Không phân tách đúng cách môi trường phát triển, thử nghiệm và sản xuất có thể dẫn đến mất tính khả dụng, tính bảo mật và tính toàn vẹn của tài sản thông tin.
Ví dụ, Uber đã vô tình công bố một kho lưu trữ mã trên Github có chứa mật khẩu của người dùng từ môi trường sản xuất, dẫn đến mất tính bảo mật của thông tin nhạy cảm.
Do đó, các tổ chức nên triển khai các quy trình và biện pháp kiểm soát phù hợp để tách biệt an toàn các môi trường phát triển, thử nghiệm và sản xuất nhằm loại bỏ rủi ro bảo mật.
Mục đích của Kiểm soát 8.31
Kiểm soát 8.31 cho phép các tổ chức duy trì tính bảo mật, toàn vẹn và khả dụng của các tài sản thông tin nhạy cảm bằng cách phân tách các môi trường phát triển, thử nghiệm và sản xuất thông qua các quy trình, biện pháp kiểm soát và chính sách phù hợp.
Bảng Thuộc tính
Biện pháp kiểm soát 8.31 mang tính chất phòng ngừa và yêu cầu các tổ chức phải thiết lập và áp dụng trước các quy trình và biện pháp kiểm soát kỹ thuật để tách biệt an toàn các môi trường phát triển, thử nghiệm và sản xuất.
| Loại điều khiển | Thuộc tính bảo mật thông tin | Các khái niệm về an ninh mạng | Khả năng hoạt động | Miền bảo mật |
|---|---|---|---|---|
| #Phòng ngừa | #Bảo mật #Toàn vẹn #Khả dụng | #Bảo vệ | #Bảo mật ứng dụng #Bảo mật hệ thống và mạng | #Sự bảo vệ |
Quyền sở hữu kiểm soát 8.31
Xem xét rằng Kiểm soát 8.31 đòi hỏi việc thiết lập và triển khai các quy trình và biện pháp kiểm soát trên toàn tổ chức để phân tách các môi trường phần mềm khác nhau, giám đốc an ninh thông tin, với sự trợ giúp của nhóm phát triển, sẽ chịu trách nhiệm cuối cùng về việc tuân thủ.
Hướng dẫn chung về tuân thủ
Các tổ chức cần tính đến các vấn đề sản xuất tiềm ẩn cần được ngăn ngừa khi xác định mức độ tách biệt cần thiết giữa ba môi trường.
Đặc biệt, Control 8.31 khuyến nghị các tổ chức cân nhắc bảy tiêu chí sau:
- Phân tách và vận hành các hệ thống phát triển và sản xuất ở mức độ phù hợp. Ví dụ, việc sử dụng các môi trường ảo và vật lý riêng biệt cho sản xuất có thể là một phương pháp hiệu quả.
- Các quy tắc và thủ tục cấp phép phù hợp phải được thiết lập, ghi chép và áp dụng cho việc sử dụng phần mềm trong môi trường sản xuất sau khi trải qua môi trường phát triển.
- Các tổ chức nên xem xét và thử nghiệm những thay đổi được thực hiện đối với các ứng dụng và hệ thống sản xuất trong môi trường thử nghiệm tách biệt với môi trường sản xuất trước khi áp dụng những thay đổi này trong môi trường sản xuất.
- Không được phép thử nghiệm trong môi trường sản xuất trừ khi thử nghiệm đó được xác định và phê duyệt trước khi thử nghiệm.
- Các công cụ phát triển như trình biên dịch và trình soạn thảo không nên được truy cập từ môi trường sản xuất trừ khi việc truy cập này là hoàn toàn cần thiết.
- Để giảm thiểu lỗi, nhãn nhận dạng môi trường phù hợp phải được hiển thị rõ ràng trong menu.
- Không nên chuyển các thông tin nhạy cảm vào môi trường phát triển và thử nghiệm trừ khi các biện pháp bảo mật tương đương được áp dụng trong các hệ thống phát triển và thử nghiệm.
Hướng dẫn bổ sung về bảo vệ môi trường phát triển và thử nghiệm
Các tổ chức nên bảo vệ môi trường phát triển và thử nghiệm khỏi các rủi ro bảo mật bằng cách lưu ý đến những điều sau:
- Tất cả các công cụ phát triển, tích hợp và thử nghiệm như trình xây dựng, tích hợp và thư viện đều phải được vá và cập nhật thường xuyên.
