הבטחת אבטחה מפיתוח ועד פריסה: ISO 27002 בקרה 8.29 הסבר
פושעי סייבר ממציאים כל הזמן דרכים חדשות ומשפרים את האסטרטגיות שלהם לחדור לרשתות ארגוניות ולקבל גישה לנכסי מידע רגיש.
לדוגמה, תוקפי סייבר עשויים לנצל פגיעות הקשורה למנגנון האימות בקוד המקור כדי לחדור לרשתות. יתר על כן, הם עשויים גם לנסות לתמרן את משתמשי הקצה בצד הלקוח לבצע פעולות לחדור לרשתות, לקבל גישה לנתונים או לבצע התקפות של תוכנות כופר.
אם אפליקציה, תוכנה או מערכת IT נפרסת בעולם האמיתי עם פגיעויות, הדבר יחשוף נכסי מידע רגיש לסיכון של פשרה.
לכן, ארגונים צריכים להקים וליישם הליך בדיקות אבטחה מתאים כדי לזהות ולתקן את כל הפגיעות במערכות ה-IT לפני פריסתן לעולם האמיתי.
מטרת הבקרה 8.29
בקרה 8.29 מאפשרת לארגונים לוודא שכל דרישות אבטחת המידע מתקיימות כאשר יישומים, מסדי נתונים, תוכנה או קוד חדשים מופעלים על ידי הקמת ויישום נוהל בדיקות אבטחה חזק.
זה עוזר לארגונים לזהות ולחסל פגיעויות בקוד, ברשתות, בשרתים, באפליקציות או במערכות IT אחרות לפני השימוש בהן בעולם האמיתי.
תכונות שליטה 8.29
בקרה 8.29 היא מונעת במהותה. זה מחייב ארגונים להכפיף מערכות מידע חדשות וגרסאות חדשות/עדכניות שלהן לתהליך בדיקות אבטחה לפני שהן משוחררות לסביבת הייצור.
| סוג הבקרה | מאפייני אבטחת מידע | מושגי אבטחת סייבר | יכולות מבצעיות | תחומי אבטחה |
|---|---|---|---|---|
| #מוֹנֵעַ | #סודיות | #לזהות | #אבטחת יישומים | #הֲגָנָה |
| #יושרה | #אבטחת מידע | |||
| #זמינות | #אבטחת מערכת ורשת |
ISO 27001 בקלות
יתרון של 81% מהיום הראשון
עשינו את העבודה הקשה בשבילך, ונתנו לך התחלה של 81% מרגע הכניסה. כל שעליכם לעשות הוא להשלים את החסר.
בעלות על שליטה 8.29
בהתחשב בכך שבקרה 8.29 כרוכה בהקמה, תחזוקה והטמעה של נוהל בדיקות אבטחה שיחול על כל מערכות המידע החדשות בין אם פותחו בבית ובין אם על ידי גורמים חיצוניים, קצין אבטחת המידע צריך להיות אחראי לציות.
הנחיות כלליות בנושא ציות
ארגונים צריכים לשלב בדיקות אבטחה בתהליך הבדיקה של כל המערכות ועליהם לוודא שכל מערכות המידע החדשות והגרסאות החדשות/המעודכנות שלהן עומדות בדרישות אבטחת המידע כשהן נמצאות בסביבת הייצור.
בקרה 8.29 מפרטת שלושה אלמנטים שיש לכלול בתהליך בדיקת האבטחה:
- פונקציות אבטחה כגון אימות משתמש כפי שהוגדר ב-Control 8..5, הגבלת גישה כפי שנקבעה ב-Control 8.3, והצפנה כפי שכתובה ב-Control 8.24.
- קידוד מאובטח כמתואר בבקרה 8.28.
- תצורות מאובטחות כפי שנקבע בפקדים 8.9, 8.20, 8.22. זה עשוי לכסות חומות אש ומערכות הפעלה.
מה צריכה לכלול תוכנית בדיקה?
