מטרת הבקרה 8.4
למטרות ISO 27002, בקרה 8.4 מגדירה "קוד מקור" כקוד הבסיסי, מפרטים ותוכניות המשמשים ליצירת יישומים, תוכניות ותהליכים שהם רכושו של הארגון עצמו.
כאשר דנים בגישה לקוד המקור, Control 8.4 מייחסת מידה שווה של חשיבות לכלים התפתחותיים (מהדרים, סביבות בדיקה וכו').
ניהול קוד מקור מהווה סיכון ייחודי לכל ארגון שיש לו צורך לאחסן אותו. אלמנטים של קוד מקור קריטי עסקי כוללים נתוני ייצור, פרטי תצורה מוגנים והיבטים של ה-IP של הארגון.
שליטה 8.4 היא א בקרה מונעת זֶה משנה סיכון על ידי קביעת קבוצה של עקרונות גישה לנתונים הבסיסיים (בהתאם למערך רחב יותר של בקרות גישה של הארגון) השולטים בגישה לקריאה/כתיבה ל:
- קוד מקור
- כלים התפתחותיים
- ספריות תוכנה
טבלת בקרה של תכונות 8.4
| סוג הבקרה | מאפייני אבטחת מידע | מושגי אבטחת סייבר | יכולות מבצעיות | תחומי אבטחה |
|---|---|---|---|---|
| #מוֹנֵעַ | #סודיות | #לְהַגֵן | #ניהול זהות וגישה | #הֲגָנָה |
| #יושרה | #אבטחת יישומים | |||
| #זמינות | #תצורה מאובטחת |
בעלות על שליטה 8.4
בקרה 8.4 עוסק ביכולת של ארגון לשלוט בגישה לנתונים קריטיים לעסקים הקשורים לקוד מקור, כלי פיתוח ומידע רגיש מסחרית כגון ספריות תוכנה.
ככזה, הבעלות צריכה להיות אצל קצין אבטחת המידע הראשי (או שווה ערך ארגוני), המחזיק אחריות לאבטחת המידע והמידע הכוללת של הארגון שיטות.
ISO 27001 בקלות
יתרון של 81% מהיום הראשון
עשינו את העבודה הקשה בשבילך, ונתנו לך התחלה של 81% מרגע הכניסה. כל שעליכם לעשות הוא להשלים את החסר.
הנחיות כלליות בנושא בקרה 8.4
Control 8.4 דוגלת במערכת ניהול קוד מקור המאפשרת לארגונים לנהל באופן מרכזי את הגישה לקוד המקור ולתיקון שלהם בכל שטח ה-ICT שלו.
בקרה 8.4 מבקשת מארגונים לשקול גישה לקוד המקור באמצעות קבוצה של הרשאות קריאה ו/או כתיבה קפדניות, בהתבסס על אופי קוד המקור, מאיפה הגישה אליו ומי ניגשים אליו.
כאשר מבקשים לשלוט בגישה לקוד המקור, ארגונים צריכים:
- שליטה בגישה לקוד המקור בהתאם לנהלים שפורסמו.
- ספק גישת קריאה ו/או כתיבה לקוד המקור בשילוב עם קבוצה של דרישות עסקיות מוגדרות בבירור על בסיס כל מקרה לגופו או משתמש למשתמש.
- לדבוק בסט ברור של נהלי ניהול שינויים (ראה בקרה 8.32) בעת ניהול גישה לקוד המקור, כולל הרשאה מתאימה המבוססת על מגוון משתני גישה (סוג משתמש, מקרה עסקי וכו').
- למנוע את גישה ישירה של קוד מקור על ידי מפתחים, ובמקום זאת לספק גישה באמצעות סדרה של כלי פיתוח המספקים תצוגה מלמעלה למטה של זכויות גישה והרשאות קריאה/כתיבה.
- ספק מקום מאובטח לאחסון רשימות תוכניות והרשאות קריאה/כתיבה.
- שמור על נתיב ביקורת במקביל של כל הפעילויות הקשורות לקוד המקור, כולל חותמות זמן של גישת משתמשים ופעילויות הקשורות לשינוי.
- ודא כי נעשה שימוש בחתימות דיגיטליות עבור כל פיסת קוד שאמורה להתפרסם מחוץ לארגון.
