ISO 27002:2022, Controle 8.26 – Beveiligingsvereisten voor applicaties

Eigendom van zeggenschap 8.26

De Chief Information Security Officer zou, met steun van informatiebeveiligingsspecialisten, verantwoordelijk moeten zijn voor de identificatie, goedkeuring en implementatie van informatievereisten voor de aanschaf, het gebruik en de ontwikkeling van applicaties.

Algemene richtlijnen voor naleving

In de Algemene Richtlijnen wordt opgemerkt dat organisaties a risicobeoordeling om het type informatiebeveiligingsvereisten te bepalen geschikt voor een bepaalde toepassing.

Terwijl de inhoud en soorten eisen op het gebied van informatiebeveiliging kan variëren afhankelijk van de aard van de toepassing, de vereisten moeten betrekking hebben op het volgende:

• De mate van vertrouwen die is toegewezen aan de identiteit van specifieke entiteiten in overeenstemming met Controle 5.17, 8.2 en 8.5.
• Identificatie van het classificatieniveau toegewezen aan informatiemiddelen opgeslagen of verwerkt worden door de applicatie.
• Of het nodig is om de toegang tot functies en informatie die in de applicatie zijn opgeslagen te scheiden.
• Of de applicatie nu veerkrachtig is tegen cyberaanvallen zoals SQL-injecties of onbedoelde onderscheppingen zoals bufferoverflow.
• Wettelijke, regelgevende en wettelijke vereisten en normen die van toepassing zijn op de transactie die door de applicatie wordt verwerkt, gegenereerd, opgeslagen of voltooid.
• Privacyoverwegingen voor alle betrokken partijen.
• Vereisten voor de bescherming van vertrouwelijke gegevens.
• Bescherming van informatie tijdens gebruik, onderweg of in rust.
• Of veilige encryptie van communicatie tussen alle relevante partijen is noodzakelijk.
• Implementatie van inputcontroles zoals inputvalidatie of het uitvoeren van integriteitscontroles.
• Het uitvoeren van geautomatiseerde controles.
• Het uitvoeren van outputcontroles, waarbij rekening wordt gehouden met wie outputs kan bekijken en de autorisatie voor toegang.
• Noodzaak om beperkingen op te leggen aan de inhoud van “vrije tekst”-velden om de verspreiding van vertrouwelijke gegevens op een oncontroleerbare manier te beschermen.
• Vereisten die voortkomen uit zakelijke behoeften, zoals het vastleggen van transacties en onweerlegbaarheidsvereisten.
• Eisen opgelegd door andere beveiligingsmaatregelen, zoals detectiesystemen voor datalekken.
• Hoe om te gaan met foutmeldingen.

Aanvullend richtsnoer voor transactionele diensten

Controle 8.26 vereist dat organisaties rekening houden met de volgende zeven aanbevelingen wanneer een applicatie transactionele diensten aanbiedt tussen de organisatie en een partner:

• De mate van vertrouwen die elke partij bij de transactie nodig heeft in de identiteit van de andere partij.
• De mate van vertrouwen die vereist is in de integriteit van de gegevens die worden gecommuniceerd of verwerkt en de identificatie van een geschikt mechanisme om elk gebrek aan integriteit op te sporen, inclusief hulpmiddelen zoals hashing en digitale handtekeningen.
• Opzetten van een autorisatieproces voor wie de inhoud van essentiële transactiedocumenten mag goedkeuren, ondertekenen of aftekenen.
• Het handhaven van de vertrouwelijkheid en integriteit van de kritische documenten en het bewijzen van verzending en ontvangst van dergelijke documenten.
• Het beschermen en behouden van de integriteit en vertrouwelijkheid van alle transacties, zoals bestellingen en ontvangstbewijzen.
• Vereisten gedurende welke periode transacties vertrouwelijk moeten worden gehouden.
• Contractuele vereisten en vereisten met betrekking tot verzekeringen.

Aanvullend richtsnoer voor elektronische bestel- en betalingsaanvragen

Wanneer toepassingen betalings- en elektronische bestelfunctionaliteit omvatten, moeten organisaties rekening houden met het volgende:

• Vereisten zorgen ervoor dat de vertrouwelijkheid en integriteit van bestelinformatie niet in gevaar komt.
• Het bepalen van een passende mate van verificatie om de door een klant verstrekte betalingsgegevens te verifiëren.
• Voorkomen van verlies of duplicatie van transactie-informatie.
• Ervoor zorgen dat informatie met betrekking tot informatie wordt opgeslagen buiten een publiek toegankelijke omgeving, zoals op opslagmedia op het eigen intranet van de organisatie.
• Wanneer organisaties afhankelijk zijn van een vertrouwde externe autoriteit, bijvoorbeeld voor de uitgifte van digitale handtekeningen, moeten ze ervoor zorgen dat de beveiliging in het hele proces wordt geïntegreerd.

Aanvullend richtsnoer voor netwerken

Wanneer applicaties via netwerken worden benaderd, zijn ze kwetsbaar voor bedreigingen zoals contractgeschillen, frauduleuze activiteiten, verkeerde routering, ongeoorloofde wijzigingen in de inhoud van communicatie of verlies van vertrouwelijkheid van gevoelige informatie.

Controle 8.26 beveelt organisaties aan om alomvattend te presteren risicobeoordelingen om passende controles te identificeren zoals het gebruik van cryptografie om de veiligheid van informatieoverdracht te garanderen.

Wijzigingen en verschillen ten opzichte van ISO 27002:2013

27002:2022/8.26 vervangt 27002:2013/(14.1.2 en 14.1.3)

Er zijn drie grote verschillen tussen de twee versies.

Alle applicaties versus applicaties die via openbare netwerken gaan

De ISO 27002:2013-versie vermeldde geen vereisten die van toepassing zijn op alle toepassingen: het bevatte een lijst met informatiebeveiligingsvereisten waarmee rekening moest worden gehouden voor toepassingen die via openbare netwerken gingen.

Controle 8.26 in de 2022-versie, integendeel, heeft een lijst met informatiebeveiligingsvereisten verstrekt die op alle toepassingen van toepassing zijn.

Verdere richtlijnen voor elektronische bestel- en betalingsapplicaties

Controle 8.26 in de 2022-versie bevat specifieke richtlijnen hierover Elektronische bestel- en betalingsapplicaties. In de versie van 2013 werd dit daarentegen niet behandeld.

Aanvullende vereisten voor transactionele services

Terwijl de 2022-versie en de 2013-versie vrijwel identiek zijn wat betreft de vereisten voor transactionele diensten, introduceert de 2022-versie een aanvullende vereiste die niet aan bod komt in de 2013-versie:

• Organisaties moeten rekening houden met contractuele vereisten en vereisten met betrekking tot verzekeringen.

Hoe ISMS.online helpt

ISMS.online is een cloudgebaseerde oplossing die bedrijven helpt bij het aantonen van naleving van ISO 27002. De ISMS.online-oplossing kan worden gebruikt om de vereisten van ISO 27002 en zorg ervoor dat uw organisatie compliant blijft aan de nieuwe standaard.

Ons platform is gebruiksvriendelijk en duidelijk. Het is niet alleen voor zeer technische individuen; het is voor iedereen in uw bedrijf.

Neem vandaag nog contact op met boek een demo.