בעת תכנון תוכניות בדיקות אבטחה, ארגונים צריכים לקחת בחשבון את רמת הקריטיות ואת אופי מערכת המידע הקיימת.
תוכנית בדיקת האבטחה צריכה לכסות את הדברים הבאים:
- קביעת לוח זמנים מפורט לפעילויות ולבדיקות שייערכו.
- תשומות ותפוקות צפויות להתרחש בסט נתון של תנאים.
- קריטריונים להערכת התוצאות.
- במידת הצורך, החלטות לנקוט בפעולות על סמך התוצאות.
שחררו את עצמכם מהר של גיליונות אלקטרוניים
הטמע, הרחב והרחיב את תאימותך, ללא כל בלגן. IO מעניק לך את החוסן והביטחון לצמוח בצורה מאובטחת.
פיתוח פנימי
כאשר מערכות IT מפותחות על ידי צוות הפיתוח הפנימי, צוות זה צריך לבצע את בדיקות האבטחה הראשוניות כדי לוודא שמערכת ה-IT עומדת בדרישות האבטחה.
לאחר מכן יש לעקוב אחר בדיקה ראשונית זו בבדיקת קבלה של עצמאות בהתאם לבקרה 5.8.
ביחס לפיתוח הביתי, יש לקחת בחשבון את הדברים הבאים:
- ביצוע פעילויות סקירת קוד כדי לזהות ולחסל פגמי אבטחה, לרבות תשומות ותנאים צפויים.
- ביצוע סריקת פגיעות לאיתור תצורות לא מאובטחות ופגיעות אחרות.
- ביצוע בדיקות חדירה לאיתור קוד ועיצוב לא מאובטחים.
מיקור חוץ
ארגונים צריכים לעקוב אחר תהליך רכישה קפדני כאשר הם מיקור חוץ לפיתוח או כאשר הם רוכשים רכיבי IT מגורמים חיצוניים.
ארגונים צריכים להתקשר בהסכם עם הספקים שלהם והסכם זה צריך להתייחס לדרישות אבטחת המידע כפי שנקבע בבקרה 5.20.
יתר על כן, ארגונים צריכים לוודא שהמוצרים והשירותים שהם רוכשים עומדים בתקני אבטחת המידע.
הנחיות משלימות בקרה 8.29
ארגונים יכולים ליצור סביבות בדיקה מרובות כדי לבצע בדיקות שונות כגון בדיקות פונקציונליות, לא פונקציונליות ובדיקות ביצועים.
יתר על כן, הם יכולים ליצור סביבות בדיקה וירטואליות ולאחר מכן להגדיר את הסביבות הללו כדי לבדוק את מערכות ה-IT בהגדרות תפעוליות שונות.
Control 8.29 מציין גם שבדיקות אבטחה אפקטיביות מחייבות ארגונים לבדוק ולנטר את סביבות הבדיקה, הכלים והטכנולוגיות.
לבסוף, ארגונים צריכים לקחת בחשבון את רמת הרגישות והקריטיות של הנתונים בעת קביעת מספר השכבות של מטא-בדיקות.
ניהול כל דרישות התאימות, הכל במקום אחד
ISMS.online תומך ביותר מ-100 תקנים ותקנות, ומעניק לך פלטפורמה אחת לכל צרכי התאימות שלך.
שינויים והבדלים מ-ISO 27002:2013
27002:2022/8.29 מחליף את 27002:2013/(14.2.8 ו-14.2.9)
שינויים מבניים
בעוד שגרסת 2022 מתייחסת לבדיקות מאובטחות תחת בקרת יחידה אחת, גרסת 2013 התייחסה לבדיקות מאובטחות בשני פקדים נפרדים; בדיקת אבטחת מערכת בבקרה 14.2.8 ובדיקת קבלת מערכת בבקרה 14.2.9
בקרה 8.29 מביאה דרישות מקיפות יותר
בניגוד לגרסת 2013, גרסת 2022 כוללת דרישות והמלצות מפורטות יותר בנושאים הבאים:
- תוכנית בדיקות אבטחה ומה היא צריכה לכלול.
