Doel van de controle 8.4
In het kader van ISO 27002 definieert controlepunt 8.4 "broncode" als de onderliggende code, specificaties en plannen die worden gebruikt om applicaties, programma's en processen te creëren die eigendom zijn van de organisatie zelf.
Bij het bespreken van de toegang tot de broncode hecht Control 8.4 evenveel belang aan ontwikkelingstools (compilers, testomgevingen enz.).
Het beheren van broncode vormt een uniek risico voor elke organisatie die deze moet opslaan. Bedrijfskritische broncode kan onder andere productiedata, beschermde configuratiegegevens en aspecten van het intellectuele eigendom van een organisatie bevatten.
Controle 8.4 is een preventieve controle die het risico beperkt door een reeks onderliggende principes voor gegevenstoegang vast te stellen (in overeenstemming met de bredere toegangsbeheerregels van een organisatie) die de lees-/schrijftoegang tot de volgende gegevens regelen:
- Broncode
- Ontwikkelingshulpmiddelen
- Softwarebibliotheken
Attributen Controletabel 8.4
| controle Type | Eigenschappen voor informatiebeveiliging | Cyberbeveiligingsconcepten | Operationele mogelijkheden | Beveiligingsdomeinen |
|---|---|---|---|---|
| #Preventief | #Vertrouwelijkheid | #Beschermen | #Identiteits- en toegangsbeheer | #Bescherming |
| #Integriteit | #Applicatiebeveiliging | |||
| #Beschikbaarheid | #Veilige configuratie |
Eigendom van zeggenschap 8.4
Controle 8.4 gaat over het vermogen van een organisatie om de toegang te controleren tot bedrijfskritische gegevens met betrekking tot broncode, ontwikkelingstools en commercieel gevoelige informatie zoals softwarebibliotheken.
De verantwoordelijkheid hiervoor moet daarom bij de Chief Information Security Officer (of een gelijkwaardige functionaris binnen de organisatie) liggen, die de algehele informatie- en gegevensbeveiligingspraktijken van de organisatie beheert.
ISO 27001 eenvoudig gemaakt
Een voorsprong van 81% vanaf dag één
Wij hebben het harde werk voor u gedaan, waardoor u vanaf het moment dat u inlogt een voorsprong van 81% heeft. U hoeft alleen nog maar de lege plekken in te vullen.
Algemene richtlijnen voor controle 8.4
Control 8.4 pleit voor een broncodebeheersysteem waarmee organisaties de toegang tot en het wijzigen van de broncode binnen hun gehele ICT-domein centraal kunnen beheren.
Control 8.4 vraagt organisaties om toegang tot de broncode te overwegen op basis van een reeks strikte lees- en/of schrijfrechten, gebaseerd op de aard van de broncode, waar vandaan deze wordt benaderd en wie er toegang toe heeft.
Wanneer organisaties de toegang tot de broncode willen controleren, moeten zij:
- Beheer de toegang tot de broncode in overeenstemming met gepubliceerde procedures.
- Bied lees- en/of schrijftoegang tot de broncode in combinatie met een reeks duidelijk gedefinieerde zakelijke vereisten, geval per geval of per gebruiker.
- Houd u aan een duidelijke reeks verandermanagementprocedures (zie Controle 8.32) bij het beheren van de toegang tot de broncode, inclusief de juiste autorisatie op basis van een reeks toegangsvariabelen (gebruikerstype, businesscase enz.).
- Voorkom de directe toegang van de broncode door ontwikkelaars, en bieden in plaats daarvan toegang via een reeks ontwikkelingstools die een top-down overzicht bieden van toegangsrechten en lees-/schrijfrechten.
- Zorg voor een veilige ruimte om programmaoverzichten en lees-/schrijfrechten op te slaan.
- Houd een gelijktijdige audittrail bij van alle broncodegerelateerde activiteiten, inclusief tijdstempels voor gebruikerstoegang en wijzigingsgerelateerde activiteiten.
- Zorg ervoor dat digitale handtekeningen worden gebruikt voor elk stukje code dat buiten de organisatie wordt gepubliceerd.
Ondersteunende controles
- 8.32
Bevrijd jezelf van een berg spreadsheets
Integreer, breid uit en schaal uw compliance, zonder rommel. IO geeft u de veerkracht en het vertrouwen om veilig te groeien.
