Vào những năm 90, các doanh nghiệp thường chỉ thực hiện thử nghiệm bảo mật cho các sản phẩm và hệ thống phần mềm trong giai đoạn thử nghiệm, ở giai đoạn cuối cùng của vòng đời phát triển phần mềm.
Kết quả là, họ thường không phát hiện và loại bỏ được các lỗ hổng, lỗi và sai sót nghiêm trọng.
Để xác định và giải quyết sớm các lỗ hổng bảo mật, các tổ chức nên lồng ghép các cân nhắc về bảo mật vào mọi giai đoạn của vòng đời phát triển, từ giai đoạn lập kế hoạch đến giai đoạn triển khai.
Kiểm soát 8.25 đề cập đến cách các tổ chức có thể đặt ra và triển khai các quy tắc để xây dựng các sản phẩm và hệ thống phần mềm an toàn.
Mục đích của Kiểm soát 8.25
Control 8.25 cho phép các tổ chức thiết kế các tiêu chuẩn bảo mật thông tin và áp dụng các tiêu chuẩn này trong toàn bộ vòng đời phát triển an toàn cho các sản phẩm và hệ thống phần mềm.
Bảng Thuộc tính
Kiểm soát 8.25 mang tính chất phòng ngừa vì nó yêu cầu các tổ chức chủ động thiết kế và triển khai các quy tắc và biện pháp kiểm soát chi phối toàn bộ vòng đời phát triển cho mọi sản phẩm và hệ thống phần mềm mới.
| Loại điều khiển | Thuộc tính bảo mật thông tin | Các khái niệm về an ninh mạng | Khả năng hoạt động | Miền bảo mật |
|---|---|---|---|---|
| #Phòng ngừa | #Bảo mật #Toàn vẹn #Khả dụng | #Bảo vệ | #Bảo mật ứng dụng #Bảo mật hệ thống và mạng | #Sự bảo vệ |
Quyền sở hữu kiểm soát 8.25
Giám đốc An ninh thông tin phải chịu trách nhiệm xây dựng, triển khai và duy trì các quy tắc và biện pháp nhằm đảm bảo an ninh cho vòng đời phát triển.
Hướng dẫn chung về tuân thủ
Tiêu chuẩn kiểm soát 8.25 bao gồm 10 yêu cầu mà các tổ chức phải tuân thủ để xây dựng các sản phẩm, hệ thống và kiến trúc phần mềm an toàn:
- Môi trường phát triển, thử nghiệm và sản xuất phải được tách biệt theo Kiểm soát 8.31.
- Các tổ chức nên cung cấp hướng dẫn về:
- Các cân nhắc về bảo mật trong phương pháp phát triển phần mềm theo Kiểm soát 8.27 và 8.28.
- Mã hóa an toàn cho từng ngôn ngữ lập trình theo tiêu chuẩn 8.28.
- Các tổ chức phải thiết lập và triển khai các yêu cầu bảo mật áp dụng cho giai đoạn thiết kế và chỉ định kỹ thuật theo Kiểm soát 5.8.
- Các tổ chức nên xác định danh sách kiểm tra bảo mật cho các dự án theo Kiểm soát 5.8.
- Các tổ chức phải thực hiện thử nghiệm bảo mật và hệ thống như thử nghiệm xâm nhập và quét mã theo Kiểm soát 8.29.
- Các tổ chức nên tạo kho lưu trữ an toàn để lưu trữ mã nguồn và cấu hình theo Tiêu chuẩn kiểm soát 8.4 và 8.9.
- Các tổ chức phải duy trì tính bảo mật trong kiểm soát phiên bản theo quy định trong Kiểm soát 8.32.
- Các tổ chức phải đảm bảo tất cả nhân sự tham gia phát triển đều có đủ kiến thức về bảo mật ứng dụng và được đào tạo cần thiết theo quy định tại Kiểm soát 8.28.
- Các nhà phát triển phải có khả năng xác định và ngăn chặn các lỗ hổng bảo mật như được nêu trong Kiểm soát 8.28.
- Các tổ chức phải tuân thủ các yêu cầu cấp phép và phải đánh giá tính khả thi của các phương pháp thay thế tiết kiệm chi phí như quy định trong Kiểm soát 8.30.
Hơn nữa, nếu một tổ chức thuê ngoài một số nhiệm vụ phát triển nhất định cho bên thứ ba, tổ chức đó phải đảm bảo rằng bên thứ ba tuân thủ các quy tắc và thủ tục của tổ chức để phát triển phần mềm và hệ thống một cách an toàn.
Hướng dẫn bổ sung về Kiểm soát 8.25
Điều khiển 8.25 lưu ý rằng các sản phẩm phần mềm, kiến trúc và hệ thống cũng có thể được phát triển trong các ứng dụng, cơ sở dữ liệu hoặc trình duyệt.
Những thay đổi và khác biệt so với ISO 27002:2013
27002:2022/8.25 thay thế 27002:2013/(14.2.1)
Nhìn chung, có hai điểm khác biệt chính.
Phiên bản ISO 27002:2022 đặt ra hai yêu cầu mới
Mặc dù phiên bản 2022 khá giống với phiên bản 2013, nhưng Control 8.25 áp đặt hai yêu cầu mới cho các tổ chức:
- Các tổ chức phải tuân thủ các yêu cầu cấp phép và phải đánh giá tính khả thi của các phương pháp thay thế tiết kiệm chi phí như quy định trong Kiểm soát 8.30.
- Các tổ chức phải thực hiện thử nghiệm bảo mật và hệ thống như thử nghiệm xâm nhập và quét mã theo Kiểm soát 8.29.
Phiên bản ISO 27002:2013 được tham chiếu rõ ràng đến việc sử dụng lại mã
Phiên bản 2013 nêu rõ rằng Control 14.2.1 áp dụng cho cả phát triển mới và tái sử dụng mã. Ngược lại, Control 8.25 không đề cập đến các kịch bản tái sử dụng mã.
