ISO 27002 :2022 – Contrôle 8.30 – Développement externalisé

Assurer la sécurité de l'information dans le développement externalisé : contrôle ISO 27002 8.30

L'externalisation du développement des systèmes informatiques et des logiciels à des parties externes présente de nombreux avantages pour les entreprises, tels qu'une réduction des coûts et une plus grande évolutivité. Toutefois, ces gains d’efficacité ne doivent pas se faire au détriment de la sécurité.

Par exemple, les fournisseurs de services externes peuvent ne pas avoir mis en place de contrôles d’accès stricts aux réseaux ou ne pas appliquer un cryptage de niveau industriel aux données stockées dans le cloud, ce qui peut compromettre les systèmes informatiques et les produits logiciels.

Cela peut entraîner des violations de données et une perte de disponibilité, de confidentialité ou d’intégrité des informations.

D’après une rapport de Trustwave, l'externalisation du développement logiciel et informatique a joué un rôle dans plus de 60 % de toutes les violations de données.

Étant donné que l’externalisation entraîne inévitablement une perte de contrôle sur le processus de développement et rend plus difficile l’application et le maintien des exigences en matière de sécurité de l’information, les organisations doivent veiller à ce que les parties externes respectent les exigences en matière de sécurité de l’information définies par l’organisation.

Objectif du contrôle 8.30

Control 8.30 permet aux organisations de garantir que les exigences établies en matière de sécurité des informations sont respectées lorsque le développement du système et des logiciels est sous-traité à des fournisseurs externes.

Attributs du contrôle 8.30

Le contrôle 8.30 est de nature à la fois détective et préventive : il oblige les organisations à superviser et surveiller toutes les activités d'externalisation et à garantir que le processus de développement externalisé satisfait aux exigences de sécurité de l'information.

Propriété du contrôle 8.30

Le responsable de la sécurité de l'information doit être chargé d'établir et de mettre en œuvre les procédures et contrôles nécessaires pour garantir que ces exigences en matière de sécurité de l'information sont communiquées, acceptées et respectées par les fournisseurs externes.

Orientations générales sur la conformité

Les orientations générales soulignent que les organisations doivent surveiller et vérifier en permanence que la livraison des travaux de développement externalisés satisfait aux exigences de sécurité des informations imposées au fournisseur de services externe.

Control 8.30 recommande aux organisations de prendre en compte les 11 facteurs suivants lors de l'externalisation du développement :

1. Conclure des accords, y compris des accords de licence, qui traitent de la propriété du code et des droits de propriété intellectuelle.
2. Imposer des exigences contractuelles appropriées pour une conception et un codage sécurisés conformément aux contrôles 8.25 et 8.29.
3. Établir un modèle de menace à adopter par les développeurs tiers.
4. Réaliser une procédure de tests d'acceptation pour garantir la qualité et l'exactitude du travail livré.
5. Preuve que les capacités minimales requises en matière de confidentialité et de sécurité sont atteintes. Ceci peut être réalisé via des rapports d’assurance.
6. Conserver la preuve de la manière dont suffisamment de tests ont été effectués pour protéger le système informatique ou le logiciel livré contre le contenu malveillant.
7. Conserver des preuves de la manière dont suffisamment de tests ont été appliqués pour se protéger contre les vulnérabilités identifiées.
8. Mettre en place des accords de séquestre couvrant le code source du logiciel. Par exemple, il peut s’agir de ce qui se passerait si le fournisseur externe faisait faillite.
9. L'accord avec le fournisseur doit impliquer le droit de l'organisation d'effectuer des audits sur les processus et les contrôles de développement.
10. Établir et mettre en œuvre des exigences de sécurité pour l'environnement de développement.
11. Les organisations doivent également tenir compte des lois, statuts et réglementations applicables.

Conseils supplémentaires

Pour des conseils plus détaillés sur la gestion des relations avec les fournisseurs, les organisations peuvent se référer à la norme ISO/IEC 27036.

Modifications et différences par rapport à la norme ISO 27002:2013

27002:2022/8.30 replaces 27002:2013/(14.2.7)

Dans l’ensemble, il n’y a pas de différence matérielle entre les deux versions.

Nouveaux contrôles ISO 27002

Comment ISMS.online vous aide

Les entreprises peuvent utiliser ISMS.Online pour les aider dans leurs efforts de conformité ISO 27002 en leur fournissant une plateforme qui facilite la gestion de leurs politiques et procédures de sécurité, leur mise à jour si nécessaire, leur test et le contrôle de leur efficacité.

Notre plateforme cloud vous permet de gérer rapidement et facilement tous les aspects de votre SMSI, y compris la gestion des risques, les politiques, les plans, les procédures et bien plus encore, dans un emplacement central. La plateforme est facile à utiliser et dispose d’une interface intuitive qui facilite l’apprentissage de son utilisation.

Contactez-nous dès aujourd'hui pour réserver une démo.