ISO 27001:2022 Annexe A 8.4 – Accès au code source

• See ISO 27002:2022 Contrôle 8.4 pour plus d'informations.
• See ISO 27001:2013 Annexe A 9.4.5 pour plus d'informations.

Quel est l’objectif de la norme ISO 27001 : 2022, annexe A 8.4 ?

L'annexe A 8.4 de la norme ISO 27001:2022 définit le « code source » comme le code, les spécifications et les plans sous-jacents utilisés pour développer des applications, des programmes et des processus appartenant à l'organisation. Outre l'accès au code source, l'annexe A 8.4 souligne l'importance des outils de développement (compilateurs, environnements de test, etc.).

Le la gestion du code source représente un risque unique pour toute organisation qui doit le stocker. La propriété intellectuelle, les données de production et les détails de configuration protégés d'une entreprise sont tous considérés comme des composants critiques du code source.

Conformément à l'ensemble plus large de contrôles d'accès d'une organisation, l'Annexe A 8.4 est un contrôle préventif qui mesure le risque en établissant des principes sous-jacents d'accès aux données qui régissent l'accès en lecture/écriture à :

• Répertoire de
• Outils de développement
• Bibliothèques de logiciels

Qui est propriétaire de l’annexe A 8.4 ?

Le code source, les outils de développement et les informations commercialement sensibles telles que les bibliothèques de logiciels sont traités à l'annexe A 8.4. La propriété devrait donc être attribuée au Responsable de la sécurité de l'information (ou équivalent), qui est responsable de la sécurité globale des informations et des données de l'entreprise.

Orientations générales sur la norme ISO 27001:2022 Annexe A 8.4

D’après ISO 27001:2022 Annexe A 8.4, les organisations devraient être en mesure de gérer de manière centralisée l'accès à leur code source et ses modifications dans l'ensemble de leur parc TIC grâce à un système de gestion du code source.

Les organisations sont encouragées à envisager l'accès au code source selon des privilèges de lecture/écriture stricts en fonction de la nature du code source, de l'endroit à partir duquel on y accède et de qui y accède.

Les organisations cherchant à contrôler l’accès au code source doivent :

• Maintenir des procédures publiées pour contrôler l'accès au code source.
• Accès au code source en fonction des exigences métier définies au cas par cas ou utilisateur par utilisateur.
• Lors de l'administration de l'accès au code source, suivez un ensemble de procédures de gestion des changements (voir l'annexe A 8.32), y compris une autorisation appropriée basée sur les variables d'accès (type d'utilisateur, analyse de rentabilisation, etc.).
• Fournissez aux développeurs un accès au code source via une série d'outils de développement qui fournissent une vue descendante des droits d'accès et des privilèges de lecture/écriture.
• Créez un espace sécurisé pour stocker les listes de programmes et les autorisations de lecture/écriture.
• Toutes les activités liées au code source, y compris les horodatages et les activités liées aux modifications, doivent être conservées dans un piste d'audit simultanée.
• Les signatures numériques doivent être utilisées pour tout code destiné à être publié en dehors de l'organisation.

Contrôles accompagnant l’Annexe A

• ISO 27001:2022 Annexe A 8.32

Quels sont les changements par rapport à la norme ISO 27001:2013 ?

ISO 27001:2022 Annexe A 8.4 remplace ISO 27001:2013 L'annexe A 9.4.5 (« Contrôle d'accès au code source du programme ») et contient trois divergences principales dans ses approches pour établir un système de gestion du code source (un concept absent de l'ISO 27001 : 2013, annexe A 9.4.5) :

1. L’accès en lecture/écriture est soumis à un ensemble strict d’exigences commerciales.
2. Fournir aux développeurs un accès indirect au code source via des outils de développement et/ou des environnements de test.
3. L'Annexe A 8.32 contient les procédures de gestion des modifications récemment publiées qui doivent être appliquées aux activités d'accès au code source.

Tableau de tous les contrôles ISO 27001:2022 Annexe A

Dans le tableau ci-dessous, vous trouverez plus d'informations sur chaque individu ISO 27001:2022 Annexe A Contrôle.

Comment ISMS.online aide-t-il

Nous simplifions la mise en œuvre de la norme ISO 27001:2022 en fournissant toutes les ressources, informations et outils nécessaires en un seul endroit.

Avec votre ISMS tout-en-un et accessible instantanément, vous êtes parfaitement placé pour démontrer le « processus d'amélioration continue » requis par la norme fondamentale ISO 27001:2022.

Vous voulez le voir en action?

Contactez-nous dès aujourd'hui pour réserver une courte démo.