Doel van de controle 8.4
Voor de doeleinden van ISO 27002 Control 8.4 definieert ‘broncode’ als de onderliggende code, specificaties en plannen die worden gebruikt om applicaties, programma’s en processen te creëren die eigendom zijn van de organisatie zelf.
Bij het bespreken van de toegang tot de broncode hecht Control 8.4 evenveel belang aan ontwikkelingstools (compilers, testomgevingen enz.).
Het beheren van de broncode vertegenwoordigt een uniek risico aan elke organisatie die de behoefte heeft om het op te slaan. Elementen van bedrijfskritische broncode omvatten productiegegevens, beschermde configuratiedetails en aspecten van het IP-adres van een organisatie.
Controle 8.4 is een preventieve controle uit die wijzigt het risico door een reeks onderliggende principes voor gegevenstoegang vast te stellen (in overeenstemming met een bredere reeks toegangscontroles van de organisatie) die de lees-/schrijftoegang regelen tot:
- Broncode
- Ontwikkelingshulpmiddelen
- Softwarebibliotheken
Attributen Controletabel 8.4
| controle Type | Eigenschappen voor informatiebeveiliging | Cyberbeveiligingsconcepten | Operationele mogelijkheden | Beveiligingsdomeinen |
|---|---|---|---|---|
| #Preventief | #Vertrouwelijkheid | #Beschermen | #Identiteits- en toegangsbeheer | #Bescherming |
| #Integriteit | #Applicatiebeveiliging | |||
| #Beschikbaarheid | #Veilige configuratie |
Eigendom van zeggenschap 8.4
Controle 8.4 gaat over het vermogen van een organisatie om de toegang te controleren tot bedrijfskritische gegevens met betrekking tot broncode, ontwikkelingstools en commercieel gevoelige informatie zoals softwarebibliotheken.
Als zodanig moet het eigendom berusten bij de Chief Information Security Officer (of het equivalent van de organisatie), die de leiding heeft verantwoordelijkheid voor de algehele informatie- en gegevensbeveiliging van de organisatie praktijken.
ISO 27001 eenvoudig gemaakt
Een voorsprong van 81% vanaf dag één
Wij hebben het harde werk voor u gedaan, waardoor u vanaf het moment dat u inlogt een voorsprong van 81% heeft. U hoeft alleen nog maar de lege plekken in te vullen.
Algemene richtlijnen voor controle 8.4
Control 8.4 pleit voor een broncodebeheersysteem waarmee organisaties de toegang tot en het wijzigen van de broncode binnen hun gehele ICT-domein centraal kunnen beheren.
Control 8.4 vraagt organisaties om toegang tot de broncode te overwegen op basis van een reeks strikte lees- en/of schrijfrechten, gebaseerd op de aard van de broncode, waar vandaan deze wordt benaderd en wie er toegang toe heeft.
Wanneer organisaties de toegang tot de broncode willen controleren, moeten zij:
- Beheer de toegang tot de broncode in overeenstemming met gepubliceerde procedures.
- Bied lees- en/of schrijftoegang tot de broncode in combinatie met een reeks duidelijk gedefinieerde zakelijke vereisten, geval per geval of per gebruiker.
- Houd u aan een duidelijke reeks verandermanagementprocedures (zie Controle 8.32) bij het beheren van de toegang tot de broncode, inclusief de juiste autorisatie op basis van een reeks toegangsvariabelen (gebruikerstype, businesscase enz.).
- Voorkom de directe toegang van de broncode door ontwikkelaars, en bieden in plaats daarvan toegang via een reeks ontwikkelingstools die een top-down overzicht bieden van toegangsrechten en lees-/schrijfrechten.
- Zorg voor een veilige ruimte om programmaoverzichten en lees-/schrijfrechten op te slaan.
- Houd een gelijktijdige audittrail bij van alle broncodegerelateerde activiteiten, inclusief tijdstempels voor gebruikerstoegang en wijzigingsgerelateerde activiteiten.
- Zorg ervoor dat digitale handtekeningen worden gebruikt voor elk stukje code dat buiten de organisatie wordt gepubliceerd.
Ondersteunende controles
- 8.32
Bevrijd jezelf van een berg spreadsheets
Integreer, breid uit en schaal uw compliance, zonder rommel. IO geeft u de veerkracht en het vertrouwen om veilig te groeien.
