Zorgen voor informatiebeveiliging bij uitbestede ontwikkeling: ISO 27002 Control 8.30
Het uitbesteden van IT-systemen en softwareontwikkeling aan externe partijen heeft veel voordelen voor bedrijven, zoals lagere kosten en grotere schaalbaarheid. Deze efficiëntieverbeteringen mogen echter niet ten koste gaan van de veiligheid.
Externe dienstverleners beschikken bijvoorbeeld mogelijk niet over strikte toegangscontroles voor netwerken of passen mogelijk geen encryptie op sectorniveau toe op gegevens die in de cloud zijn opgeslagen, wat leidt tot het compromitteren van IT-systemen en softwareproducten.
Dit kan leiden tot datalekken en verlies van beschikbaarheid, vertrouwelijkheid of integriteit van informatiemiddelen.
Volgens een rapport van Trustwavespeelde outsourcing van software en IT-ontwikkeling een rol bij ruim 60% van alle datalekken.
Gezien het feit dat uitbesteding onvermijdelijk leidt tot verlies van controle over het ontwikkelingsproces en het moeilijker maakt om informatiebeveiligingseisen toe te passen en te onderhouden, moeten organisaties ervoor zorgen dat externe partijen voldoen aan de door de organisatie gestelde informatiebeveiligingseisen.
Doel van de controle 8.30
Met Control 8.30 kunnen organisaties ervoor zorgen dat de vastgestelde informatiebeveiligingseisen worden nageleefd wanneer de systeem- en softwareontwikkeling wordt uitbesteed aan externe leveranciers.
Kenmerken van controle 8.30
Controle 8.30 is zowel detective als preventief van aard: het vereist dat organisaties toezicht houden op en toezicht houden op alle uitbestedingsactiviteiten en ervoor zorgen dat het uitbestede ontwikkelingsproces voldoet aan de eisen op het gebied van informatiebeveiliging.
| controle Type | Eigenschappen voor informatiebeveiliging | Cyberbeveiligingsconcepten | Operationele mogelijkheden | Beveiligingsdomeinen |
|---|---|---|---|---|
| #Preventief | #Vertrouwelijkheid | #Identificeren | #Systeem- en netwerkbeveiliging | #Governance en ecosysteem |
| #Detective | #Integriteit | #Beschermen | #Applicatiebeveiliging | #Bescherming |
| #Beschikbaarheid | #Detecteer | #Beveiliging van leveranciersrelaties |
ISO 27001 eenvoudig gemaakt
Een voorsprong van 81% vanaf dag één
Wij hebben het harde werk voor u gedaan, waardoor u vanaf het moment dat u inlogt een voorsprong van 81% heeft. U hoeft alleen nog maar de lege plekken in te vullen.
Eigendom van zeggenschap 8.30
De Chief Information Security Officer moet verantwoordelijk zijn voor het vaststellen en implementeren van de noodzakelijke procedures en controles om ervoor te zorgen dat deze informatiebeveiligingsvereisten worden gecommuniceerd aan, goedgekeurd door en nageleefd door externe leveranciers.
Algemene richtlijnen voor naleving
Algemene richtlijnen benadrukken dat organisaties voortdurend moeten monitoren en verifiëren dat de levering van uitbesteed ontwikkelingswerk voldoet aan de informatiebeveiligingseisen die aan de externe dienstverlener worden opgelegd.
Control 8.30 raadt organisaties aan om bij het uitbesteden van ontwikkeling rekening te houden met de volgende elf factoren:
- Het aangaan van overeenkomsten, inclusief licentieovereenkomsten, die betrekking hebben op het eigendom van code en intellectuele eigendomsrechten.
- Het opleggen van passende contractuele eisen voor veilig ontwerp en codering in overeenstemming met Controle 8.25 en 8.29.
- Het opzetten van een dreigingsmodel dat door externe ontwikkelaars moet worden overgenomen.
- Het uitvoeren van een acceptatietestprocedure om de kwaliteit en nauwkeurigheid van het opgeleverde werk te waarborgen.
- Bewijs dat de minimaal vereiste privacy- en beveiligingsmogelijkheden worden bereikt. Dit kan worden bereikt via assurance-rapporten.
- Het bijhouden van bewijsmateriaal van hoe voldoende tests zijn uitgevoerd om het geleverde IT-systeem of de software te beschermen tegen kwaadaardige inhoud.
- Het bijhouden van bewijs van hoe voldoende tests zijn toegepast om bescherming te bieden tegen geïdentificeerde kwetsbaarheden.
- Het opstellen van escrow-overeenkomsten die de softwarebroncode dekken. Er kan bijvoorbeeld worden ingegaan op wat er zal gebeuren als de externe leverancier failliet gaat.