- Tất cả các hệ thống và phần mềm phải được cấu hình an toàn.
- Việc tiếp cận môi trường phải tuân theo các biện pháp kiểm soát phù hợp.
- Những thay đổi về môi trường và mã được lưu trữ trong đó phải được theo dõi và xem xét.
- Môi trường cần được giám sát và xem xét một cách an toàn.
- Môi trường cần được sao lưu.
Hơn nữa, không một cá nhân nào được trao quyền thực hiện thay đổi trong cả môi trường phát triển và sản xuất mà không có sự chấp thuận trước. Để ngăn chặn điều này, các tổ chức có thể phân tách quyền truy cập hoặc thiết lập và triển khai kiểm soát truy cập.
Ngoài ra, các tổ chức cũng có thể cân nhắc các biện pháp kiểm soát kỹ thuật bổ sung như ghi lại mọi hoạt động truy cập và giám sát thời gian thực mọi hoạt động truy cập vào các môi trường này.
Hướng dẫn bổ sung về Kiểm soát 8.31
Nếu các tổ chức không thực hiện các biện pháp cần thiết, hệ thống thông tin của họ có thể phải đối mặt với rủi ro bảo mật đáng kể.
Ví dụ, các nhà phát triển và thử nghiệm có quyền truy cập vào môi trường sản xuất có thể thực hiện những thay đổi không mong muốn đối với các tệp hoặc môi trường hệ thống, thực thi mã trái phép hoặc vô tình tiết lộ thông tin nhạy cảm.
Do đó, các tổ chức cần một môi trường ổn định để thực hiện thử nghiệm mạnh mẽ trên mã và ngăn chặn các nhà phát triển truy cập vào môi trường sản xuất nơi lưu trữ và xử lý dữ liệu nhạy cảm trong thế giới thực.
Các tổ chức cũng nên áp dụng các biện pháp như phân công vai trò cùng với yêu cầu phân tách nhiệm vụ.
Một mối đe dọa khác đối với tính bảo mật của dữ liệu sản xuất là nhân viên phát triển và thử nghiệm. Khi các nhóm phát triển và thử nghiệm thực hiện các hoạt động của họ bằng cùng một thiết bị điện toán, họ có thể vô tình thay đổi thông tin nhạy cảm hoặc chương trình phần mềm.
Các tổ chức được khuyến cáo nên thiết lập các quy trình hỗ trợ cho việc sử dụng dữ liệu sản xuất trong các hệ thống thử nghiệm và phát triển theo tuân thủ Kiểm soát 8.33.
Hơn nữa, các tổ chức nên lưu ý đến các biện pháp nêu trong Kiểm soát này khi thực hiện đào tạo người dùng cuối trong môi trường đào tạo.
Cuối cùng nhưng không kém phần quan trọng, các tổ chức có thể cố tình làm mờ ranh giới giữa môi trường phát triển, thử nghiệm và sản xuất. Ví dụ, thử nghiệm có thể được thực hiện trong môi trường phát triển hoặc thử nghiệm sản phẩm có thể được thực hiện bằng cách sử dụng thực tế sản phẩm của nhân viên trong tổ chức.
Những thay đổi và khác biệt so với ISO 27002:2013
27002:2022/8.31 thay thế 27002:2013/(12.1.4 và 14.2.6)
Mặc dù hai phiên bản này khá giống nhau nhưng vẫn có hai điểm khác biệt cần được nêu bật.
Kiểm soát 14.2.6 trong Phiên bản 2013 Cung cấp Hướng dẫn Chi tiết hơn về Môi trường Phát triển An toàn
Tiêu chuẩn 14.2.6 trong phiên bản 2013 đề cập đến môi trường phát triển an toàn và liệt kê 10 khuyến nghị mà các tổ chức nên lưu ý khi xây dựng môi trường phát triển.
Ngược lại, phiên bản 2022 không bao gồm một số khuyến nghị như sao lưu tại vị trí ngoài và hạn chế việc truyền dữ liệu.
Kiểm soát 8.31 Giải quyết Kiểm tra Sản phẩm và Sử dụng Dữ liệu Sản xuất
Ngược lại với phiên bản năm 2013, Kiểm soát 8.31 trong Phiên bản năm 2022 cung cấp hướng dẫn về cách thực hiện thử nghiệm sản phẩm và cách sử dụng dữ liệu sản xuất theo Kiểm soát 8.33.
