- See ISO 27002:2022 Contrôle 8.31 pour plus d'informations.
- See ISO 27001:2013 Annexe A 12.1.4 pour plus d'informations.
- See ISO 27001:2013 Annexe A 14.2.6 pour plus d'informations.
ISO 27001 Annexe A 8.31 : Pourquoi il est essentiel de séparer les environnements de développement, de test et de production
Ne pas séparer avec précision les environnements de développement, de test et de production pourrait entraîner une perte de disponibilité, de confidentialité et d’intégrité des actifs informationnels.
Par exemple, Uber a mis par erreur sur Github un référentiel de code contenant les mots de passe de son environnement de production, compromettant ainsi la confidentialité des données sensibles.
Les organisations doivent établir des protocoles et des réglementations appropriés pour séparer fermement les paramètres de développement, de test et de production afin d'éradiquer les risques de sécurité.
Objet de la norme ISO 27001:2022 Annexe A 8.31
ISO 27001: 2022 L'Annexe A 8.31 aide les organisations à préserver la confidentialité, l'intégrité et la disponibilité des informations sensibles via des processus, des contrôles et des réglementations appropriés. Pour ce faire, il isole les environnements de développement, de test et de production.
Propriété de l'annexe A 8.31
Responsable de la sécurité de l'information, avec l'aide de l'équipe de développement, sera en dernier ressort responsable du respect de la norme ISO 27001:2022 Annexe A 8.31, qui exige l'établissement et la mise en œuvre de processus et de contrôles à l'échelle de l'organisation pour séparer les différents environnements logiciels.
La norme ISO 27001 simplifiée
Une avance de 81 % dès le premier jour
Nous avons fait le plus gros du travail pour vous, en vous offrant une avance de 81 % dès votre connexion. Il ne vous reste plus qu'à remplir les champs.
Orientations générales sur la conformité à la norme ISO 27001:2022 Annexe A 8.31
Les organisations doivent prendre en compte les problèmes de production qui doivent être évités lorsqu'elles décident du degré de séparation nécessaire entre les trois environnements.
L'annexe A 8.31 suggère aux organisations de garder à l'esprit sept critères :
- Une séparation des systèmes de développement et de production à un niveau satisfaisant est recommandée. Par exemple, l’utilisation d’environnements virtuels et physiques distincts pour la production pourrait être une solution. solution viable.
- Des règles et procédures d'autorisation doivent être rédigées, documentées et mises en œuvre concernant l'utilisation du logiciel dans l'environnement de production après son passage dans l'environnement de développement.
- Les organisations doivent évaluer et tester les modifications apportées aux applications et aux systèmes de production dans un environnement de test isolé, exclu de l'environnement de production, avant de les implémenter dans l'environnement de production.
- Aucun test dans des environnements de production ne doit avoir lieu à moins qu’il n’ait été précisément défini et autorisé au préalable.
- Les ressources de développement, telles que les compilateurs et les éditeurs, ne doivent pas être disponibles dans les environnements de production, sauf si cela est absolument essentiel.
- Pour réduire les erreurs, les étiquettes d’environnement correctes doivent figurer en évidence dans les menus.
- Aucun actif d'information sensible ne doit être transféré vers un système de développement ou de test à moins que des mesures de sécurité équivalentes ne soient en place.
Conseils sur la protection des environnements de développement et de test
Les organisations doivent protéger les environnements de développement et de test contre les risques de sécurité potentiels, en tenant compte des éléments suivants :
- Assurez-vous que tous les outils de développement, d'intégration et de test, par exemple les constructeurs, les intégrateurs et les bibliothèques, sont régulièrement mis à jour et mis à jour.
- Assurez-vous que tous les systèmes et logiciels sont configurés en toute sécurité.
- Des contrôles appropriés doivent être en place pour l’accès aux environnements.
- Les modifications apportées aux environnements et à leurs codes doivent être surveillées et examinées.
- Une surveillance et un examen sécurisés des environnements doivent être entrepris.
- Les environnements doivent être protégés par des sauvegardes.
Aucun individu ne devrait avoir la prérogative d’apporter des modifications aux environnements de développement et de production sans obtenir l’approbation préalable. Pour éviter cela, les organisations peuvent séparer les droits d'accès ou mettre en place et exécuter des contrôles d'accès.
Les organisations peuvent envisager des contrôles techniques supplémentaires, tels que la journalisation de toutes les activités d'accès et la surveillance de l'accès à ces environnements en temps réel.
