKT-Bereich zentral zu verwalten.

Control 8.4 fordert Organisationen auf, den Zugriff auf Quellcode anhand einer Reihe strenger Lese- und/oder Schreibrechte zu berücksichtigen, basierend auf der Art des Quellcodes, dem Ort, von dem aus darauf zugegriffen wird, und der Person, die darauf zugreift.

Wenn Organisationen den Zugriff auf Quellcode kontrollieren möchten, sollten sie Folgendes tun:

• Kontrollieren Sie den Zugriff auf den Quellcode gemäß den veröffentlichten Verfahren.
• Gewähren Sie Lese- und/oder Schreibzugriff auf den Quellcode in Verbindung mit einer Reihe klar definierter Geschäftsanforderungen auf Einzelfall- oder Benutzerbasis.
• Halten Sie sich an einen klaren Satz von Change-Management-Verfahren (siehe Steuerung 8.32) bei der Verwaltung des Zugriffs auf den Quellcode, einschließlich der ordnungsgemäßen Autorisierung basierend auf einer Reihe von Zugriffsvariablen (Benutzertyp, Geschäftsfall usw.).
• Verhindere den direkter Zugang des Quellcodes durch Entwickler und gewähren stattdessen Zugriff über eine Reihe von Entwicklungstools, die eine Top-Down-Ansicht der Zugriffsrechte und Lese-/Schreibberechtigungen bieten.
• Stellen Sie einen sicheren Bereich zum Speichern von Programmlisten und Lese-/Schreibberechtigungen bereit.
• Führen Sie einen gleichzeitigen Prüfpfad aller quellcodebezogenen Aktivitäten, einschließlich Zeitstempel des Benutzerzugriffs und änderungsbezogener Aktivitäten.
• Stellen Sie sicher, dass für jeden Code, der außerhalb der Organisation veröffentlicht werden soll, digitale Signaturen verwendet werden.

Unterstützende Kontrollen

• 8.32

Änderungen und Unterschiede zu ISO 27002:2013

27002:2022-8.4 replaces 27002:2014-9.4.5 (Zugriff auf Quellcode) und enthält drei Hauptunterschiede in seinem Ansatz zur Einrichtung eines Quellcode-Verwaltungssystems (ein Konzept, das in 27002:2014-9.4.5 fehlt).

1. Die Bereitstellung von Lese-/Schreibzugriff gemäß strengen Geschäftsanforderungen.
2. Die Notwendigkeit, Entwicklern über eine Reihe von Entwicklungstools und/oder Testumgebungen indirekten Zugriff auf den Quellcode zu ermöglichen.
3. Die Notwendigkeit, Änderungen an Quellcode-Zugriffsaktivitäten im Einklang mit den neu veröffentlichten Änderungsmanagementverfahren in Control 8.32 durchzuführen.

Neue ISO 27002-Kontrollen

Wie hilft ISMS.online?

ISMS.Online vereinfacht die Prozess der Umsetzung ISO 27002 durch die Bereitstellung aller notwendigen Ressourcen, Informationen und Tools an einem Ort. Es ermöglicht Ihnen Erstellen Sie ein ISMS mit nur wenigen Mausklicks, was bei manueller Ausführung sonst viel Zeit in Anspruch nehmen würde.

Möchtest Du es in Aktion sehen?

Nehmen Sie noch heute Kontakt mit uns auf Demo buchen.