מהי ISO 27002 בקרה 8.25 ולמה זה חשוב?
בשנות ה-90 עסקים נהגו לבצע בדיקות אבטחה למוצרי ומערכות תוכנה רק בשלב הבדיקות, בשלב הסופי של מחזור החיים של פיתוח התוכנה.
כתוצאה מכך, לעתים קרובות הם לא הצליחו לזהות ולחסל פגיעויות קריטיות, באגים ופגמים.
כדי לזהות ולטפל בפרצות אבטחה בשלב מוקדם, ארגונים צריכים להטמיע שיקולי אבטחה בכל שלבי מחזור חיי הפיתוח, משלב התכנון ועד לשלב הפריסה.
בקרה 8.25 עוסקת כיצד ארגונים יכולים לקבוע וליישם כללים לבניית מוצרי תוכנה ומערכות מאובטחות.
מטרת הבקרה 8.25
Control 8.25 מאפשר לארגונים לעצב תקני אבטחת מידע וליישם תקנים אלה לאורך כל מחזור חיי הפיתוח המאובטח של מוצרי תוכנה ומערכות.
טבלת בקרה של תכונות 8.25
בקרה 8.25 היא מונעת במהותה שכן היא מחייבת ארגונים לתכנן וליישם באופן יזום כללים ובקרות השולטות בכל מחזור חיי הפיתוח של כל מוצר ומערכת תוכנה חדשים.
| סוג הבקרה | מאפייני אבטחת מידע | מושגי אבטחת סייבר | יכולות מבצעיות | תחומי אבטחה |
|---|---|---|---|---|
| #מוֹנֵעַ | #סודיות | #לְהַגֵן | #אבטחת יישומים | #הֲגָנָה |
| #יושרה | #אבטחת מערכת ורשת | |||
| #זמינות |
ISO 27001 בקלות
יתרון של 81% מהיום הראשון
עשינו את העבודה הקשה בשבילך, ונתנו לך התחלה של 81% מרגע הכניסה. כל שעליכם לעשות הוא להשלים את החסר.
בעלות על שליטה 8.25
קצין אבטחת המידע הראשי צריך להיות אחראי על יצירה, יישום ותחזוקה של כללים ואמצעים להבטחת אבטחת מחזור חיי הפיתוח.
הנחיות כלליות בנושא ציות
Control 8.25 מכיל 10 דרישות שארגונים צריכים לעמוד בהן כדי לבנות מוצרי תוכנה, מערכות וארכיטקטורה מאובטחים:
- סביבות פיתוח, בדיקה וייצור צריכות להיות מופרדות לפי בקרה 8.31.
- ארגונים צריכים לספק הנחיות לגבי:
- שיקולי אבטחה במתודולוגיית פיתוח התוכנה בהתאם לבקרה 8.27 ו-8.28.
- קידוד מאובטח לכל שפת תכנות בהתאם ל-8.28.
- ארגונים צריכים לקבוע וליישם דרישות אבטחה החלות על שלב המפרט והתכנון בהתאם לבקרה 5.8.
- ארגונים צריכים להגדיר רשימות ביקורת אבטחה עבור הפרויקטים לפי בקרה 5.8.
- ארגונים צריכים לבצע בדיקות אבטחה ומערכות כגון בדיקות חדירה וסריקת קוד בהתאם לבקרה 8.29.
- ארגונים צריכים ליצור מאגרים בטוחים המאחסנים קודי מקור ותצורה בהתאם לפקדים 8.4 ו-8.9.
- ארגונים צריכים לשמור על אבטחה בבקרת הגרסאות כפי שנקבע בבקרה 8.32.
- ארגונים צריכים להבטיח שלכל הצוות המעורב בפיתוח יש ידע מספק באבטחת יישומים ושיסופקו עם ההכשרה הדרושה כהגדרת בקרה 8.28.
- מפתחים צריכים להיות מסוגלים לזהות ולמנוע פרצות אבטחה כמפורט ב-Control 8.28.
- ארגונים צריכים לעמוד בדרישות הרישוי וצריכים להעריך את היתכנותן של שיטות עלות-יעילות חלופיות כפי שנקבע בבקרה 8.30.
יתרה מזאת, אם ארגון מוציא משימות פיתוח מסוימות לגורמים חיצוניים, עליו לוודא שהצד החיצוני יקפיד על הכללים והנהלים של הארגון לפיתוח מאובטח של תוכנה ומערכת.
הנחיות משלימות בקרה 8.25
Control 8.25 מציין שניתן לפתח מוצרי תוכנה, ארכיטקטורות ומערכות גם בתוך יישומים, מסדי נתונים או דפדפנים.