Orientations supplémentaires sur l'Annexe A 8.31
Si les organisations ne prennent pas les mesures nécessaires, leurs systèmes d’information peuvent être exposés à des risques de sécurité importants.
Les développeurs et les testeurs ayant accès à l'environnement de production peuvent apporter des modifications involontaires aux fichiers ou aux paramètres du système, exécuter du code non autorisé ou révéler par inadvertance des données sensibles.
Les organisations ont besoin d'un environnement stable pour effectuer des tests approfondis sur leur code, empêchant les développeurs d'accéder aux environnements de production qui stockent et traitent des données sensibles du monde réel.
Les organisations doivent attribuer des rôles spécifiques et imposer la séparation des tâches.
Les équipes de développement et de test peuvent risquer de compromettre les données confidentielles de production si elles utilisent les mêmes appareils informatiques. Des modifications par inadvertance d'informations sensibles ou de programmes logiciels peuvent être apportées.
Les organisations sont invitées à mettre en place des processus d'aide pour utiliser les données de production dans les systèmes de test et de développement, conformément à la norme ISO 27001:2022 Annexe A 8.33.
Les organisations doivent prendre en compte les mesures décrites dans cette annexe A Contrôle lors de la formation des utilisateurs finaux dans des contextes de formation.
Enfin, les organisations peuvent obscurcir les frontières entre les paramètres de développement, de test et de production. Par exemple, les tests peuvent être effectués dans un environnement de développement, ou le personnel peut tester le produit en l'utilisant réellement.
Gérez toute votre conformité, en un seul endroit
ISMS.online prend en charge plus de 100 normes et réglementations, vous offrant une plate-forme unique pour tous vos besoins de conformité.
Modifications et différences par rapport à la norme ISO 27001:2013
ISO 27001:2022 Annexe A 8.31 remplace ISO 27001:2013 Annexe A 12.1.4 et ISO 27001:2013 Annexe A 14.2.6. Cette révision apporte les ajustements nécessaires pour rendre la norme conforme aux pratiques les plus actuelles.
Les deux versions partagent de nombreux points communs, mais deux différences méritent d’être soulignées.
ISO 27001:2013 Annexe A 14.2.6 fournit des conseils plus détaillés sur les environnements de développement sécurisés
L'Annexe A 27001 de l'ISO 2013 :14.2.6 traite des environnements de développement sécurisés et présente 10 recommandations que les organisations doivent prendre en compte lors de la construction d'un environnement de développement.
En comparaison, la norme ISO 27001:2022 Annexe A 8.33 n'inclut pas certaines propositions, comme la possibilité d'avoir une sauvegarde à distance et les limitations sur le transfert de données.
ISO 27001:2022 Annexe A 8.31 traite des tests de produits et de l'utilisation des données de production
Par rapport à la norme ISO 27001:2013, la norme ISO 27001:2022 Annexe A 8.31 offre des conseils sur les tests de produits et l'utilisation des données de production conformément à la norme ISO 27001:2022 Annexe A 8.33.
Tableau de tous les contrôles ISO 27001:2022 Annexe A
Dans le tableau ci-dessous, vous trouverez plus d'informations sur chaque norme ISO 27001:2022. Annexe A Contrôle.
