Zorgen voor veilige informatiesystemen tijdens audits: ISO 27002 Control 8.34 uitgelegd
Audittests spelen een cruciale rol bij het opsporen en elimineren van veiligheidsrisico's en kwetsbaarheden in de informatiesystemen.
De auditproces, ongeacht of deze wordt uitgevoerd in operationele, test- of ontwikkelomgevingen, kan gevoelige informatie blootstellen aan de risico's van ongeoorloofde openbaarmaking of verlies van integriteit en beschikbaarheid.
Controle 8.34 gaat over hoe organisaties de controle kunnen behouden beveiliging van informatiemiddelen tijdens audittests.
Doel van de controle 8.34
Controle 8.34 stelt organisaties in staat risico's voor de organisatie te elimineren en te beperken beveiliging van informatiesystemen en aan de continuïteit van de bedrijfsvoering door het vaststellen en toepassen van passende maatregelen en controles, zoals toegangsbeperkingen en alleen-lezen-toegangsbeperkingen.
Attributen Controletabel 8.34
Controle 8.34 is preventief van aard, omdat het de het hogere management en de auditor om audittests te plannen en overeen te komen procedures, beperkingen en controles voorafgaand aan het uitvoeren van audits.
| controle Type | Eigenschappen voor informatiebeveiliging | Cyberbeveiligingsconcepten | Operationele mogelijkheden | Beveiligingsdomeinen |
|---|---|---|---|---|
| #Preventief | #Vertrouwelijkheid | #Beschermen | #Systeem- en netwerkbeveiliging | #Governance en ecosysteem |
| #Integriteit | #Informatiebescherming | #Bescherming | ||
| #Beschikbaarheid |
ISO 27001 eenvoudig gemaakt
Een voorsprong van 81% vanaf dag één
Wij hebben het harde werk voor u gedaan, waardoor u vanaf het moment dat u inlogt een voorsprong van 81% heeft. U hoeft alleen nog maar de lege plekken in te vullen.
Eigendom van zeggenschap 8.34
de IT Het managementteam moet verantwoordelijk zijn voor het plannen en overeenkomen van auditprocedures en om de nodige maatregelen te creëren en toe te passen.
Algemene richtlijnen voor naleving
Controle 8.34 somt acht specifieke eisen op die organisaties in overweging moeten nemen:
- Passend management en de accountant moeten dat doen overeenstemming bereiken over de toegang tot systemen en informatiemiddelen.
- Overeenstemming over de reikwijdte van de uit te voeren technische audittests.
- Organisaties kunnen uitsluitend alleen-lezen toegang bieden tot informatie en software. Als het niet mogelijk is om de read-only techniek te gebruiken, kan een beheerder met de benodigde toegangsrechten namens de auditor toegang krijgen tot systemen of gegevens.
- Als een toegangsverzoek wordt geautoriseerd, moeten organisaties eerst verifiëren dat apparaten die worden gebruikt om toegang te krijgen tot systemen voldoen aan de beveiligingsvereisten voordat ze toegang verlenen.
- Alleen geïsoleerde kopieën mogen toegang krijgen van bestanden die uit het systeem zijn geëxtraheerd. Deze kopieën moeten definitief worden verwijderd zodra de audit is voltooid, tenzij er een verplichting bestaat om deze bestanden te bewaren. Als alleen-lezen toegang mogelijk is, is deze controle niet van toepassing.
- Verzoeken van auditors om speciale verwerkingen uit te voeren, zoals het inzetten van auditinstrumenten, moeten door het management worden goedgekeurd.
- Indien een audit loopt het risico de beschikbaarheid van het systeem te beïnvloedenmoet de audit buiten kantooruren worden uitgevoerd om de beschikbaarheid van informatie te behouden.
- Toegangsverzoeken gemaakt voor audits moeten worden geregistreerd voor het audittraject.
Aanvullend richtsnoer voor controle 8.34
Wanneer audits worden uitgevoerd op test- of ontwikkelomgevingen, moeten organisaties voorzichtig zijn met de volgende risico's:
- Aantasting van de integriteit van code.
- Verlies van vertrouwelijkheid van gevoelige informatie.
Beheer al uw compliance op één plek
ISMS.online ondersteunt meer dan 100 normen en voorschriften, waardoor u één platform krijgt voor al uw compliancebehoeften.
Wijzigingen en verschillen ten opzichte van ISO 27002:2013
27002:2022/8.34 replaces 27002:2013/(12.7.1)
Hoewel de versie uit 2022 in grote mate vergelijkbaar is met de versie uit 2013, zijn er twee belangrijke verschillen.