בקרות תומכות
- 8.32
שחררו את עצמכם מהר של גיליונות אלקטרוניים
הטמע, הרחב והרחיב את תאימותך, ללא כל בלגן. IO מעניק לך את החוסן והביטחון לצמוח בצורה מאובטחת.
שינויים והבדלים מ-ISO 27002:2013
27002:2022-8.4 replaces 27002:2014-9.4.5 (גישה לקוד מקור), ומכילה שלושה הבדלים עיקריים בגישתה להקמת מערכת ניהול קוד מקור (מושג שנעדר מ-27002:2014-9.4.5)
- מתן גישת קריאה/כתיבה בהתאם לסט קפדני של דרישות עסקיות.
- הצורך לספק למפתחים גישה עקיפה לקוד המקור באמצעות סט של כלים התפתחותיים ו/או סביבות בדיקה.
- הצורך לבצע שינויים בפעילויות הגישה לקוד מקור בהתאם לנוהלי ניהול שינויים שפורסמו לאחרונה הכלולים ב-Control 8.32.
בקרות חדשות ISO 27002
| מזהה בקרה ISO/IEC 27002:2022 | מזהה בקרה ISO/IEC 27002:2013 | שם בקרה |
|---|---|---|
| 5.7 | NEW | אינטליגנציה מאיימת |
| 5.23 | NEW | אבטחת מידע לשימוש בשירותי ענן |
| 5.30 | NEW | מוכנות ICT להמשכיות עסקית |
| 7.4 | NEW | ניטור אבטחה פיזית |
| 8.9 | NEW | ניהול תצורה |
| 8.10 | NEW | מחיקת מידע |
| 8.11 | NEW | מיסוך נתונים |
| 8.12 | NEW | מניעת דליפת נתונים |
| 8.16 | NEW | פעילויות ניטור |
| 8.23 | NEW | סינון אינטרנט |
| 8.28 | NEW | קידוד מאובטח |
| מזהה בקרה ISO/IEC 27002:2022 | מזהה בקרה ISO/IEC 27002:2013 | שם בקרה |
|---|---|---|
| 6.1 | 07.1.1 | סריקה |
| 6.2 | 07.1.2 | תנאי העסקה |
| 6.3 | 07.2.2 | מודעות, חינוך והדרכה לאבטחת מידע |
| 6.4 | 07.2.3 | תהליך משמעתי |
| 6.5 | 07.3.1 | אחריות לאחר סיום או שינוי עבודה |
| 6.6 | 13.2.4 | הסכמי סודיות או סודיות |
| 6.7 | 06.2.2 | עבודה מרחוק |
| 6.8 | 16.1.2, 16.1.3 | דיווח על אירועי אבטחת מידע |
| מזהה בקרה ISO/IEC 27002:2022 | מזהה בקרה ISO/IEC 27002:2013 | שם בקרה |
|---|---|---|
| 7.1 | 11.1.1 | היקפי אבטחה פיזית |
| 7.2 | 11.1.2, 11.1.6 | כניסה פיזית |
| 7.3 | 11.1.3 | אבטחת משרדים, חדרים ומתקנים |
| 7.4 | NEW | ניטור אבטחה פיזית |
| 7.5 | 11.1.4 | הגנה מפני איומים פיזיים וסביבתיים |
| 7.6 | 11.1.5 | עבודה באזורים מאובטחים |
| 7.7 | 11.2.9 | שולחן כתיבה ברור ומסך ברור |
| 7.8 | 11.2.1 | מיקום ומיגון ציוד |
| 7.9 | 11.2.6 | אבטחת נכסים מחוץ לשטח |
| 7.10 | 08.3.1, 08.3.2, 08.3.3, 11.2.5 | אחסון מדיה |
| 7.11 | 11.2.2 | כלי עזר תומכים |
| 7.12 | 11.2.3 | אבטחת כבלים |
| 7.13 | 11.2.4 | תחזוקת ציוד |
| 7.14 | 11.2.7 | סילוק מאובטח או שימוש חוזר בציוד |
כיצד ISMS.online עוזר
ISMS.Online מפשט את תהליך היישום ISO 27002 על ידי אספקת כל המשאבים, המידע והכלים הדרושים במקום אחד. זה מאפשר לך ליצור ISMS עם לחיצות ספורות של העכבר, שאחרת ייקח זמן רב אם נעשה באופן ידני.
רוצים לראות את זה בפעולה?
צור קשר עוד היום כדי הזמן הדגמה.