| Annexe A Type de contrôle | Identifiant ISO/IEC 27001:2022 Annexe A | Identifiant ISO/IEC 27001:2013 Annexe A | Annexe A Nom |
|---|---|---|---|
| Contrôles organisationnels | Annexe A 5.1 |
Annexe A 5.1.1 Annexe A 5.1.2 |
Politiques de sécurité des informations |
| Contrôles organisationnels | Annexe A 5.2 | Annexe A 6.1.1 | Rôles et responsabilités en matière de sécurité de l'information |
| Contrôles organisationnels | Annexe A 5.3 | Annexe A 6.1.2 | Séparation des tâches |
| Contrôles organisationnels | Annexe A 5.4 | Annexe A 7.2.1 | Responsabilités de la direction |
| Contrôles organisationnels | Annexe A 5.5 | Annexe A 6.1.3 | Contact avec les autorités |
| Contrôles organisationnels | Annexe A 5.6 | Annexe A 6.1.4 | Contact avec des groupes d'intérêt spécial |
| Contrôles organisationnels | Annexe A 5.7 | NOUVEAU | Renseignement sur les menaces |
| Contrôles organisationnels | Annexe A 5.8 |
Annexe A 6.1.5 Annexe A 14.1.1 |
Sécurité de l'information dans la gestion de projet |
| Contrôles organisationnels | Annexe A 5.9 |
Annexe A 8.1.1 Annexe A 8.1.2 |
Inventaire des informations et autres actifs associés |
| Contrôles organisationnels | Annexe A 5.10 |
Annexe A 8.1.3 Annexe A 8.2.3 |
Utilisation acceptable des informations et autres actifs associés |
| Contrôles organisationnels | Annexe A 5.11 | Annexe A 8.1.4 | Restitution des actifs |
| Contrôles organisationnels | Annexe A 5.12 | Annexe A 8.2.1 | Classification des informations |
| Contrôles organisationnels | Annexe A 5.13 | Annexe A 8.2.2 | Étiquetage des informations |
| Contrôles organisationnels | Annexe A 5.14 |
Annexe A 13.2.1 Annexe A 13.2.2 Annexe A 13.2.3 |
Transfert d'information |
| Contrôles organisationnels | Annexe A 5.15 |
Annexe A 9.1.1 Annexe A 9.1.2 |
Contrôle d'accès |
| Contrôles organisationnels | Annexe A 5.16 | Annexe A 9.2.1 | Gestion d'identité |
| Contrôles organisationnels | Annexe A 5.17 |
Annexe A 9.2.4 Annexe A 9.3.1 Annexe A 9.4.3 |
Informations d'authentification |
| Contrôles organisationnels | Annexe A 5.18 |
Annexe A 9.2.2 Annexe A 9.2.5 Annexe A 9.2.6 |
Des droits d'accès |
| Contrôles organisationnels | Annexe A 5.19 | Annexe A 15.1.1 | Sécurité de l'information dans les relations avec les fournisseurs |
| Contrôles organisationnels | Annexe A 5.20 | Annexe A 15.1.2 | Aborder la sécurité des informations dans les accords avec les fournisseurs |
| Contrôles organisationnels | Annexe A 5.21 | Annexe A 15.1.3 | Gestion de la sécurité de l'information dans la chaîne d'approvisionnement des TIC |
| Contrôles organisationnels | Annexe A 5.22 |
Annexe A 15.2.1 Annexe A 15.2.2 |
Surveillance, révision et gestion du changement des services des fournisseurs |
| Contrôles organisationnels | Annexe A 5.23 | NOUVEAU | Sécurité des informations pour l'utilisation des services cloud |
| Contrôles organisationnels | Annexe A 5.24 | Annexe A 16.1.1 | Planification et préparation de la gestion des incidents de sécurité de l’information |
| Contrôles organisationnels | Annexe A 5.25 | Annexe A 16.1.4 | Évaluation et décision sur les événements liés à la sécurité de l'information |
| Contrôles organisationnels | Annexe A 5.26 | Annexe A 16.1.5 | Réponse aux incidents de sécurité de l'information |
| Contrôles organisationnels | Annexe A 5.27 | Annexe A 16.1.6 | Tirer les leçons des incidents de sécurité de l’information |
| Contrôles organisationnels | Annexe A 5.28 | Annexe A 16.1.7 | Collecte de preuves |
| Contrôles organisationnels | Annexe A 5.29 |
Annexe A 17.1.1 Annexe A 17.1.2 Annexe A 17.1.3 |
Sécurité des informations en cas de perturbation |
| Contrôles organisationnels | Annexe A 5.30 | NOUVEAU | Préparation aux TIC pour la continuité des activités |
| Contrôles organisationnels | Annexe A 5.31 |
Annexe A 18.1.1 Annexe A 18.1.5 |
Exigences légales, statutaires, réglementaires et contractuelles |
