Zweck der Kontrolle 8.4
Für die Zwecke ISO 27002 Control 8.4 definiert „Quellcode“ als den zugrunde liegenden Code, die Spezifikationen und Pläne, die zur Erstellung von Anwendungen, Programmen und Prozessen verwendet werden und Eigentum der Organisation selbst sind.
Bei der Erörterung des Zugriffs auf Quellcode misst Control 8.4 den Entwicklungstools (Compiler, Testumgebungen usw.) die gleiche Bedeutung bei.
Die Verwaltung des Quellcodes stellt ein besonderes Risiko dar an jede Organisation, die es speichern muss. Zu den Elementen des geschäftskritischen Quellcodes gehören Produktionsdaten, geschützte Konfigurationsdetails und Aspekte des geistigen Eigentums einer Organisation.
Kontrolle 8.4 ist ein vorbeugende Kontrolle zur Abwicklung, Integrierung, Speicherung und verändert das Risiko durch die Festlegung einer Reihe grundlegender Datenzugriffsprinzipien (im Einklang mit den umfassenderen Zugriffskontrollen einer Organisation), die den Lese-/Schreibzugriff regeln auf:
- Quellcode
- Entwicklungswerkzeuge
- Softwarebibliotheken
Attributtabelle der Steuerung 8.4
| Steuerungstyp | Eigenschaften der Informationssicherheit | Cybersicherheitskonzepte | Operative Fähigkeiten | Sicherheitsdomänen |
|---|---|---|---|---|
| #Präventiv | #Vertraulichkeit | #Schützen | #Identitäts- und Zugriffsmanagement | #Schutz |
| #Integrität | #Anwendungssicherheit | |||
| #Verfügbarkeit | #Sichere Konfiguration |
Eigentum an der Kontrolle 8.4
Control 8.4 befasst sich mit der Fähigkeit einer Organisation, den Zugriff auf geschäftskritische Daten in Bezug auf Quellcode, Entwicklungstools und wirtschaftlich sensible Informationen wie Softwarebibliotheken zu kontrollieren.
Daher sollte das Eigentum beim Chief Information Security Officer (oder einer gleichwertigen Organisation) liegen, der die Verantwortung trägt Verantwortung für die allgemeine Informations- und Datensicherheit der Organisation Praktiken.
ISO 27001 leicht gemacht
Ein Vorsprung von 81 % vom ersten Tag an
Wir haben die harte Arbeit für Sie erledigt und Ihnen vom Moment Ihrer Anmeldung an einen Vorsprung von 81 % verschafft. Sie müssen nur noch die Lücken ausfüllen.
Allgemeine Leitlinien zur Kontrolle 8.4
Control 8.4 befürwortet ein Quellcode-Verwaltungssystem, das es Unternehmen ermöglicht, den Zugriff auf den Quellcode und deren Änderung im gesamten IKT-Bereich zentral zu verwalten.
Control 8.4 fordert Organisationen auf, den Zugriff auf Quellcode anhand einer Reihe strenger Lese- und/oder Schreibrechte zu berücksichtigen, basierend auf der Art des Quellcodes, dem Ort, von dem aus darauf zugegriffen wird, und der Person, die darauf zugreift.
Wenn Organisationen den Zugriff auf Quellcode kontrollieren möchten, sollten sie Folgendes tun:
- Kontrollieren Sie den Zugriff auf den Quellcode gemäß den veröffentlichten Verfahren.
- Gewähren Sie Lese- und/oder Schreibzugriff auf den Quellcode in Verbindung mit einer Reihe klar definierter Geschäftsanforderungen auf Einzelfall- oder Benutzerbasis.
- Halten Sie sich an einen klaren Satz von Change-Management-Verfahren (siehe Steuerung 8.32) bei der Verwaltung des Zugriffs auf den Quellcode, einschließlich der ordnungsgemäßen Autorisierung basierend auf einer Reihe von Zugriffsvariablen (Benutzertyp, Geschäftsfall usw.).
- Verhindere den direkter Zugang des Quellcodes durch Entwickler und gewähren stattdessen Zugriff über eine Reihe von Entwicklungstools, die eine Top-Down-Ansicht der Zugriffsrechte und Lese-/Schreibberechtigungen bieten.
- Stellen Sie einen sicheren Bereich zum Speichern von Programmlisten und Lese-/Schreibberechtigungen bereit.
- Führen Sie einen gleichzeitigen Prüfpfad aller quellcodebezogenen Aktivitäten, einschließlich Zeitstempel des Benutzerzugriffs und änderungsbezogener Aktivitäten.
- Stellen Sie sicher, dass für jeden Code, der außerhalb der Organisation veröffentlicht werden soll, digitale Signaturen verwendet werden.
