Dans les années 90, les entreprises effectuaient des tests de sécurité pour les produits et systèmes logiciels uniquement pendant la phase de test, lors de la phase finale du cycle de vie du développement logiciel.
En conséquence, ils ne parvenaient souvent pas à détecter et à éliminer les vulnérabilités, bugs et failles critiques.
Pour identifier et traiter les vulnérabilités de sécurité dès le début, les organisations doivent intégrer les considérations de sécurité à toutes les étapes du cycle de vie de développement, de la planification à la phase de déploiement.
Control 8.25 traite de la manière dont les organisations peuvent définir et mettre en œuvre des règles pour créer des produits et des systèmes logiciels sécurisés.
Control 8.25 permet aux organisations de concevoir des normes de sécurité des informations et d'appliquer ces normes tout au long du cycle de vie de développement sécurisé des produits et systèmes logiciels.
Le contrôle 8.25 est de nature préventive car il oblige les organisations à concevoir et mettre en œuvre de manière proactive des règles et des contrôles qui régissent l'ensemble du cycle de vie de développement de chaque nouveau produit et système logiciel.
| Type de contrôle | Propriétés de sécurité des informations | Concepts de cybersécurité | Capacités opérationnelles | Domaines de sécurité |
|---|---|---|---|---|
| #Préventif | #Confidentialité #Intégrité #Disponibilité | #Protéger | #Sécurité des applications #Sécurité du système et des réseaux | #Protection |
Le responsable de la sécurité de l'information doit être responsable de la création, de la mise en œuvre et du maintien de règles et de mesures visant à garantir la sécurité du cycle de vie du développement.
Control 8.25 contient 10 exigences auxquelles les organisations doivent se conformer pour créer des produits logiciels, des systèmes et une architecture sécurisés :
De plus, si une organisation sous-traite certaines tâches de développement à des parties externes, elle doit s'assurer que la partie externe adhère aux règles et procédures de l'organisation pour le développement sécurisé de logiciels et de systèmes.
La seule conformité
solution dont vous avez besoin
Réservez votre démo
Control 8.25 note que les produits logiciels, les architectures et les systèmes peuvent également être développés au sein d'applications, de bases de données ou de navigateurs.
27002:2022/8.25 replace 27002:2013/(14.2.1)
Dans l’ensemble, il existe deux différences clés.
Si la version 2022 est dans une large mesure similaire à la version 2013, le Control 8.25 impose deux nouvelles exigences aux organisations :
La version 2013 indiquait explicitement que le Contrôle 14.2.1 s'appliquait aussi bien aux nouveaux développements qu'à la réutilisation du code. En revanche, Control 8.25 ne faisait pas référence à des scénarios de réutilisation de code.
La mise en œuvre de la norme ISO 27002 est plus simple grâce à notre liste de contrôle étape par étape qui vous guide tout au long du processus. Votre solution complète de conformité à la norme ISO/IEC 27002:2022.
Contactez-nous dès aujourd'hui pour réserver une démo.
Réservez une séance pratique sur mesure
en fonction de vos besoins et de vos objectifs
Réservez votre démo
| Identifiant de contrôle ISO/IEC 27002:2022 | Identifiant de contrôle ISO/IEC 27002:2013 | Nom du contrôle |
|---|---|---|
| 5.7 | Nouveauté | Intelligence de la menace |
| 5.23 | Nouveauté | Sécurité des informations pour l'utilisation des services cloud |
| 5.30 | Nouveauté | Préparation aux TIC pour la continuité des activités |
| 7.4 | Nouveauté | Surveillance de la sécurité physique |
| 8.9 | Nouveauté | Gestion de la configuration |
| 8.10 | Nouveauté | Suppression des informations |
| 8.11 | Nouveauté | Masquage des données |
| 8.12 | Nouveauté | Prévention des fuites de données |
| 8.16 | Nouveauté | Activités de surveillance |
| 8.23 | Nouveauté | filtrage web |
| 8.28 | Nouveauté | Codage sécurisé |
| Identifiant de contrôle ISO/IEC 27002:2022 | Identifiant de contrôle ISO/IEC 27002:2013 | Nom du contrôle |
|---|---|---|
| 6.1 | 07.1.1 | Tamisage |
| 6.2 | 07.1.2 | Termes et conditions d'emploi |
| 6.3 | 07.2.2 | Sensibilisation, éducation et formation à la sécurité de l’information |
| 6.4 | 07.2.3 | Processus disciplinaire |
| 6.5 | 07.3.1 | Responsabilités après la cessation ou le changement d'emploi |
| 6.6 | 13.2.4 | Accords de confidentialité ou de non-divulgation |
| 6.7 | 06.2.2 | Travail à distance |
| 6.8 | 16.1.2, 16.1.3 | Rapports d'événements liés à la sécurité des informations |
| Identifiant de contrôle ISO/IEC 27002:2022 | Identifiant de contrôle ISO/IEC 27002:2013 | Nom du contrôle |
|---|---|---|
| 7.1 | 11.1.1 | Périmètres de sécurité physique |
| 7.2 | 11.1.2, 11.1.6 | Entrée physique |
| 7.3 | 11.1.3 | Sécurisation des bureaux, des locaux et des installations |
| 7.4 | Nouveauté | Surveillance de la sécurité physique |
| 7.5 | 11.1.4 | Se protéger contre les menaces physiques et environnementales |
| 7.6 | 11.1.5 | Travailler dans des zones sécurisées |
| 7.7 | 11.2.9 | Bureau clair et écran clair |
| 7.8 | 11.2.1 | Implantation et protection des équipements |
| 7.9 | 11.2.6 | Sécurité des actifs hors site |
| 7.10 | 08.3.1, 08.3.2, 08.3.3, 11.2.5 | Supports de stockage |
| 7.11 | 11.2.2 | Utilitaires pris en charge |
| 7.12 | 11.2.3 | Sécurité du câblage |
| 7.13 | 11.2.4 | La maintenance des équipements |
| 7.14 | 11.2.7 | Élimination ou réutilisation sécurisée des équipements |