| Contrôles organisationnels | Annexe A 5.32 | Annexe A 18.1.2 | Droits de Propriété Intellectuelle |
| Contrôles organisationnels | Annexe A 5.33 | Annexe A 18.1.3 | Protection des dossiers |
| Contrôles organisationnels | Annexe A 5.34 | Annexe A 18.1.4 | Confidentialité et protection des informations personnelles |
| Contrôles organisationnels | Annexe A 5.35 | Annexe A 18.2.1 | Examen indépendant de la sécurité de l'information |
| Contrôles organisationnels | Annexe A 5.36 |
Annexe A 18.2.2 Annexe A 18.2.3 |
Conformité aux politiques, règles et normes en matière de sécurité de l'information |
| Contrôles organisationnels | Annexe A 5.37 | Annexe A 12.1.1 | Procédures opérationnelles documentées |
| Annexe A Type de contrôle | Identifiant ISO/IEC 27001:2022 Annexe A | Identifiant ISO/IEC 27001:2013 Annexe A | Annexe A Nom |
|---|---|---|---|
| Contrôles des personnes | Annexe A 6.1 | Annexe A 7.1.1 | Présélection |
| Contrôles des personnes | Annexe A 6.2 | Annexe A 7.1.2 | Conditions d'emploi |
| Contrôles des personnes | Annexe A 6.3 | Annexe A 7.2.2 | Sensibilisation, éducation et formation à la sécurité de l’information |
| Contrôles des personnes | Annexe A 6.4 | Annexe A 7.2.3 | Processus disciplinaire |
| Contrôles des personnes | Annexe A 6.5 | Annexe A 7.3.1 | Responsabilités après la cessation ou le changement d'emploi |
| Contrôles des personnes | Annexe A 6.6 | Annexe A 13.2.4 | Accords de confidentialité ou de non-divulgation |
| Contrôles des personnes | Annexe A 6.7 | Annexe A 6.2.2 | Travail à distance |
| Contrôles des personnes | Annexe A 6.8 |
Annexe A 16.1.2 Annexe A 16.1.3 |
Rapport d'événements liés à la sécurité de l'information |
| Annexe A Type de contrôle | Identifiant ISO/IEC 27001:2022 Annexe A | Identifiant ISO/IEC 27001:2013 Annexe A | Annexe A Nom |
|---|---|---|---|
| Contrôles physiques | Annexe A 7.1 | Annexe A 11.1.1 | Périmètres de sécurité physique |
| Contrôles physiques | Annexe A 7.2 |
Annexe A 11.1.2 Annexe A 11.1.6 |
Entrée physique |
| Contrôles physiques | Annexe A 7.3 | Annexe A 11.1.3 | Sécuriser les bureaux, les chambres et les installations |
| Contrôles physiques | Annexe A 7.4 | NOUVEAU | Surveillance de la sécurité physique |
| Contrôles physiques | Annexe A 7.5 | Annexe A 11.1.4 | Se protéger contre les menaces physiques et environnementales |
| Contrôles physiques | Annexe A 7.6 | Annexe A 11.1.5 | Travailler dans des zones sécurisées |
| Contrôles physiques | Annexe A 7.7 | Annexe A 11.2.9 | Bureau clair et écran clair |
| Contrôles physiques | Annexe A 7.8 | Annexe A 11.2.1 | Emplacement et protection des équipements |
| Contrôles physiques | Annexe A 7.9 | Annexe A 11.2.6 | Sécurité des actifs hors site |
| Contrôles physiques | Annexe A 7.10 |
Annexe A 8.3.1 Annexe A 8.3.2 Annexe A 8.3.3 Annexe A 11.2.5 |
stockage des médias |
| Contrôles physiques | Annexe A 7.11 | Annexe A 11.2.2 | Utilitaires de support |
| Contrôles physiques | Annexe A 7.12 | Annexe A 11.2.3 | Sécurité du câblage |
| Contrôles physiques | Annexe A 7.13 | Annexe A 11.2.4 | Entretien de l'équipement |
| Contrôles physiques | Annexe A 7.14 | Annexe A 11.2.7 | Élimination ou réutilisation sécurisée de l’équipement |
| Annexe A Type de contrôle | Identifiant ISO/IEC 27001:2022 Annexe A | Identifiant ISO/IEC 27001:2013 Annexe A | Annexe A Nom |
|---|---|---|---|
| Contrôles technologiques | Annexe A 8.1 |
Annexe A 6.2.1 Annexe A 11.2.8 |
Périphériques de point de terminaison utilisateur |
| Contrôles technologiques | Annexe A 8.2 | Annexe A 9.2.3 | Droits d'accès privilégiés |
| Contrôles technologiques | Annexe A 8.3 | Annexe A 9.4.1 | Restriction d'accès aux informations |
| Contrôles technologiques | Annexe A 8.4 | Annexe A 9.4.5 | Accès au code source |
| Contrôles technologiques | Annexe A 8.5 | Annexe A 9.4.2 | Authentification sécurisée |