- קריטריונים לבדיקות אבטחה לפיתוח פנימי של מערכות IT.
- תהליך בדיקת אבטחה ומה הוא צריך לכלול.
- שימוש בסביבות בדיקה מרובות.
גרסת 2013 הייתה מפורטת יותר ביחס לבדיקות קבלה
בניגוד לגרסת 2022, גרסת 2013 הייתה יותר מחייבת עבור בדיקות קבלת המערכת. הוא כלל דרישות כמו בדיקות אבטחה על רכיבים שהתקבלו ושימוש בכלים אוטומטיים.
בקרות חדשות ISO 27002
| מזהה בקרה ISO/IEC 27002:2022 | מזהה בקרה ISO/IEC 27002:2013 | שם בקרה |
|---|---|---|
| 5.7 | NEW | אינטליגנציה מאיימת |
| 5.23 | NEW | אבטחת מידע לשימוש בשירותי ענן |
| 5.30 | NEW | מוכנות ICT להמשכיות עסקית |
| 7.4 | NEW | ניטור אבטחה פיזית |
| 8.9 | NEW | ניהול תצורה |
| 8.10 | NEW | מחיקת מידע |
| 8.11 | NEW | מיסוך נתונים |
| 8.12 | NEW | מניעת דליפת נתונים |
| 8.16 | NEW | פעילויות ניטור |
| 8.23 | NEW | סינון אינטרנט |
| 8.28 | NEW | קידוד מאובטח |
| מזהה בקרה ISO/IEC 27002:2022 | מזהה בקרה ISO/IEC 27002:2013 | שם בקרה |
|---|---|---|
| 6.1 | 07.1.1 | סריקה |
| 6.2 | 07.1.2 | תנאי העסקה |
| 6.3 | 07.2.2 | מודעות, חינוך והדרכה לאבטחת מידע |
| 6.4 | 07.2.3 | תהליך משמעתי |
| 6.5 | 07.3.1 | אחריות לאחר סיום או שינוי עבודה |
| 6.6 | 13.2.4 | הסכמי סודיות או סודיות |
| 6.7 | 06.2.2 | עבודה מרחוק |
| 6.8 | 16.1.2, 16.1.3 | דיווח על אירועי אבטחת מידע |
| מזהה בקרה ISO/IEC 27002:2022 | מזהה בקרה ISO/IEC 27002:2013 | שם בקרה |
|---|---|---|
| 7.1 | 11.1.1 | היקפי אבטחה פיזית |
| 7.2 | 11.1.2, 11.1.6 | כניסה פיזית |
| 7.3 | 11.1.3 | אבטחת משרדים, חדרים ומתקנים |
| 7.4 | NEW | ניטור אבטחה פיזית |
| 7.5 | 11.1.4 | הגנה מפני איומים פיזיים וסביבתיים |
| 7.6 | 11.1.5 | עבודה באזורים מאובטחים |
| 7.7 | 11.2.9 | שולחן כתיבה ברור ומסך ברור |
| 7.8 | 11.2.1 | מיקום ומיגון ציוד |
| 7.9 | 11.2.6 | אבטחת נכסים מחוץ לשטח |
| 7.10 | 08.3.1, 08.3.2, 08.3.3, 11.2.5 | אחסון מדיה |
| 7.11 | 11.2.2 | כלי עזר תומכים |
| 7.12 | 11.2.3 | אבטחת כבלים |
| 7.13 | 11.2.4 | תחזוקת ציוד |
| 7.14 | 11.2.7 | סילוק מאובטח או שימוש חוזר בציוד |
כיצד ISMS.online עוזר
ISMS.online מייעל את תהליך ההטמעה של ISO 27002 על ידי מתן מסגרת מתוחכמת מבוססת ענן לתיעוד נהלי מערכת ניהול אבטחת מידע ורשימות ביקורת כדי להבטיח עמידה בתקנים מוכרים.
צרו קשר ו הזמן הדגמה.