ISO 27002:2022-versie introduceert een nieuwe vereiste
De versie van 2022 introduceert de volgende vereiste waarnaar in de versie van 2013 niet werd verwezen:
Als een toegangsverzoek wordt geautoriseerd, moeten organisaties eerst verifiëren dat apparaten die worden gebruikt om toegang te krijgen tot systemen voldoen aan de beveiligingsvereisten voordat ze toegang verlenen.
Versie 2022 behandelt test- en ontwikkelomgevingen
In de Aanvullende Leidraad waarschuwt de versie van 2022 organisaties voor de veiligheidsrisico's als gevolg van audits die zijn uitgevoerd op test- en ontwikkelomgevingen. In de versie uit 2013 werd daarentegen niet verwezen naar de test- en ontwikkelomgevingen.
Nieuwe ISO 27002-controles
| ISO/IEC 27002:2022 Controle-identificatie | ISO/IEC 27002:2013 Controle-identificatie | Controle naam |
|---|---|---|
| 5.7 | NIEUW | Bedreigingsintelligentie |
| 5.23 | NIEUW | Informatiebeveiliging voor gebruik van clouddiensten |
| 5.30 | NIEUW | ICT gereed voor bedrijfscontinuïteit |
| 7.4 | NIEUW | Fysieke beveiligingsmonitoring |
| 8.9 | NIEUW | Configuratiebeheer |
| 8.10 | NIEUW | Verwijdering van informatie |
| 8.11 | NIEUW | Gegevensmaskering |
| 8.12 | NIEUW | Preventie van gegevenslekken |
| 8.16 | NIEUW | Monitoring activiteiten |
| 8.23 | NIEUW | Web filtering |
| 8.28 | NIEUW | Veilige codering |
| ISO/IEC 27002:2022 Controle-identificatie | ISO/IEC 27002:2013 Controle-identificatie | Controle naam |
|---|---|---|
| 6.1 | 07.1.1 | Doorlichting |
| 6.2 | 07.1.2 | Arbeidsvoorwaarden |
| 6.3 | 07.2.2 | Bewustzijn, opleiding en training op het gebied van informatiebeveiliging |
| 6.4 | 07.2.3 | Disciplinair proces |
| 6.5 | 07.3.1 | Verantwoordelijkheden na beëindiging of verandering van dienstverband |
| 6.6 | 13.2.4 | Vertrouwelijkheids- of geheimhoudingsovereenkomsten |
| 6.7 | 06.2.2 | Werken op afstand |
| 6.8 | 16.1.2, 16.1.3 | Rapportage van informatiebeveiligingsgebeurtenissen |
| ISO/IEC 27002:2022 Controle-identificatie | ISO/IEC 27002:2013 Controle-identificatie | Controle naam |
|---|---|---|
| 7.1 | 11.1.1 | Fysieke veiligheidsperimeters |
| 7.2 | 11.1.2, 11.1.6 | Fysieke toegang |
| 7.3 | 11.1.3 | Beveiligen van kantoren, kamers en faciliteiten |
| 7.4 | NIEUW | Fysieke beveiligingsmonitoring |
| 7.5 | 11.1.4 | Bescherming tegen fysieke en ecologische bedreigingen |
| 7.6 | 11.1.5 | Werken in beveiligde ruimtes |
| 7.7 | 11.2.9 | Overzichtelijk bureau en helder scherm |
| 7.8 | 11.2.1 | Locatie en bescherming van apparatuur |
| 7.9 | 11.2.6 | Beveiliging van activa buiten het terrein |
| 7.10 | 08.3.1, 08.3.2, 08.3.3, 11.2.5 | Opslag media |
| 7.11 | 11.2.2 | Ondersteunende nutsvoorzieningen |
| 7.12 | 11.2.3 | Beveiliging van de bekabeling |
| 7.13 | 11.2.4 | Apparatuuronderhoud |
| 7.14 | 11.2.7 | Veilige verwijdering of hergebruik van apparatuur |
Hoe ISMS.online helpt
ISO 27002 implementatie is eenvoudiger met onze stapsgewijze checklist die u door het hele proces leidt, van het definiëren van de reikwijdte van uw ISMS tot risico-identificatie en controle-implementatie.
Ons platform is intuïtief en gemakkelijk te gebruiken. Het is niet alleen voor zeer technische mensen; het is voor iedereen in uw organisatie. Wij moedigen u aan om medewerkers op alle niveaus van uw bedrijf te betrekken bij het opbouwen van uw bedrijf ISMS, omdat je daarmee een echt duurzaam systeem bouwt.
Neem vandaag nog contact op met boek een demo.
