ISO 27001:2022 Annexe A Contrôle 8.31

Orientations générales sur la conformité à la norme ISO 27001:2022 Annexe A 8.31

Les organisations doivent prendre en compte les problèmes de production qui doivent être évités lorsqu'elles décident du degré de séparation nécessaire entre les trois environnements.

L'annexe A 8.31 suggère aux organisations de garder à l'esprit sept critères :

1. Une séparation des systèmes de développement et de production à un niveau satisfaisant est recommandée. Par exemple, l’utilisation d’environnements virtuels et physiques distincts pour la production pourrait être une solution. solution viable.
2. Des règles et procédures d'autorisation doivent être rédigées, documentées et mises en œuvre concernant l'utilisation du logiciel dans l'environnement de production après son passage dans l'environnement de développement.
3. Les organisations doivent évaluer et tester les modifications apportées aux applications et aux systèmes de production dans un environnement de test isolé, exclu de l'environnement de production, avant de les implémenter dans l'environnement de production.
4. Aucun test dans des environnements de production ne doit avoir lieu à moins qu’il n’ait été précisément défini et autorisé au préalable.
5. Les ressources de développement, telles que les compilateurs et les éditeurs, ne doivent pas être disponibles dans les environnements de production, sauf si cela est absolument essentiel.
6. Pour réduire les erreurs, les étiquettes d’environnement correctes doivent figurer en évidence dans les menus.
7. Aucun actif d'information sensible ne doit être transféré vers un système de développement ou de test à moins que des mesures de sécurité équivalentes ne soient en place.

Conseils sur la protection des environnements de développement et de test

Les organisations doivent protéger les environnements de développement et de test contre les risques de sécurité potentiels, en tenant compte des éléments suivants :

• Assurez-vous que tous les outils de développement, d'intégration et de test, par exemple les constructeurs, les intégrateurs et les bibliothèques, sont régulièrement mis à jour et mis à jour.
• Assurez-vous que tous les systèmes et logiciels sont configurés en toute sécurité.
• Des contrôles appropriés doivent être en place pour l’accès aux environnements.
• Les modifications apportées aux environnements et à leurs codes doivent être surveillées et examinées.
• Une surveillance et un examen sécurisés des environnements doivent être entrepris.
• Les environnements doivent être protégés par des sauvegardes.

Aucun individu ne devrait avoir la prérogative d’apporter des modifications aux environnements de développement et de production sans obtenir l’approbation préalable. Pour éviter cela, les organisations peuvent séparer les droits d'accès ou mettre en place et exécuter des contrôles d'accès.

Les organisations peuvent envisager des contrôles techniques supplémentaires, tels que la journalisation de toutes les activités d'accès et la surveillance de l'accès à ces environnements en temps réel.

Orientations supplémentaires sur l'Annexe A 8.31

Si les organisations ne prennent pas les mesures nécessaires, leurs systèmes d’information peuvent être exposés à des risques de sécurité importants.

Les développeurs et les testeurs ayant accès à l'environnement de production peuvent apporter des modifications involontaires aux fichiers ou aux paramètres du système, exécuter du code non autorisé ou révéler par inadvertance des données sensibles.

Les organisations ont besoin d'un environnement stable pour effectuer des tests approfondis sur leur code, empêchant les développeurs d'accéder aux environnements de production qui stockent et traitent des données sensibles du monde réel.

Les organisations doivent attribuer des rôles spécifiques et imposer la séparation des tâches.

Les équipes de développement et de test peuvent risquer de compromettre les données confidentielles de production si elles utilisent les mêmes appareils informatiques. Des modifications par inadvertance d'informations sensibles ou de programmes logiciels peuvent être apportées.

Les organisations sont invitées à mettre en place des processus d'aide pour utiliser les données de production dans les systèmes de test et de développement, conformément à la norme ISO 27001:2022 Annexe A 8.33.

Les organisations doivent prendre en compte les mesures décrites dans cette annexe A Contrôle lors de la formation des utilisateurs finaux dans des contextes de formation.

Enfin, les organisations peuvent obscurcir les frontières entre les paramètres de développement, de test et de production. Par exemple, les tests peuvent être effectués dans un environnement de développement, ou le personnel peut tester le produit en l'utilisant réellement.

Modifications et différences par rapport à la norme ISO 27001:2013

ISO 27001:2022 Annexe A 8.31 remplace ISO 27001:2013 Annexe A 12.1.4 et ISO 27001:2013 Annexe A 14.2.6. Cette révision apporte les ajustements nécessaires pour rendre la norme conforme aux pratiques les plus actuelles.

Les deux versions partagent de nombreux points communs, mais deux différences méritent d’être soulignées.

ISO 27001:2013 Annexe A 14.2.6 fournit des conseils plus détaillés sur les environnements de développement sécurisés

L'Annexe A 27001 de l'ISO 2013 :14.2.6 traite des environnements de développement sécurisés et présente 10 recommandations que les organisations doivent prendre en compte lors de la construction d'un environnement de développement.

En comparaison, la norme ISO 27001:2022 Annexe A 8.33 n'inclut pas certaines propositions, comme la possibilité d'avoir une sauvegarde à distance et les limitations sur le transfert de données.

ISO 27001:2022 Annexe A 8.31 traite des tests de produits et de l'utilisation des données de production

Par rapport à la norme ISO 27001:2013, la norme ISO 27001:2022 Annexe A 8.31 offre des conseils sur les tests de produits et l'utilisation des données de production conformément à la norme ISO 27001:2022 Annexe A 8.33.

Tableau de tous les contrôles ISO 27001:2022 Annexe A

Dans le tableau ci-dessous, vous trouverez plus d'informations sur chaque norme ISO 27001:2022. Annexe A Contrôle.

Comment l'aide d'ISMS.online

ISMS.Online prend en charge l’intégralité de Implémentation ISO 27001, de l'évaluation des risques à la création de politiques, de procédures et de lignes directrices pour adhérer à la norme.

ISMS.Online offre une approche pratique pour enregistrer les découvertes et les partager avec des collègues en ligne. Il vous permet en outre de créer et de stocker des listes de contrôle pour chaque tâche ISO 27001, vous permettant ainsi de surveiller sans effort le programme de sécurité de votre organisation.

Nous fournissons également aux organisations un ensemble d'outils automatisés qui facilitent la conformité à la norme ISO 27001. Sa conception conviviale facilite la preuve de conformité.

Contactez-nous dès maintenant pour organiser une démonstration.