Le fait de ne pas séparer correctement les environnements de développement, de test et de production peut entraîner une perte de disponibilité, de confidentialité et d’intégrité des actifs informationnels.
Par exemple, Uber publié accidentellement un référentiel de code sur Github qui contenait les mots de passe des utilisateurs de l'environnement de production, entraînant la perte de la confidentialité des informations sensibles.
Par conséquent, les organisations doivent mettre en œuvre des procédures et des contrôles appropriés pour séparer en toute sécurité les environnements de développement, de test et de production afin d’éliminer les risques de sécurité.
Control 8.31 permet aux organisations de maintenir la confidentialité, l'intégrité et la disponibilité des informations sensibles en séparant les environnements de développement, de test et de production par des procédures, contrôles et politiques appropriés.
Le contrôle 8.31 est de nature préventive et exige que les organisations établissent et appliquent de manière préventive des processus et des contrôles techniques pour séparer en toute sécurité les environnements de développement, de test et de production.
| Type de contrôle | Propriétés de sécurité des informations | Concepts de cybersécurité | Capacités opérationnelles | Domaines de sécurité |
|---|---|---|---|---|
| #Préventif | #Confidentialité #Intégrité #Disponibilité | #Protéger | #Sécurité des applications #Sécurité du système et des réseaux | #Protection |
Étant donné que le contrôle 8.31 implique l'établissement et la mise en œuvre de processus et de contrôles à l'échelle de l'organisation pour séparer les différents environnements logiciels, le responsable de la sécurité de l'information, avec l'aide de l'équipe de développement, sera en dernier ressort responsable de la conformité.
Les organisations doivent prendre en compte les problèmes de production potentiels qui doivent être évités lors de la détermination du niveau de séparation requis entre les trois environnements.
En particulier, le contrôle 8.31 recommande aux organisations de prendre en compte les sept critères suivants :
Les organisations doivent protéger les environnements de développement et de test contre les risques de sécurité en tenant compte des éléments suivants :
De plus, aucun individu ne devrait avoir le privilège d’apporter des modifications aux environnements de développement et de production sans obtenir au préalable l’approbation. Pour éviter cela, les organisations peuvent séparer les droits d'accès ou établir et mettre en œuvre des contrôles d'accès.
En outre, les organisations peuvent également envisager des contrôles techniques supplémentaires tels que la journalisation de toutes les activités d'accès et la surveillance en temps réel de tous les accès à ces environnements.
Nous vous donnerons une longueur d'avance de 81 %
à partir du moment où vous vous connectez
Réservez votre démo
Si les organisations ne mettent pas en œuvre les mesures nécessaires, leurs systèmes d’information peuvent être confrontés à des risques de sécurité importants.
Par exemple, les développeurs et les testeurs ayant accès à l'environnement de production peuvent apporter des modifications indésirables aux fichiers ou aux environnements système, exécuter du code non autorisé ou divulguer accidentellement des informations sensibles.
Par conséquent, les organisations ont besoin d’un environnement stable pour effectuer des tests robustes sur le code et empêcher les développeurs d’accéder aux environnements de production où les données sensibles du monde réel sont hébergées et traitées.
Les organisations doivent également appliquer des mesures telles que des rôles désignés ainsi que des exigences en matière de séparation des tâches.
Une autre menace pour la confidentialité des données de production concerne le personnel de développement et de test. Lorsque les équipes de développement et de test effectuent leurs activités en utilisant les mêmes appareils informatiques, elles peuvent accidentellement apporter des modifications à des informations sensibles ou à des logiciels.
Il est conseillé aux organisations d'établir des processus de support pour l'utilisation des données de production dans les systèmes de test et de développement conformément au contrôle 8.33.
De plus, les organisations doivent prendre en compte les mesures abordées dans ce contrôle lorsqu'elles effectuent une formation des utilisateurs finaux dans des environnements de formation.
Dernier point mais non le moindre, les organisations peuvent délibérément brouiller les frontières entre les environnements de développement, de test et de production. Par exemple, les tests peuvent être effectués dans un environnement de développement ou les tests de produits peuvent être effectués par l'utilisation réelle du produit par le personnel de l'organisation.
27002:2022/8.31 remplace 27002:2013/(12.1.4 et 14.2.6)
Bien que les deux versions soient dans une large mesure similaires, deux différences méritent d’être soulignées.