- De overeenkomst met de leverancier moet het recht van de organisatie inhouden om audits uit te voeren op ontwikkelingsprocessen en -controles.
- Opstellen en implementeren van beveiligingseisen voor de ontwikkelomgeving.
- Organisaties moeten ook rekening houden met toepasselijke wetten, statuten en voorschriften.
Aanvullende begeleiding
Voor meer gedetailleerde richtlijnen over het beheren van leveranciersrelaties kunnen organisaties ISO/IEC 27036 raadplegen.
Beheer al uw compliance op één plek
ISMS.online ondersteunt meer dan 100 normen en voorschriften, waardoor u één platform krijgt voor al uw compliancebehoeften.
Wijzigingen en verschillen ten opzichte van ISO 27002:2013
27002:2022/8.30 replaces 27002:2013/(14.2.7)
Over het geheel genomen is er geen materieel verschil tussen de twee versies.
Nieuwe ISO 27002-controles
| ISO/IEC 27002:2022 Controle-identificatie | ISO/IEC 27002:2013 Controle-identificatie | Controle naam |
|---|---|---|
| 5.7 | NIEUW | Bedreigingsintelligentie |
| 5.23 | NIEUW | Informatiebeveiliging voor gebruik van clouddiensten |
| 5.30 | NIEUW | ICT gereed voor bedrijfscontinuïteit |
| 7.4 | NIEUW | Fysieke beveiligingsmonitoring |
| 8.9 | NIEUW | Configuratiebeheer |
| 8.10 | NIEUW | Verwijdering van informatie |
| 8.11 | NIEUW | Gegevensmaskering |
| 8.12 | NIEUW | Preventie van gegevenslekken |
| 8.16 | NIEUW | Monitoring activiteiten |
| 8.23 | NIEUW | Web filtering |
| 8.28 | NIEUW | Veilige codering |
| ISO/IEC 27002:2022 Controle-identificatie | ISO/IEC 27002:2013 Controle-identificatie | Controle naam |
|---|---|---|
| 6.1 | 07.1.1 | Doorlichting |
| 6.2 | 07.1.2 | Arbeidsvoorwaarden |
| 6.3 | 07.2.2 | Bewustzijn, opleiding en training op het gebied van informatiebeveiliging |
| 6.4 | 07.2.3 | Disciplinair proces |
| 6.5 | 07.3.1 | Verantwoordelijkheden na beëindiging of verandering van dienstverband |
| 6.6 | 13.2.4 | Vertrouwelijkheids- of geheimhoudingsovereenkomsten |
| 6.7 | 06.2.2 | Werken op afstand |
| 6.8 | 16.1.2, 16.1.3 | Rapportage van informatiebeveiligingsgebeurtenissen |
| ISO/IEC 27002:2022 Controle-identificatie | ISO/IEC 27002:2013 Controle-identificatie | Controle naam |
|---|---|---|
| 7.1 | 11.1.1 | Fysieke veiligheidsperimeters |
| 7.2 | 11.1.2, 11.1.6 | Fysieke toegang |
| 7.3 | 11.1.3 | Beveiligen van kantoren, kamers en faciliteiten |
| 7.4 | NIEUW | Fysieke beveiligingsmonitoring |
| 7.5 | 11.1.4 | Bescherming tegen fysieke en ecologische bedreigingen |
| 7.6 | 11.1.5 | Werken in beveiligde ruimtes |
| 7.7 | 11.2.9 | Overzichtelijk bureau en helder scherm |
| 7.8 | 11.2.1 | Locatie en bescherming van apparatuur |
| 7.9 | 11.2.6 | Beveiliging van activa buiten het terrein |
| 7.10 | 08.3.1, 08.3.2, 08.3.3, 11.2.5 | Opslag media |
| 7.11 | 11.2.2 | Ondersteunende nutsvoorzieningen |
| 7.12 | 11.2.3 | Beveiliging van de bekabeling |
| 7.13 | 11.2.4 | Apparatuuronderhoud |
| 7.14 | 11.2.7 | Veilige verwijdering of hergebruik van apparatuur |
Hoe ISMS.online helpt
Bedrijven kunnen ISMS.Online gebruiken om hen te helpen bij hun ISO 27002-compliance-inspanningen door hen een platform te bieden waarmee ze eenvoudig hun beveiligingsbeleid en -procedures kunnen beheren, indien nodig kunnen bijwerken, testen en hun effectiviteit kunnen monitoren.
Met ons cloudgebaseerde platform kunt u snel en eenvoudig alle aspecten van uw ISMS beheren, inclusief risicobeheer, beleid, plannen, procedures en meer, op één centrale locatie. Het platform is eenvoudig te gebruiken en heeft een intuïtieve interface waardoor u eenvoudig kunt leren hoe u het moet gebruiken.
Neem vandaag nog contact op met boek een demo.
