ISO 27002 :2022 – Contrôle 8.25 – Cycle de vie de développement sécurisé

Qu'est-ce que la norme ISO 27002 Contrôle 8.25 et pourquoi est-ce important ?

Dans les années 90, les entreprises effectuaient des tests de sécurité pour les produits et systèmes logiciels uniquement pendant la phase de test, lors de la phase finale du cycle de vie du développement logiciel.

En conséquence, ils ne parvenaient souvent pas à détecter et à éliminer les vulnérabilités, bugs et failles critiques.

Pour identifier et traiter les vulnérabilités de sécurité dès le début, les organisations doivent intégrer les considérations de sécurité à toutes les étapes du cycle de vie de développement, de la planification à la phase de déploiement.

Control 8.25 traite de la manière dont les organisations peuvent définir et mettre en œuvre des règles pour créer des produits et des systèmes logiciels sécurisés.

Objectif du contrôle 8.25

Control 8.25 permet aux organisations de concevoir des normes de sécurité des informations et d'appliquer ces normes tout au long du cycle de vie de développement sécurisé des produits et systèmes logiciels.

Attributs Table de contrôle 8.25

Le contrôle 8.25 est de nature préventive car il oblige les organisations à concevoir et mettre en œuvre de manière proactive des règles et des contrôles qui régissent l'ensemble du cycle de vie de développement de chaque nouveau produit et système logiciel.

Propriété du contrôle 8.25

Le responsable de la sécurité de l'information doit être responsable de la création, de la mise en œuvre et du maintien de règles et de mesures visant à garantir la sécurité du cycle de vie du développement.

Orientations générales sur la conformité

Control 8.25 contient 10 exigences auxquelles les organisations doivent se conformer pour créer des produits logiciels, des systèmes et une architecture sécurisés :

1. Les environnements de développement, de test et de production doivent être séparés conformément au contrôle 8.31.
2. Les organisations doivent fournir des conseils sur :
• Considérations de sécurité dans la méthodologie de développement de logiciels conformément aux contrôles 8.27 et 8.28.
• Codage sécurisé pour chaque langage de programmation conformément à 8.28.
3. Les organisations doivent établir et mettre en œuvre des exigences de sécurité qui s'appliquent à la phase de spécification et de conception conformément au contrôle 5.8.
4. Les organisations doivent définir des listes de contrôle de sécurité pour les projets conformément au contrôle 5.8.
5. Les organisations doivent effectuer des tests de sécurité et des systèmes tels que des tests d'intrusion et l'analyse de code conformément au contrôle 8.29.
6. Les organisations doivent créer des référentiels sécurisés stockant les codes sources et la configuration conformément aux contrôles 8.4 et 8.9.
7. Les organisations doivent maintenir la sécurité dans le contrôle de version comme prescrit dans le contrôle 8.32.
8. Les organisations doivent s'assurer que tout le personnel impliqué dans le développement possède des connaissances suffisantes en matière de sécurité des applications et reçoit la formation nécessaire telle que définie dans le contrôle 8.28.
9. Les développeurs doivent être capables d'identifier et de prévenir les vulnérabilités de sécurité, comme indiqué dans le contrôle 8.28.
10. Les organisations doivent se conformer aux exigences en matière de licence et évaluer la faisabilité de méthodes alternatives rentables, comme prescrit dans le contrôle 8.30.

De plus, si une organisation sous-traite certaines tâches de développement à des parties externes, elle doit s'assurer que la partie externe adhère aux règles et procédures de l'organisation pour le développement sécurisé de logiciels et de systèmes.

Orientations supplémentaires sur le contrôle 8.25

Control 8.25 note que les produits logiciels, les architectures et les systèmes peuvent également être développés au sein d'applications, de bases de données ou de navigateurs.

Modifications et différences par rapport à la norme ISO 27002:2013

27002:2022/8.25 replace 27002:2013/(14.2.1)

Dans l’ensemble, il existe deux différences clés.

La version ISO 27002:2022 définit deux nouvelles exigences

Si la version 2022 est dans une large mesure similaire à la version 2013, le Control 8.25 impose deux nouvelles exigences aux organisations :

• Les organisations doivent se conformer aux exigences en matière de licence et évaluer la faisabilité de méthodes alternatives rentables, comme prescrit dans le contrôle 8.30.
• Les organisations doivent effectuer des tests de sécurité et des systèmes tels que des tests d'intrusion et l'analyse de code conformément au contrôle 8.29.

La version ISO 27002:2013 fait explicitement référence à la réutilisation du code

La version 2013 indiquait explicitement que le Contrôle 14.2.1 s'appliquait aussi bien aux nouveaux développements qu'à la réutilisation du code. En revanche, Control 8.25 ne faisait pas référence à des scénarios de réutilisation de code.

Nouveaux contrôles ISO 27002

Comment ISMS.online vous aide

La mise en œuvre de la norme ISO 27002 est plus simple grâce à notre liste de contrôle étape par étape qui vous guide tout au long du processus. Votre solution complète de conformité à la norme ISO/IEC 27002:2022.

• Jusqu'à 81 % de progression à partir de votre connexion.
• Solution simple et de conformité totale.

Contactez-nous dès aujourd'hui pour réserver une démo.