ISO 27001:2022 Bijlage A 8.26 – Beveiligingsvereisten voor applicaties

• Bekijk ISO 27002:2022 Controle 8.26 voor meer informatie.
• Bekijk ISO 27001:2013 Bijlage A 14.1.2 voor meer informatie.
• Bekijk ISO 27001:2013 Bijlage A 14.1.3 voor meer informatie.

Begrijpen van ISO 27001:2022 Bijlage A 8.26 – Essentiële aspecten van applicatiebeveiliging

Applicatiesoftware zoals webapps, grafische programma's, databases en betalingsverwerking zijn essentieel voor veel bedrijfsactiviteiten.

Applicaties zijn vaak kwetsbaar voor beveiligingsproblemen die kunnen leiden tot het blootleggen van vertrouwelijke gegevens.

Het Amerikaanse kredietbureau Equifax verzuimde bijvoorbeeld een beveiligingspatch toe te passen op het webapplicatieframework dat zij gebruikten om klachten van klanten te beheren. Deze verwaarlozing stelde cyberaanvallers in staat de zwakke punten in de beveiliging van de webapplicatie te misbruiken, de bedrijfsnetwerken van Equifax te infiltreren en gevoelige informatie van ongeveer 145 miljoen mensen te stelen.

ISO 27001:2022 Annex A 8.26 schetst hoe organisaties deze kunnen implementeren en implementeren informatiebeveiliging vereisten voor applicaties tijdens de ontwikkeling, het gebruik en de aanschaf ervan. Het zorgt ervoor dat beveiligingsmaatregelen worden geïntegreerd in de levenscyclus van applicaties.

Doel van ISO 27001:2022 Bijlage A 8.26

ISO 27001:2022 Bijlage A 8.26 staat organisaties toe hun data-assets die zijn opgeslagen op of verwerkt door applicaties te verdedigen door middel van de herkenning en toepassing van passende informatiebeveiligingsspecificaties.

Eigendom van bijlage A 8.26

De Chief Information Security Officer, ondersteund door informatiebeveiligingsexperts, moet de identificatie, goedkeuring en implementatie van informatie-eisen met betrekking tot de verwerving, het gebruik en de ontwikkeling van applicaties op zich nemen.

Algemene richtlijn voor ISO 27001:2022 bijlage A 8.26 Naleving

Organisaties moeten een risicobeoordeling uitvoeren om de noodzakelijke informatiebeveiligingseisen voor een bepaalde toepassing vast te stellen.

De inhoud en typen informatiebeveiligingsvereisten kunnen verschillen afhankelijk van de toepassing, maar deze moeten betrekking hebben op:

• Gebaseerd op ISO 27001:2022 bijlage A 5.17, 8.2 en 8.5, het niveau van vertrouwen dat wordt toegewezen aan de identiteit van een specifieke entiteit.
• De classificatie van de informatiemiddelen die door de software moeten worden opgeslagen of verwerkt, moet worden geïdentificeerd.
• Is het nodig om de toegang tot functies en gegevens die in de app zijn opgeslagen te scheiden?
• Beoordeel of de applicatie robuust is tegen cyberpenetraties zoals SQL-injecties of onbedoelde onderscheppingen zoals bufferoverflow.
• Juridisch gezien moet aan regelgevende en wettelijke vereisten en normen worden voldaan bij het omgaan met transacties die door de app worden verwerkt, gegenereerd, opgeslagen of voltooid.
• Privacy is van het grootste belang voor alle betrokkenen.
• Het is essentieel dat vertrouwelijke gegevens worden beschermd.
• Het garanderen van de veiligheid van informatie wanneer deze wordt gebruikt, overgedragen of opgeslagen, is van het allergrootste belang.
• Het is essentieel dat alle relevante partijen dit hebben gedaan veilige encryptie van hun communicatie indien nodig.
• Het implementeren van inputcontroles, zoals het valideren van input en het uitvoeren van integriteitscontroles, garandeert nauwkeurigheid.
• Het uitvoeren van geautomatiseerde controles.
• Ervoor zorgen dat bij de uitvoercontrole rekening wordt gehouden met toegangsrechten en wie de uitvoer kan bekijken.
• Het is essentieel om beperkingen op te leggen aan wat kan worden opgenomen in “vrije tekst”-velden om te waken tegen de onbedoelde verspreiding van vertrouwelijke informatie.
• Regelgevingsvereisten, zoals die voor het vastleggen van transacties en onweerlegbaarheid.
• Voor andere beveiligingscontroles kan het nodig zijn dat aan specifieke vereisten wordt voldaan; bijvoorbeeld detectiesystemen voor datalekken.
• Hoe uw organisatie omgaat met foutmeldingen.