Control 14.2.6 dans la version 2013 traite des environnements de développement sécurisés et répertorie 10 recommandations que les organisations doivent prendre en compte lors de la création d'un environnement de développement.
La version 2022, en revanche, ne contenait pas certaines de ces recommandations telles que la sauvegarde sur un site hors site et les restrictions sur le transfert de données.
Contrairement à la version 2013, le contrôle 8.31 de la version 2022 fournit des conseils sur la manière dont les tests de produits doivent être effectués et sur l'utilisation des données de production conformément au contrôle 8.33.
La plateforme ISMS.Online aide à tous les aspects de la mise en œuvre de la norme ISO 27002, depuis la gestion des activités d'évaluation des risques jusqu'à l'élaboration de politiques, procédures et lignes directrices pour se conformer aux exigences de la norme.
Il fournit un moyen de documenter vos découvertes et de les communiquer en ligne aux membres de votre équipe. ISMS.Online vous permet également de créer et d'enregistrer des listes de contrôle pour toutes les tâches impliquées dans la mise en œuvre de la norme ISO 27002, afin que vous puissiez facilement suivre la progression du programme de sécurité de votre organisation.
Grâce à son ensemble d'outils automatisés, ISMS.Online permet aux organisations de démontrer facilement leur conformité à la norme ISO 27002.
Contactez-nous aujourd'hui pour planifier une démo.
La seule conformité
solution dont vous avez besoin
Réservez votre démo
| Identifiant de contrôle ISO/IEC 27002:2022 | Identifiant de contrôle ISO/IEC 27002:2013 | Nom du contrôle |
|---|---|---|
| 5.7 | Nouveauté | Intelligence de la menace |
| 5.23 | Nouveauté | Sécurité des informations pour l'utilisation des services cloud |
| 5.30 | Nouveauté | Préparation aux TIC pour la continuité des activités |
| 7.4 | Nouveauté | Surveillance de la sécurité physique |
| 8.9 | Nouveauté | Gestion de la configuration |
| 8.10 | Nouveauté | Suppression des informations |
| 8.11 | Nouveauté | Masquage des données |
| 8.12 | Nouveauté | Prévention des fuites de données |
| 8.16 | Nouveauté | Activités de surveillance |
| 8.23 | Nouveauté | filtrage web |
| 8.28 | Nouveauté | Codage sécurisé |
| Identifiant de contrôle ISO/IEC 27002:2022 | Identifiant de contrôle ISO/IEC 27002:2013 | Nom du contrôle |
|---|---|---|
| 6.1 | 07.1.1 | Tamisage |
| 6.2 | 07.1.2 | Termes et conditions d'emploi |
| 6.3 | 07.2.2 | Sensibilisation, éducation et formation à la sécurité de l’information |
| 6.4 | 07.2.3 | Processus disciplinaire |
| 6.5 | 07.3.1 | Responsabilités après la cessation ou le changement d'emploi |
| 6.6 | 13.2.4 | Accords de confidentialité ou de non-divulgation |
| 6.7 | 06.2.2 | Travail à distance |
| 6.8 | 16.1.2, 16.1.3 | Rapports d'événements liés à la sécurité des informations |
| Identifiant de contrôle ISO/IEC 27002:2022 | Identifiant de contrôle ISO/IEC 27002:2013 | Nom du contrôle |
|---|---|---|
| 7.1 | 11.1.1 | Périmètres de sécurité physique |
| 7.2 | 11.1.2, 11.1.6 | Entrée physique |
| 7.3 | 11.1.3 | Sécurisation des bureaux, des locaux et des installations |
| 7.4 | Nouveauté | Surveillance de la sécurité physique |
| 7.5 | 11.1.4 | Se protéger contre les menaces physiques et environnementales |
| 7.6 | 11.1.5 | Travailler dans des zones sécurisées |
| 7.7 | 11.2.9 | Bureau clair et écran clair |
| 7.8 | 11.2.1 | Implantation et protection des équipements |
| 7.9 | 11.2.6 | Sécurité des actifs hors site |
| 7.10 | 08.3.1, 08.3.2, 08.3.3, 11.2.5 | Supports de stockage |
| 7.11 | 11.2.2 | Utilitaires pris en charge |
| 7.12 | 11.2.3 | Sécurité du câblage |
| 7.13 | 11.2.4 | La maintenance des équipements |
| 7.14 | 11.2.7 | Élimination ou réutilisation sécurisée des équipements |
