Het uitbesteden van IT-systemen en softwareontwikkeling aan externe partijen heeft veel voordelen voor bedrijven, zoals lagere kosten en grotere schaalbaarheid. Deze efficiëntieverbeteringen mogen echter niet ten koste gaan van de veiligheid.
Externe dienstverleners beschikken bijvoorbeeld mogelijk niet over strikte toegangscontroles voor netwerken of passen mogelijk geen encryptie op sectorniveau toe op gegevens die in de cloud zijn opgeslagen, wat leidt tot het compromitteren van IT-systemen en softwareproducten.
Dit kan leiden tot datalekken en verlies van beschikbaarheid, vertrouwelijkheid of integriteit van informatiemiddelen.
Volgens een rapport van Trustwavespeelde outsourcing van software en IT-ontwikkeling een rol bij ruim 60% van alle datalekken.
Gezien het feit dat uitbesteding onvermijdelijk leidt tot verlies van controle over het ontwikkelingsproces en het moeilijker maakt om informatiebeveiligingseisen toe te passen en te onderhouden, moeten organisaties ervoor zorgen dat externe partijen voldoen aan de door de organisatie gestelde informatiebeveiligingseisen.
Met Control 8.30 kunnen organisaties ervoor zorgen dat de vastgestelde informatiebeveiligingseisen worden nageleefd wanneer de systeem- en softwareontwikkeling wordt uitbesteed aan externe leveranciers.
Controle 8.30 is zowel detective als preventief van aard: het vereist dat organisaties toezicht houden op en toezicht houden op alle uitbestedingsactiviteiten en ervoor zorgen dat het uitbestede ontwikkelingsproces voldoet aan de eisen op het gebied van informatiebeveiliging.
| controle Type | Eigenschappen voor informatiebeveiliging | Cyberbeveiligingsconcepten | Operationele mogelijkheden | Beveiligingsdomeinen |
|---|---|---|---|---|
| #Preventief #Detective | #Vertrouwelijkheid #Integriteit #Beschikbaarheid | #Identificeren #Beschermen #Detecteer | #Systeem- en netwerkbeveiliging #Applicatiebeveiliging #Beveiliging van leveranciersrelaties | #Governance en ecosysteem #Bescherming |
De Chief Information Security Officer moet verantwoordelijk zijn voor het vaststellen en implementeren van de noodzakelijke procedures en controles om ervoor te zorgen dat deze informatiebeveiligingsvereisten worden gecommuniceerd aan, goedgekeurd door en nageleefd door externe leveranciers.
Algemene richtlijnen benadrukken dat organisaties voortdurend moeten monitoren en verifiëren dat de levering van uitbesteed ontwikkelingswerk voldoet aan de informatiebeveiligingseisen die aan de externe dienstverlener worden opgelegd.
Control 8.30 raadt organisaties aan om bij het uitbesteden van ontwikkeling rekening te houden met de volgende elf factoren:
Voor meer gedetailleerde richtlijnen over het beheren van leveranciersrelaties kunnen organisaties ISO/IEC 27036 raadplegen.
27002:2022/8.30 replace 27002:2013/(14.2.7)
Over het geheel genomen is er geen materieel verschil tussen de twee versies.
Bedrijven kunnen ISMS.Online gebruiken om hen te helpen bij hun ISO 27002-compliance-inspanningen door hen een platform te bieden waarmee ze eenvoudig hun beveiligingsbeleid en -procedures kunnen beheren, indien nodig kunnen bijwerken, testen en hun effectiviteit kunnen monitoren.
Met ons cloudgebaseerde platform kunt u snel en eenvoudig alle aspecten van uw ISMS beheren, inclusief risicobeheer, beleid, plannen, procedures en meer, op één centrale locatie. Het platform is eenvoudig te gebruiken en heeft een intuïtieve interface waardoor u eenvoudig kunt leren hoe u het moet gebruiken.
Neem vandaag nog contact op met boek een demo.
Boek een hands-on sessie op maat
op basis van uw behoeften en doelen
Boek uw demo
| ISO/IEC 27002:2022 Controle-identificatie | ISO/IEC 27002:2013 Controle-identificatie | Controle naam |
|---|---|---|
| 5.7 | New | Bedreigingsintelligentie |
| 5.23 | New | Informatiebeveiliging voor gebruik van clouddiensten |
| 5.30 | New | ICT gereed voor bedrijfscontinuïteit |
| 7.4 | New | Fysieke beveiligingsmonitoring |
| 8.9 | New | Configuratiebeheer |
| 8.10 | New | Verwijdering van informatie |
| 8.11 | New | Gegevensmaskering |
| 8.12 | New | Preventie van gegevenslekken |
| 8.16 | New | Monitoring activiteiten |
| 8.23 | New | Web filtering |
| 8.28 | New | Veilige codering |
| ISO/IEC 27002:2022 Controle-identificatie | ISO/IEC 27002:2013 Controle-identificatie | Controle naam |
|---|---|---|
| 6.1 | 07.1.1 | Doorlichting |
| 6.2 | 07.1.2 | Arbeidsvoorwaarden |
| 6.3 | 07.2.2 | Bewustzijn, opleiding en training op het gebied van informatiebeveiliging |
| 6.4 | 07.2.3 | Disciplinair proces |
| 6.5 | 07.3.1 | Verantwoordelijkheden na beëindiging of verandering van dienstverband |
| 6.6 | 13.2.4 | Vertrouwelijkheids- of geheimhoudingsovereenkomsten |
| 6.7 | 06.2.2 | Werken op afstand |
| 6.8 | 16.1.2, 16.1.3 | Rapportage van informatiebeveiligingsgebeurtenissen |
| ISO/IEC 27002:2022 Controle-identificatie | ISO/IEC 27002:2013 Controle-identificatie | Controle naam |
|---|---|---|
| 7.1 | 11.1.1 | Fysieke veiligheidsperimeters |
| 7.2 | 11.1.2, 11.1.6 | Fysieke toegang |
| 7.3 | 11.1.3 | Beveiligen van kantoren, kamers en faciliteiten |
| 7.4 | New | Fysieke beveiligingsmonitoring |
| 7.5 | 11.1.4 | Bescherming tegen fysieke en ecologische bedreigingen |
| 7.6 | 11.1.5 | Werken in beveiligde ruimtes |
| 7.7 | 11.2.9 | Overzichtelijk bureau en helder scherm |
| 7.8 | 11.2.1 | Locatie en bescherming van apparatuur |
| 7.9 | 11.2.6 | Beveiliging van activa buiten het terrein |
| 7.10 | 08.3.1, 08.3.2, 08.3.3, 11.2.5 | Opslag media |
| 7.11 | 11.2.2 | Ondersteunende nutsvoorzieningen |
| 7.12 | 11.2.3 | Beveiliging van de bekabeling |
| 7.13 | 11.2.4 | Apparatuuronderhoud |
| 7.14 | 11.2.7 | Veilige verwijdering of hergebruik van apparatuur |