Wijzigingen en verschillen ten opzichte van ISO 27002:2013
27002:2022-8.4 vervangt 27002:2014-9.4.5 (Toegang tot broncode) en bevat drie belangrijke verschillen in de aanpak voor het opzetten van een broncodebeheersysteem (een concept dat ontbreekt in 27002:2014-9.4.5).
- Het bieden van lees-/schrijftoegang volgens een strikte reeks zakelijke vereisten.
- De noodzaak om ontwikkelaars indirecte toegang tot de broncode te bieden via een reeks ontwikkelingstools en/of testomgevingen.
- De noodzaak om wijzigingen uit te voeren in de toegang tot broncodeactiviteiten in overeenstemming met de nieuw gepubliceerde procedures voor wijzigingsbeheer die zijn opgenomen in Controle 8.32.
Nieuwe ISO 27002-controles
| ISO/IEC 27002:2022 Controle-identificatie | ISO/IEC 27002:2013 Controle-identificatie | Controle naam |
|---|---|---|
| 5.7 | NIEUW | Bedreigingsintelligentie |
| 5.23 | NIEUW | Informatiebeveiliging voor gebruik van clouddiensten |
| 5.30 | NIEUW | ICT gereed voor bedrijfscontinuïteit |
| 7.4 | NIEUW | Fysieke beveiligingsmonitoring |
| 8.9 | NIEUW | Configuratiebeheer |
| 8.10 | NIEUW | Verwijdering van informatie |
| 8.11 | NIEUW | Gegevensmaskering |
| 8.12 | NIEUW | Preventie van gegevenslekken |
| 8.16 | NIEUW | Monitoring activiteiten |
| 8.23 | NIEUW | Web filtering |
| 8.28 | NIEUW | Veilige codering |
| ISO/IEC 27002:2022 Controle-identificatie | ISO/IEC 27002:2013 Controle-identificatie | Controle naam |
|---|---|---|
| 6.1 | 07.1.1 | Doorlichting |
| 6.2 | 07.1.2 | Arbeidsvoorwaarden |
| 6.3 | 07.2.2 | Bewustzijn, opleiding en training op het gebied van informatiebeveiliging |
| 6.4 | 07.2.3 | Disciplinair proces |
| 6.5 | 07.3.1 | Verantwoordelijkheden na beëindiging of verandering van dienstverband |
| 6.6 | 13.2.4 | Vertrouwelijkheids- of geheimhoudingsovereenkomsten |
| 6.7 | 06.2.2 | Werken op afstand |
| 6.8 | 16.1.2, 16.1.3 | Rapportage van informatiebeveiligingsgebeurtenissen |
| ISO/IEC 27002:2022 Controle-identificatie | ISO/IEC 27002:2013 Controle-identificatie | Controle naam |
|---|---|---|
| 7.1 | 11.1.1 | Fysieke veiligheidsperimeters |
| 7.2 | 11.1.2, 11.1.6 | Fysieke toegang |
| 7.3 | 11.1.3 | Beveiligen van kantoren, kamers en faciliteiten |
| 7.4 | NIEUW | Fysieke beveiligingsmonitoring |
| 7.5 | 11.1.4 | Bescherming tegen fysieke en ecologische bedreigingen |
| 7.6 | 11.1.5 | Werken in beveiligde ruimtes |
| 7.7 | 11.2.9 | Overzichtelijk bureau en helder scherm |
| 7.8 | 11.2.1 | Locatie en bescherming van apparatuur |
| 7.9 | 11.2.6 | Beveiliging van activa buiten het terrein |
| 7.10 | 08.3.1, 08.3.2, 08.3.3, 11.2.5 | Opslag media |
| 7.11 | 11.2.2 | Ondersteunende nutsvoorzieningen |
| 7.12 | 11.2.3 | Beveiliging van de bekabeling |
| 7.13 | 11.2.4 | Apparatuuronderhoud |
| 7.14 | 11.2.7 | Veilige verwijdering of hergebruik van apparatuur |
Hoe helpt ISMS.online
ISMS.Online vereenvoudigt het implementatieproces van ISO 27002 door alle benodigde bronnen, informatie en tools op één plek aan te bieden. Hiermee kunt u met slechts een paar muisklikken een ISMS creëren , iets wat handmatig veel tijd zou kosten.
Wil je het in actie zien?
Neem vandaag nog contact op om een demo te boeken.
