Assurer une séparation sécurisée des environnements de développement, de test et de production
Le fait de ne pas séparer correctement les environnements de développement, de test et de production peut entraîner une perte de disponibilité, de confidentialité et d’intégrité des actifs informationnels.
Par exemple, Uber publié accidentellement un référentiel de code sur Github qui contenait les mots de passe des utilisateurs de l'environnement de production, entraînant la perte de la confidentialité des informations sensibles.
Par conséquent, les organisations doivent mettre en œuvre des procédures et des contrôles appropriés pour séparer en toute sécurité les environnements de développement, de test et de production afin d’éliminer les risques de sécurité.
Objectif du contrôle 8.31
Control 8.31 permet aux organisations de maintenir la confidentialité, l'intégrité et la disponibilité des informations sensibles en séparant les environnements de développement, de test et de production par des procédures, contrôles et politiques appropriés.
Attributs Table de contrôle 8.31
Le contrôle 8.31 est de nature préventive et exige que les organisations établissent et appliquent de manière préventive des processus et des contrôles techniques pour séparer en toute sécurité les environnements de développement, de test et de production.
| Type de contrôle | Propriétés de sécurité des informations | Concepts de cybersécurité | Capacités opérationnelles | Domaines de sécurité |
|---|---|---|---|---|
| #Préventif | #Confidentialité | #Protéger | #Sécurité des applications | #Protection |
| #Intégrité | #Sécurité du système et des réseaux | |||
| #Disponibilité |
La norme ISO 27001 simplifiée
Une avance de 81 % dès le premier jour
Nous avons fait le plus gros du travail pour vous, en vous offrant une avance de 81 % dès votre connexion. Il ne vous reste plus qu'à remplir les champs.
Propriété du contrôle 8.31
Étant donné que le contrôle 8.31 implique l'établissement et la mise en œuvre de processus et de contrôles à l'échelle de l'organisation pour séparer les différents environnements logiciels, le responsable de la sécurité de l'information, avec l'aide de l'équipe de développement, sera en dernier ressort responsable de la conformité.
Orientations générales sur la conformité
Les organisations doivent prendre en compte les problèmes de production potentiels qui doivent être évités lors de la détermination du niveau de séparation requis entre les trois environnements.
En particulier, le contrôle 8.31 recommande aux organisations de prendre en compte les sept critères suivants :
- Ségrégation et fonctionnement des systèmes de développement et de production à un degré adéquat. Par exemple, l’utilisation d’environnements virtuels et physiques distincts pour la production pourrait s’avérer une méthode efficace.
- Des règles et procédures d'autorisation appropriées doivent être établies, documentées et appliquées pour l'utilisation de logiciels dans l'environnement de production après avoir traversé l'environnement de développement.
- Les organisations doivent examiner et tester les modifications apportées aux applications et aux systèmes de production dans un environnement de test distinct de l'environnement de production avant que ces modifications ne soient utilisées dans l'environnement de production.
- Les tests dans des environnements de production ne doivent pas être autorisés à moins que ces tests ne soient définis et approuvés avant les tests.
- Les outils de développement tels que les compilateurs et les éditeurs ne doivent pas être accessibles depuis les environnements de production, sauf si cet accès est absolument nécessaire.
- Pour minimiser les erreurs, les étiquettes d'identification de l'environnement appropriées doivent être affichées bien en évidence dans les menus.
- Les actifs informationnels sensibles ne doivent pas être transférés dans des environnements de développement et de test à moins que des mesures de sécurité équivalentes ne soient appliquées dans les systèmes de développement et de test.
Conseils supplémentaires sur la protection des environnements de développement et de test
Les organisations doivent protéger les environnements de développement et de test contre les risques de sécurité en tenant compte des éléments suivants :
- Tous les outils de développement, d'intégration et de test tels que les constructeurs, les intégrateurs et les bibliothèques doivent être régulièrement corrigés et mis à jour.
- Tous les systèmes et logiciels doivent être configurés en toute sécurité.
- L'accès aux environnements devrait être soumis à des contrôles appropriés.
- Les modifications apportées aux environnements et au code qui y sont stockés doivent être surveillées et examinées.
- Les environnements doivent être surveillés et examinés en toute sécurité.
- Les environnements doivent être sauvegardés.
De plus, aucun individu ne devrait avoir le privilège d’apporter des modifications aux environnements de développement et de production sans obtenir au préalable l’approbation. Pour éviter cela, les organisations peuvent séparer les droits d'accès ou établir et mettre en œuvre des contrôles d'accès.
En outre, les organisations peuvent également envisager des contrôles techniques supplémentaires tels que la journalisation de toutes les activités d'accès et la surveillance en temps réel de tous les accès à ces environnements.
Orientations supplémentaires sur le contrôle 8.31
Si les organisations ne mettent pas en œuvre les mesures nécessaires, leurs systèmes d’information peuvent être confrontés à des risques de sécurité importants.
Par exemple, les développeurs et les testeurs ayant accès à l'environnement de production peuvent apporter des modifications indésirables aux fichiers ou aux environnements système, exécuter du code non autorisé ou divulguer accidentellement des informations sensibles.
Par conséquent, les organisations ont besoin d’un environnement stable pour effectuer des tests robustes sur le code et empêcher les développeurs d’accéder aux environnements de production où les données sensibles du monde réel sont hébergées et traitées.
Les organisations doivent également appliquer des mesures telles que des rôles désignés ainsi que des exigences en matière de séparation des tâches.
Une autre menace pour la confidentialité des données de production concerne le personnel de développement et de test. Lorsque les équipes de développement et de test effectuent leurs activités en utilisant les mêmes appareils informatiques, elles peuvent accidentellement apporter des modifications à des informations sensibles ou à des logiciels.