ניהול כל דרישות התאימות, הכל במקום אחד
ISMS.online תומך ביותר מ-100 תקנים ותקנות, ומעניק לך פלטפורמה אחת לכל צרכי התאימות שלך.
שינויים והבדלים מ-ISO 27002:2013
27002:2022/8.25 replace 27002:2013/(14.2.1)
בסך הכל, ישנם שני הבדלים עיקריים.
גרסת ISO 27002:2022 קובעת שתי דרישות חדשות
בעוד שגרסת 2022 דומה במידה רבה לגרסת 2013, ה-Control 8.25 מטיל שתי דרישות חדשות על ארגונים:
- ארגונים צריכים לעמוד בדרישות הרישוי וצריכים להעריך את היתכנותן של שיטות עלות-יעילות חלופיות כפי שנקבע בבקרה 8.30.
- ארגונים צריכים לבצע בדיקות אבטחה ומערכות כגון בדיקות חדירה וסריקת קוד בהתאם לבקרה 8.29.
גירסת ISO 27002:2013 מופנית במפורש לשימוש חוזר בקוד
גרסת 2013 קבעה במפורש ש-Control 14.2.1 חל הן על פיתוחים חדשים והן על שימוש חוזר בקוד. לעומת זאת, Control 8.25 לא התייחס לתרחישי שימוש חוזר בקוד.
בקרות חדשות ISO 27002
| מזהה בקרה ISO/IEC 27002:2022 | מזהה בקרה ISO/IEC 27002:2013 | שם בקרה |
|---|---|---|
| 5.7 | NEW | אינטליגנציה מאיימת |
| 5.23 | NEW | אבטחת מידע לשימוש בשירותי ענן |
| 5.30 | NEW | מוכנות ICT להמשכיות עסקית |
| 7.4 | NEW | ניטור אבטחה פיזית |
| 8.9 | NEW | ניהול תצורה |
| 8.10 | NEW | מחיקת מידע |
| 8.11 | NEW | מיסוך נתונים |
| 8.12 | NEW | מניעת דליפת נתונים |
| 8.16 | NEW | פעילויות ניטור |
| 8.23 | NEW | סינון אינטרנט |
| 8.28 | NEW | קידוד מאובטח |
| מזהה בקרה ISO/IEC 27002:2022 | מזהה בקרה ISO/IEC 27002:2013 | שם בקרה |
|---|---|---|
| 6.1 | 07.1.1 | סריקה |
| 6.2 | 07.1.2 | תנאי העסקה |
| 6.3 | 07.2.2 | מודעות, חינוך והדרכה לאבטחת מידע |
| 6.4 | 07.2.3 | תהליך משמעתי |
| 6.5 | 07.3.1 | אחריות לאחר סיום או שינוי עבודה |
| 6.6 | 13.2.4 | הסכמי סודיות או סודיות |
| 6.7 | 06.2.2 | עבודה מרחוק |
| 6.8 | 16.1.2, 16.1.3 | דיווח על אירועי אבטחת מידע |
| מזהה בקרה ISO/IEC 27002:2022 | מזהה בקרה ISO/IEC 27002:2013 | שם בקרה |
|---|---|---|
| 7.1 | 11.1.1 | היקפי אבטחה פיזית |
| 7.2 | 11.1.2, 11.1.6 | כניסה פיזית |
| 7.3 | 11.1.3 | אבטחת משרדים, חדרים ומתקנים |
| 7.4 | NEW | ניטור אבטחה פיזית |
| 7.5 | 11.1.4 | הגנה מפני איומים פיזיים וסביבתיים |
| 7.6 | 11.1.5 | עבודה באזורים מאובטחים |
| 7.7 | 11.2.9 | שולחן כתיבה ברור ומסך ברור |
| 7.8 | 11.2.1 | מיקום ומיגון ציוד |
| 7.9 | 11.2.6 | אבטחת נכסים מחוץ לשטח |
| 7.10 | 08.3.1, 08.3.2, 08.3.3, 11.2.5 | אחסון מדיה |
| 7.11 | 11.2.2 | כלי עזר תומכים |
| 7.12 | 11.2.3 | אבטחת כבלים |
| 7.13 | 11.2.4 | תחזוקת ציוד |
| 7.14 | 11.2.7 | סילוק מאובטח או שימוש חוזר בציוד |
כיצד ISMS.online עוזר
הטמעת ISO 27002 פשוטה יותר עם רשימת הבדיקה המפורטת שלנו שמנחה אותך לאורך כל התהליך. פתרון התאימות המלא שלך עבור ISO/IEC 27002:2022.
- התקדמות של עד 81% מרגע הכניסה.
- פתרון תאימות פשוט ומוחלט.
צור קשר עוד היום כדי הזמן הדגמה.