Richtlijnen voor transactionele diensten

ISO 27001:2022 Annex A 8.26 vereist dat organisaties de volgende zeven aanbevelingen in overweging nemen bij het aanbieden van transactionele diensten tussen henzelf en een partner:

• De mate van vertrouwen die elke partij moet hebben in de identiteit van de ander is essentieel bij elke transactie.
• De betrouwbaarheid van de verzonden of verwerkte gegevens moet worden gewaarborgd, en er moet een geschikt systeem worden geïdentificeerd om eventuele integriteitstekorten, inclusief hashing en digitale handtekeningen, te herkennen.
• Het bedrijf moet een systeem opzetten om te bepalen wie bevoegd is om cruciale transactiedocumenten goed te keuren, te ondertekenen en af ​​te tekenen.
• Het waarborgen van de geheimhouding en nauwkeurigheid van essentiële documenten, en het verifiëren van de verzending en ontvangst van genoemde documenten.
• Met behoud van de vertrouwelijkheid en nauwkeurigheid van transacties, kunnen dit bestellingen en facturen zijn.
• Vereisten over hoe transacties gedurende een bepaalde periode vertrouwelijk moeten blijven.
• Er moet aan contractuele verplichtingen en verzekeringsvereisten worden voldaan.

Richtlijnen voor elektronische bestel- en betalingsapplicaties

Organisaties moeten rekening houden met het volgende bij het integreren van betalings- en elektronische bestelmogelijkheden in applicaties:

• Het waarborgen van de vertrouwelijkheid en integriteit van bestelinformatie is essentieel.
• Het vaststellen van een passend bevestigingsniveau voor het bevestigen van de door een klant verstrekte betalingsinformatie.
• Voorkom het verkeerd plaatsen of repliceren van transactiegegevens.
• Zorg ervoor dat informatie met betrekking tot informatie buiten een openbaar beschikbaar gebied wordt gehouden, bijvoorbeeld een opslagmedium op het intranet van de organisatie.
• Wanneer een organisatie afhankelijk is van een externe autoriteit om digitale handtekeningen uit te geven, moet zij ervoor zorgen dat de beveiliging in het hele proces wordt geïntegreerd.

Richtlijnen voor netwerken

Wanneer applicaties via netwerken worden benaderd, kunnen ze worden blootgesteld aan contractuele meningsverschillen, frauduleus gedrag, misleiding, niet-goedgekeurde wijzigingen in de inhoud van de communicatie of kan de vertrouwelijkheid van gevoelige gegevens worden geschonden.

ISO 27001:2022 Annex A 8.26 adviseert organisaties om grondige risicobeoordelingen uit te voeren om geschikte controles, zoals cryptografie, te identificeren om de veiligheid van informatieoverdracht te beschermen.

Wijzigingen en verschillen ten opzichte van ISO 27001:2013

ISO 27001:2022 Bijlage A 8.26 vervangt ISO 27001:2013 bijlage A 14.1.2 en 14.1.3 in de herziene norm uit 2022.

Er zijn drie belangrijke verschillen tussen de twee versies.

Alle applicaties versus applicaties die via openbare netwerken gaan

ISO 27001:2013 schetst een lijst met informatiebeveiligingsvereisten waarmee rekening moet worden gehouden voor toepassingen die via openbare netwerken moeten worden verzonden.

ISO 27001:2022 Annex A 8.26 geeft daarentegen een lijst met informatiebeveiligingseisen die op alle toepassingen van toepassing zijn.

Verdere richtlijnen voor elektronische bestel- en betalingsapplicaties

ISO 27001:2022 bijlage A 8.26 biedt specifieke richtlijnen voor elektronische bestel- en betalingstoepassingen, iets dat in de versie van 2013 niet aan bod kwam.

Vereisten voor transactionele services

Terwijl de editie van 2022 en de editie van 2013 vrijwel hetzelfde zijn wat betreft de vereisten voor transactionele diensten, introduceert de editie van 2022 een extra eis waarmee in de editie van 2013 geen rekening is gehouden:

• Organisaties moeten rekening houden met contractuele verplichtingen en verzekeringsbepalingen.

Tabel met alle ISO 27001:2022 bijlage A-controles

In de onderstaande tabel vindt u meer informatie over elk individu ISO 27001:2022 bijlage A Controle.

Hoe ISMS.online helpt

ISMS.online is een cloudgebaseerd systeem die organisaties helpt bij het aantonen van afstemming op ISO 27001:2022. Met dit systeem kunt u toezicht houden op de ISO 27001-eisen, zodat uw organisatie aan de norm blijft voldoen.

Onze platform is gebruiksvriendelijk en voor iedereen toegankelijk. Het vereist geen complexe technische kennis; iedereen binnen uw bedrijf kan er gebruik van maken.

Neem nu contact met ons op een demonstratie plannen.