Il est conseillé aux organisations d'établir des processus de support pour l'utilisation des données de production dans les systèmes de test et de développement conformément au contrôle 8.33.
De plus, les organisations doivent prendre en compte les mesures abordées dans ce contrôle lorsqu'elles effectuent une formation des utilisateurs finaux dans des environnements de formation.
Dernier point mais non le moindre, les organisations peuvent délibérément brouiller les frontières entre les environnements de développement, de test et de production. Par exemple, les tests peuvent être effectués dans un environnement de développement ou les tests de produits peuvent être effectués par l'utilisation réelle du produit par le personnel de l'organisation.
Gérez toute votre conformité, en un seul endroit
ISMS.online prend en charge plus de 100 normes et réglementations, vous offrant une plate-forme unique pour tous vos besoins de conformité.
Modifications et différences par rapport à la norme ISO 27002:2013
27002:2022/8.31 remplace 27002:2013/(12.1.4 et 14.2.6)
Bien que les deux versions soient dans une large mesure similaires, deux différences méritent d’être soulignées.
Control 14.2.6 dans la version 2013 fournit des conseils plus détaillés sur les environnements de développement sécurisés
Control 14.2.6 dans la version 2013 traite des environnements de développement sécurisés et répertorie 10 recommandations que les organisations doivent prendre en compte lors de la création d'un environnement de développement.
La version 2022, en revanche, ne contenait pas certaines de ces recommandations telles que la sauvegarde sur un site hors site et les restrictions sur le transfert de données.
Le contrôle 8.31 traite des tests de produits et de l'utilisation des données de production
Contrairement à la version 2013, le contrôle 8.31 de la version 2022 fournit des conseils sur la manière dont les tests de produits doivent être effectués et sur l'utilisation des données de production conformément au contrôle 8.33.
Nouveaux contrôles ISO 27002
| Identifiant de contrôle ISO/IEC 27002:2022 | Identifiant de contrôle ISO/IEC 27002:2013 | Nom du contrôle |
|---|---|---|
| 5.7 | NOUVEAU | Intelligence de la menace |
| 5.23 | NOUVEAU | Sécurité des informations pour l'utilisation des services cloud |
| 5.30 | NOUVEAU | Préparation aux TIC pour la continuité des activités |
| 7.4 | NOUVEAU | Surveillance de la sécurité physique |
| 8.9 | NOUVEAU | Gestion de la configuration |
| 8.10 | NOUVEAU | Suppression des informations |
| 8.11 | NOUVEAU | Masquage des données |
| 8.12 | NOUVEAU | Prévention des fuites de données |
| 8.16 | NOUVEAU | Activités de surveillance |
| 8.23 | NOUVEAU | filtrage web |
| 8.28 | NOUVEAU | Codage sécurisé |
| Identifiant de contrôle ISO/IEC 27002:2022 | Identifiant de contrôle ISO/IEC 27002:2013 | Nom du contrôle |
|---|---|---|
| 6.1 | 07.1.1 | Présélection |
| 6.2 | 07.1.2 | Termes et conditions d'emploi |
| 6.3 | 07.2.2 | Sensibilisation, éducation et formation à la sécurité de l’information |
| 6.4 | 07.2.3 | Processus disciplinaire |
| 6.5 | 07.3.1 | Responsabilités après la cessation ou le changement d'emploi |
| 6.6 | 13.2.4 | Accords de confidentialité ou de non-divulgation |
| 6.7 | 06.2.2 | Travail à distance |
| 6.8 | 16.1.2, 16.1.3 | Rapports d'événements liés à la sécurité des informations |
| Identifiant de contrôle ISO/IEC 27002:2022 | Identifiant de contrôle ISO/IEC 27002:2013 | Nom du contrôle |
|---|---|---|
| 7.1 | 11.1.1 | Périmètres de sécurité physique |
| 7.2 | 11.1.2, 11.1.6 | Entrée physique |
| 7.3 | 11.1.3 | Sécurisation des bureaux, des locaux et des installations |
| 7.4 | NOUVEAU | Surveillance de la sécurité physique |
| 7.5 | 11.1.4 | Se protéger contre les menaces physiques et environnementales |
| 7.6 | 11.1.5 | Travailler dans des zones sécurisées |
| 7.7 | 11.2.9 | Bureau clair et écran clair |
| 7.8 | 11.2.1 | Implantation et protection des équipements |
| 7.9 | 11.2.6 | Sécurité des actifs hors site |
| 7.10 | 08.3.1, 08.3.2, 08.3.3, 11.2.5 | Supports de stockage |
| 7.11 | 11.2.2 | Utilitaires pris en charge |
| 7.12 | 11.2.3 | Sécurité du câblage |
| 7.13 | 11.2.4 | La maintenance des équipements |
| 7.14 | 11.2.7 | Élimination ou réutilisation sécurisée des équipements |
Comment ISMS.online vous aide
La plateforme ISMS.Online aide à tous les aspects de la mise en œuvre de la norme ISO 27002, depuis la gestion des activités d'évaluation des risques jusqu'à l'élaboration de politiques, procédures et lignes directrices pour se conformer aux exigences de la norme.
Il fournit un moyen de documenter vos découvertes et de les communiquer en ligne aux membres de votre équipe. ISMS.Online vous permet également de créer et d'enregistrer des listes de contrôle pour toutes les tâches impliquées dans la mise en œuvre de la norme ISO 27002, afin que vous puissiez facilement suivre la progression du programme de sécurité de votre organisation.
Grâce à son ensemble d'outils automatisés, ISMS.Online permet aux organisations de démontrer facilement leur conformité à la norme ISO 27002.
Contactez-nous aujourd'hui pour planifier une démo.
