ISO 27002:2022, Controle 8.34 – Bescherming van informatiesystemen tijdens audittests

Eigendom van zeggenschap 8.34

de IT Het managementteam moet verantwoordelijk zijn voor het plannen en overeenkomen van auditprocedures en om de nodige maatregelen te creëren en toe te passen.

Algemene richtlijnen voor naleving

Controle 8.34 somt acht specifieke eisen op die organisaties in overweging moeten nemen:

1. Passend management en de accountant moeten dat doen overeenstemming bereiken over de toegang tot systemen en informatiemiddelen.
2. Overeenstemming over de reikwijdte van de uit te voeren technische audittests.
3. Organisaties kunnen uitsluitend alleen-lezen toegang bieden tot informatie en software. Als het niet mogelijk is om de read-only techniek te gebruiken, kan een beheerder met de benodigde toegangsrechten namens de auditor toegang krijgen tot systemen of gegevens.
4. Als een toegangsverzoek wordt geautoriseerd, moeten organisaties eerst verifiëren dat apparaten die worden gebruikt om toegang te krijgen tot systemen voldoen aan de beveiligingsvereisten voordat ze toegang verlenen.
5. Alleen geïsoleerde kopieën mogen toegang krijgen van bestanden die uit het systeem zijn geëxtraheerd. Deze kopieën moeten definitief worden verwijderd zodra de audit is voltooid, tenzij er een verplichting bestaat om deze bestanden te bewaren. Als alleen-lezen toegang mogelijk is, is deze controle niet van toepassing.
6. Verzoeken van auditors om speciale verwerkingen uit te voeren, zoals het inzetten van auditinstrumenten, moeten door het management worden goedgekeurd.
7. Indien een audit loopt het risico de beschikbaarheid van het systeem te beïnvloedenmoet de audit buiten kantooruren worden uitgevoerd om de beschikbaarheid van informatie te behouden.
8. Toegangsverzoeken gemaakt voor audits moeten worden geregistreerd voor het audittraject.

Aanvullend richtsnoer voor controle 8.34

Wanneer audits worden uitgevoerd op test- of ontwikkelomgevingen, moeten organisaties voorzichtig zijn met de volgende risico's:

• Aantasting van de integriteit van code.
• Verlies van vertrouwelijkheid van gevoelige informatie.

Wijzigingen en verschillen ten opzichte van ISO 27002:2013

27002:2022/8.34 replace 27002:2013/(12.7.1)

Hoewel de versie uit 2022 in grote mate vergelijkbaar is met de versie uit 2013, zijn er twee belangrijke verschillen.

ISO 27002:2022-versie introduceert een nieuwe vereiste

De versie van 2022 introduceert de volgende vereiste waarnaar in de versie van 2013 niet werd verwezen:

Als een toegangsverzoek wordt geautoriseerd, moeten organisaties eerst verifiëren dat apparaten die worden gebruikt om toegang te krijgen tot systemen voldoen aan de beveiligingsvereisten voordat ze toegang verlenen.

Versie 2022 behandelt test- en ontwikkelomgevingen

In de Aanvullende Leidraad waarschuwt de versie van 2022 organisaties voor de veiligheidsrisico's als gevolg van audits die zijn uitgevoerd op test- en ontwikkelomgevingen. In de versie uit 2013 werd daarentegen niet verwezen naar de test- en ontwikkelomgevingen.

Hoe ISMS.online helpt

ISO 27002 implementatie is eenvoudiger met onze stapsgewijze checklist die u door het hele proces leidt, van het definiëren van de reikwijdte van uw ISMS tot risico-identificatie en controle-implementatie.

Ons platform is intuïtief en gemakkelijk te gebruiken. Het is niet alleen voor zeer technische mensen; het is voor iedereen in uw organisatie. Wij moedigen u aan om medewerkers op alle niveaus van uw bedrijf te betrekken bij het opbouwen van uw bedrijf ISMS, omdat je daarmee een echt duurzaam systeem bouwt.

Neem vandaag nog contact op met boek een demo.