ISO 27002:2022 – Controle 8.25 – Levenscyclus van veilige ontwikkeling

Wat is ISO 27002 Control 8.25 en waarom is het belangrijk?

In de jaren negentig voerden bedrijven beveiligingstests voor softwareproducten en -systemen alleen uit tijdens de testfase, in de laatste fase van de levenscyclus van softwareontwikkeling.

Als gevolg hiervan slaagden ze er vaak niet in kritieke kwetsbaarheden, bugs en gebreken te detecteren en te elimineren.

Om beveiligingskwetsbaarheden in een vroeg stadium te identificeren en aan te pakken, moeten organisaties beveiligingsoverwegingen integreren in alle fasen van de ontwikkelingslevenscyclus, van de planning tot de implementatiefase.

Controle 8.25 gaat over hoe organisaties regels kunnen opstellen en implementeren om veilige softwareproducten en -systemen te bouwen.

Doel van de controle 8.25

Control 8.25 stelt organisaties in staat informatiebeveiligingsstandaarden te ontwerpen en deze standaarden toe te passen gedurende de gehele veilige ontwikkelingslevenscyclus van softwareproducten en -systemen.

Attributen Controletabel 8.25

Control 8.25 is preventief van aard, omdat het van organisaties vereist dat zij proactief regels en controles ontwerpen en implementeren die de gehele ontwikkelingslevenscyclus van elk nieuw softwareproduct en -systeem bepalen.

Eigendom van zeggenschap 8.25

De Chief Information Security Officer moet verantwoordelijk zijn voor het opstellen, implementeren en onderhouden van regels en maatregelen om de veiligheid van de ontwikkelingslevenscyclus te waarborgen.

Algemene richtlijnen voor naleving

Controle 8.25 bevat 10 vereisten waaraan organisaties moeten voldoen om veilige softwareproducten, systemen en architectuur te bouwen:

1. Ontwikkelings-, test- en productieomgevingen moeten gescheiden zijn volgens Controle 8.31.
2. Organisaties moeten richtlijnen geven over:
• Beveiligingsoverwegingen in de softwareontwikkelmethodologie in overeenstemming met Controle 8.27 en 8.28.
• Veilige codering voor elke programmeertaal conform 8.28.
3. Organisaties moeten beveiligingseisen vaststellen en implementeren die van toepassing zijn op de specificatie- en ontwerpfase in overeenstemming met Controle 5.8.
4. Organisaties moeten beveiligingschecklists voor de projecten definiëren volgens Controle 5.8.
5. Organisaties moeten beveiligings- en systeemtests uitvoeren, zoals penetratietests en het scannen van codes, in overeenstemming met Controle 8.29.
6. Organisaties moeten veilige opslagplaatsen creëren waarin broncodes en configuraties worden opgeslagen in overeenstemming met Controles 8.4 en 8.9.
7. Organisaties dienen de beveiliging van het versiebeheer te handhaven zoals voorgeschreven in Controle 8.32.
8. Organisaties moeten ervoor zorgen dat al het personeel dat betrokken is bij de ontwikkeling over voldoende kennis van applicatiebeveiliging beschikt en de nodige training krijgt, zoals gedefinieerd in Controle 8.28.
9. Ontwikkelaars moeten in staat zijn beveiligingsproblemen te identificeren en te voorkomen, zoals uiteengezet in Controle 8.28.
10. Organisaties moeten voldoen aan de vergunningseisen en moeten de haalbaarheid van alternatieve kosteneffectieve methoden evalueren, zoals voorgeschreven in Controle 8.30.

Als een organisatie bepaalde ontwikkeltaken uitbesteedt aan externe partijen, moet zij er bovendien voor zorgen dat de externe partij zich houdt aan de regels en procedures van de organisatie voor het veilig ontwikkelen van software en systemen.

Aanvullend richtsnoer voor controle 8.25

Control 8.25 merkt op dat softwareproducten, architecturen en systemen ook binnen applicaties, databases of browsers kunnen worden ontwikkeld.

Wijzigingen en verschillen ten opzichte van ISO 27002:2013

27002:2022/8.25 replace 27002:2013/(14.2.1)

Over het geheel genomen zijn er twee belangrijke verschillen.

De ISO 27002:2022-versie stelt twee nieuwe eisen

Hoewel de 2022-versie in grote mate vergelijkbaar is met de 2013-versie, legt Control 8.25 twee nieuwe eisen op aan organisaties:

• Organisaties moeten voldoen aan de vergunningseisen en moeten de haalbaarheid van alternatieve kosteneffectieve methoden evalueren, zoals voorgeschreven in Controle 8.30.
• Organisaties moeten beveiligings- en systeemtests uitvoeren, zoals penetratietests en het scannen van codes, in overeenstemming met Controle 8.29.

De ISO 27002:2013-versie verwees expliciet naar hergebruik van de code

In de versie uit 2013 werd expliciet vermeld dat de Controle 14.2.1 van toepassing is op zowel nieuwe ontwikkelingen als op hergebruik van code. Daarentegen verwees Control 8.25 niet naar scenario's voor hergebruik van code.

Nieuwe ISO 27002-controles

Hoe ISMS.online helpt

De implementatie van ISO 27002 is eenvoudiger met onze stapsgewijze checklist die u door het hele proces leidt. Uw complete compliance-oplossing voor ISO/IEC 27002:2022.

• Tot 81% voortgang vanaf het moment dat u inlogt.
• Eenvoudige en totale compliance-oplossing.

Neem vandaag nog contact op met boek een demo.