| Contrôles technologiques | Annexe A 8.6 | Annexe A 12.1.3 | Gestion de la capacité |
| Contrôles technologiques | Annexe A 8.7 | Annexe A 12.2.1 | Protection contre les logiciels malveillants |
| Contrôles technologiques | Annexe A 8.8 |
Annexe A 12.6.1 Annexe A 18.2.3 |
Gestion des vulnérabilités techniques |
| Contrôles technologiques | Annexe A 8.9 | NOUVEAU | Configuration Management |
| Contrôles technologiques | Annexe A 8.10 | NOUVEAU | Suppression des informations |
| Contrôles technologiques | Annexe A 8.11 | NOUVEAU | Masquage des données |
| Contrôles technologiques | Annexe A 8.12 | NOUVEAU | Prévention des fuites de données |
| Contrôles technologiques | Annexe A 8.13 | Annexe A 12.3.1 | Sauvegarde des informations |
| Contrôles technologiques | Annexe A 8.14 | Annexe A 17.2.1 | Redondance des installations de traitement de l'information |
| Contrôles technologiques | Annexe A 8.15 |
Annexe A 12.4.1 Annexe A 12.4.2 Annexe A 12.4.3 |
Journal |
| Contrôles technologiques | Annexe A 8.16 | NOUVEAU | Activités de surveillance |
| Contrôles technologiques | Annexe A 8.17 | Annexe A 12.4.4 | Synchronisation d'horloge |
| Contrôles technologiques | Annexe A 8.18 | Annexe A 9.4.4 | Utilisation des programmes utilitaires privilégiésDroits d'accès |
| Contrôles technologiques | Annexe A 8.19 |
Annexe A 12.5.1 Annexe A 12.6.2 |
Installation de logiciels sur les systèmes opérationnels |
| Contrôles technologiques | Annexe A 8.20 | Annexe A 13.1.1 | Sécurité des réseaux |
| Contrôles technologiques | Annexe A 8.21 | Annexe A 13.1.2 | Sécurité des services réseau |
| Contrôles technologiques | Annexe A 8.22 | Annexe A 13.1.3 | Ségrégation des réseaux |
| Contrôles technologiques | Annexe A 8.23 | NOUVEAU | filtrage web |
| Contrôles technologiques | Annexe A 8.24 |
Annexe A 10.1.1 Annexe A 10.1.2 |
Utilisation de la cryptographie |
| Contrôles technologiques | Annexe A 8.25 | Annexe A 14.2.1 | Cycle de vie du développement sécurisé |
| Contrôles technologiques | Annexe A 8.26 |
Annexe A 14.1.2 Annexe A 14.1.3 |
Exigences de sécurité des applications |
| Contrôles technologiques | Annexe A 8.27 | Annexe A 14.2.5 | Principes d'architecture et d'ingénierie des systèmes sécurisés : Apprendre des incidents de sécurité de l'information |
| Contrôles technologiques | Annexe A 8.28 | NOUVEAU | Codage sécurisé |
| Contrôles technologiques | Annexe A 8.29 |
Annexe A 14.2.8 Annexe A 14.2.9 |
Tests de sécurité en développement et acceptation |
| Contrôles technologiques | Annexe A 8.30 | Annexe A 14.2.7 | Développement externalisé |
| Contrôles technologiques | Annexe A 8.31 |
Annexe A 12.1.4 Annexe A 14.2.6 |
Séparation des environnements de développement, de test et de production |
| Contrôles technologiques | Annexe A 8.32 |
Annexe A 12.1.2 Annexe A 14.2.2 Annexe A 14.2.3 Annexe A 14.2.4 |
La Gestion du changement |
| Contrôles technologiques | Annexe A 8.33 | Annexe A 14.3.1 | Informations sur les tests |
| Contrôles technologiques | Annexe A 8.34 | Annexe A 12.7.1 | Protection des systèmes d'information lors des tests d'audit |
Comment l'aide d'ISMS.online
ISMS.Online prend en charge l’intégralité de Implémentation ISO 27001, de l'évaluation des risques à la création de politiques, de procédures et de lignes directrices pour adhérer à la norme.
ISMS.Online offre une approche pratique pour enregistrer les découvertes et les partager avec des collègues en ligne. Il vous permet en outre de créer et de stocker des listes de contrôle pour chaque tâche ISO 27001, vous permettant ainsi de surveiller sans effort le programme de sécurité de votre organisation.
Nous fournissons également aux organisations un ensemble d'outils automatisés qui facilitent la conformité à la norme ISO 27001. Sa conception conviviale facilite la preuve de conformité.
Contactez-nous dès maintenant pour organiser une démonstration.