Wijzigingen en verschillen ten opzichte van ISO 27002:2013
27002:2022-8.4 replaces 27002:2014-9.4.5 (Toegang tot de broncode), en bevat drie belangrijke verschillen in de aanpak van het opzetten van een broncodebeheersysteem (een concept dat ontbreekt in 27002:2014-9.4.5)
- Het bieden van lees-/schrijftoegang volgens een strikte reeks zakelijke vereisten.
- De noodzaak om ontwikkelaars indirecte toegang tot de broncode te bieden via een reeks ontwikkelingstools en/of testomgevingen.
- De noodzaak om wijzigingen uit te voeren in de toegang tot broncodeactiviteiten in overeenstemming met de nieuw gepubliceerde procedures voor wijzigingsbeheer die zijn opgenomen in Controle 8.32.
Nieuwe ISO 27002-controles
| ISO/IEC 27002:2022 Controle-identificatie | ISO/IEC 27002:2013 Controle-identificatie | Controle naam |
|---|---|---|
| 5.7 | NIEUW | Bedreigingsintelligentie |
| 5.23 | NIEUW | Informatiebeveiliging voor gebruik van clouddiensten |
| 5.30 | NIEUW | ICT gereed voor bedrijfscontinuïteit |
| 7.4 | NIEUW | Fysieke beveiligingsmonitoring |
| 8.9 | NIEUW | Configuratiebeheer |
| 8.10 | NIEUW | Verwijdering van informatie |
| 8.11 | NIEUW | Gegevensmaskering |
| 8.12 | NIEUW | Preventie van gegevenslekken |
| 8.16 | NIEUW | Monitoring activiteiten |
| 8.23 | NIEUW | Web filtering |
| 8.28 | NIEUW | Veilige codering |
| ISO/IEC 27002:2022 Controle-identificatie | ISO/IEC 27002:2013 Controle-identificatie | Controle naam |
|---|---|---|
| 6.1 | 07.1.1 | Doorlichting |
| 6.2 | 07.1.2 | Arbeidsvoorwaarden |
| 6.3 | 07.2.2 | Bewustzijn, opleiding en training op het gebied van informatiebeveiliging |
| 6.4 | 07.2.3 | Disciplinair proces |
| 6.5 | 07.3.1 | Verantwoordelijkheden na beëindiging of verandering van dienstverband |
| 6.6 | 13.2.4 | Vertrouwelijkheids- of geheimhoudingsovereenkomsten |
| 6.7 | 06.2.2 | Werken op afstand |
| 6.8 | 16.1.2, 16.1.3 | Rapportage van informatiebeveiligingsgebeurtenissen |
| ISO/IEC 27002:2022 Controle-identificatie | ISO/IEC 27002:2013 Controle-identificatie | Controle naam |
|---|---|---|
| 7.1 | 11.1.1 | Fysieke veiligheidsperimeters |
| 7.2 | 11.1.2, 11.1.6 | Fysieke toegang |
| 7.3 | 11.1.3 | Beveiligen van kantoren, kamers en faciliteiten |
| 7.4 | NIEUW | Fysieke beveiligingsmonitoring |
| 7.5 | 11.1.4 | Bescherming tegen fysieke en ecologische bedreigingen |
| 7.6 | 11.1.5 | Werken in beveiligde ruimtes |
| 7.7 | 11.2.9 | Overzichtelijk bureau en helder scherm |
| 7.8 | 11.2.1 | Locatie en bescherming van apparatuur |
| 7.9 | 11.2.6 | Beveiliging van activa buiten het terrein |
| 7.10 | 08.3.1, 08.3.2, 08.3.3, 11.2.5 | Opslag media |
| 7.11 | 11.2.2 | Ondersteunende nutsvoorzieningen |
| 7.12 | 11.2.3 | Beveiliging van de bekabeling |
| 7.13 | 11.2.4 | Apparatuuronderhoud |
| 7.14 | 11.2.7 | Veilige verwijdering of hergebruik van apparatuur |
Hoe helpt ISMS.online
ISMS.Online vereenvoudigt de proces van implementatie ISO 27002 door alle benodigde bronnen, informatie en hulpmiddelen op één plek aan te bieden. Het staat je toe een ISMS creëren met slechts een paar muisklikken, wat anders lang zou duren als u dit handmatig zou doen.
Wil je het in actie zien?
Neem vandaag nog contact op met boek een demo.