Unterstützende Kontrollen
- 8.32
Befreien Sie sich von einem Berg an Tabellenkalkulationen
Integrieren, erweitern und skalieren Sie Ihre Compliance, ohne dass es zu Problemen kommt. IO gibt Ihnen die Widerstandsfähigkeit und das Vertrauen, um sicher zu wachsen.
Änderungen und Unterschiede zu ISO 27002:2013
27002:2022-8.4 replaces 27002:2014-9.4.5 (Zugriff auf Quellcode) und enthält drei Hauptunterschiede in seinem Ansatz zur Einrichtung eines Quellcode-Verwaltungssystems (ein Konzept, das in 27002:2014-9.4.5 fehlt).
- Die Bereitstellung von Lese-/Schreibzugriff gemäß strengen Geschäftsanforderungen.
- Die Notwendigkeit, Entwicklern über eine Reihe von Entwicklungstools und/oder Testumgebungen indirekten Zugriff auf den Quellcode zu ermöglichen.
- Die Notwendigkeit, Änderungen an Quellcode-Zugriffsaktivitäten im Einklang mit den neu veröffentlichten Änderungsmanagementverfahren in Control 8.32 durchzuführen.
Neue ISO 27002-Kontrollen
| ISO/IEC 27002:2022 Kontrollkennung | ISO/IEC 27002:2013 Kontrollkennung | Kontrollname |
|---|---|---|
| 5.7 | NEU | Bedrohungsinformationen |
| 5.23 | NEU | Informationssicherheit bei der Nutzung von Cloud-Diensten |
| 5.30 | NEU | IKT-Bereitschaft für Geschäftskontinuität |
| 7.4 | NEU | Physische Sicherheitsüberwachung |
| 8.9 | NEU | Konfigurationsmanagement |
| 8.10 | NEU | Löschung von Informationen |
| 8.11 | NEU | Datenmaskierung |
| 8.12 | NEU | Verhinderung von Datenlecks |
| 8.16 | NEU | Überwachungsaktivitäten |
| 8.23 | NEU | Web-Filter |
| 8.28 | NEU | Sichere Codierung |
| ISO/IEC 27002:2022 Kontrollkennung | ISO/IEC 27002:2013 Kontrollkennung | Kontrollname |
|---|---|---|
| 6.1 | 07.1.1 | Rekrutierung |
| 6.2 | 07.1.2 | Beschäftigungsbedingungen |
| 6.3 | 07.2.2 | Bewusstsein für Informationssicherheit, Aus- und Weiterbildung |
| 6.4 | 07.2.3 | Disziplinarverfahren |
| 6.5 | 07.3.1 | Verantwortlichkeiten nach Beendigung oder Wechsel des Arbeitsverhältnisses |
| 6.6 | 13.2.4 | Vertraulichkeits- oder Geheimhaltungsvereinbarungen |
| 6.7 | 06.2.2 | Fernarbeit |
| 6.8 | 16.1.2, 16.1.3 | Berichterstattung über Informationssicherheitsereignisse |
| ISO/IEC 27002:2022 Kontrollkennung | ISO/IEC 27002:2013 Kontrollkennung | Kontrollname |
|---|---|---|
| 7.1 | 11.1.1 | Physische Sicherheitsbereiche |
| 7.2 | 11.1.2, 11.1.6 | Physischer Eintritt |
| 7.3 | 11.1.3 | Absicherung von Büros, Räumen und Anlagen |
| 7.4 | NEU | Physische Sicherheitsüberwachung |
| 7.5 | 11.1.4 | Schutz vor physischen und umweltbedingten Bedrohungen |
| 7.6 | 11.1.5 | Arbeiten in sicheren Bereichen |
| 7.7 | 11.2.9 | Klarer Schreibtisch und klarer Bildschirm |
| 7.8 | 11.2.1 | Standort und Schutz der Ausrüstung |
| 7.9 | 11.2.6 | Sicherheit von Vermögenswerten außerhalb des Betriebsgeländes |
| 7.10 | 08.3.1, 08.3.2, 08.3.3, 11.2.5 | Speichermedium |
| 7.11 | 11.2.2 | Unterstützende Versorgungsunternehmen |
| 7.12 | 11.2.3 | Verkabelungssicherheit |
| 7.13 | 11.2.4 | Wartung der Ausrüstung |
| 7.14 | 11.2.7 | Sichere Entsorgung oder Wiederverwendung von Geräten |
Wie hilft ISMS.online?
ISMS.Online vereinfacht die Prozess der Umsetzung ISO 27002 durch die Bereitstellung aller notwendigen Ressourcen, Informationen und Tools an einem Ort. Es ermöglicht Ihnen Erstellen Sie ein ISMS mit nur wenigen Mausklicks, was bei manueller Ausführung sonst viel Zeit in Anspruch nehmen würde.
Möchtest Du es in Aktion sehen?
Nehmen Sie noch heute Kontakt mit uns auf Demo buchen.
