Vào những năm 90, các doanh nghiệp chỉ triển khai các bài kiểm tra bảo mật cho các sản phẩm và hệ thống phần mềm trong giai đoạn cuối của vòng đời phát triển phần mềm.
Hậu quả của sự bất cẩn này là họ không phát hiện và khắc phục các lỗ hổng, lỗi và khuyết điểm quan trọng.
Các tổ chức nên đảm bảo các mối quan tâm về bảo mật được đưa vào ngay từ đầu, từ khâu lập kế hoạch đến triển khai. Điều này sẽ cho phép họ phát hiện và giải quyết sớm mọi lỗ hổng bảo mật.
Phụ lục A 8.25 của ISO 27001:2022 nêu ra các quy tắc mà tổ chức phải áp dụng để tạo ra các sản phẩm và hệ thống phần mềm an toàn.
Mục đích của ISO 27001:2022 Phụ lục A 8.25
Phụ lục A 8.25 của ISO 27001:2022 cho phép các tổ chức thiết kế các tiêu chuẩn bảo mật thông tin và triển khai chúng trong toàn bộ vòng đời phát triển an toàn của các sản phẩm và hệ thống phần mềm.
Quyền sở hữu của Phụ lục A 8.25
Giám đốc An ninh thông tin có nhiệm vụ xây dựng, thực hiện và duy trì các quy định và biện pháp bảo vệ để bảo vệ vòng đời phát triển.
Hướng dẫn chung về ISO 27001:2022 Phụ lục A 8.25 Tuân thủ
Phụ lục A của ISO 27001:2022 Kiểm soát 8.25 yêu cầu các tổ chức phải tuân thủ 10 yêu cầu để xây dựng các sản phẩm, hệ thống và kiến trúc phần mềm an toàn:
- Môi trường phát triển, thử nghiệm và sản xuất phải được tách biệt theo Phụ lục A 8.31 của ISO 27001:2022.
- Các tổ chức nên cung cấp hướng dẫn liên quan đến:
- Bảo mật là yếu tố quan trọng trong phát triển phần mềm, theo Phụ lục A của ISO 27001:2022 Kiểm soát 8.27 và 8.28. Do đó, cần phải cân nhắc đến yếu tố này khi xây dựng phương pháp luận.
- Đảm bảo mỗi ngôn ngữ lập trình có mã hóa an toàn tuân thủ theo Phụ lục A 8.28 của ISO 27001:2022.
- Các tổ chức phải triển khai các yêu cầu bảo mật theo Phụ lục A 5.8 của ISO 27001:2022 trong giai đoạn thiết kế và chỉ định.
- Các tổ chức nên xây dựng danh sách kiểm tra bảo mật theo Phụ lục A 5.8 của ISO 27001:2022.
- Các tổ chức nên tham gia vào thử nghiệm bảo mật và hệ thống, chẳng hạn như thử nghiệm thâm nhập và quét mã, theo Phụ lục A Kiểm soát 8.29 của ISO 27001:2022.
- Các tổ chức phải thiết lập kho lưu trữ an toàn để lưu trữ mã nguồn và cấu hình theo Phụ lục A, Kiểm soát 8.4 và 8.9.
- Các tổ chức phải đảm bảo tính bảo mật trong việc kiểm soát phiên bản của mình theo Phụ lục A 8.32 của ISO 27001:2022.
- Các tổ chức phải đảm bảo tất cả nhân sự tham gia phát triển đều có kiến thức bảo mật ứng dụng cần thiết và được đào tạo phù hợp theo định nghĩa trong Phụ lục A 8.28 của ISO 27001:2022.
- Các nhà phát triển phải có khả năng nhận biết và ngăn ngừa các lỗ hổng bảo mật theo Phụ lục A 8.28 của ISO 27001:2022.
- Các tổ chức phải tuân thủ các quy định cấp phép và đánh giá xem có giải pháp thay thế khả thi, tiết kiệm chi phí nào không, theo Phụ lục A 8.30 của ISO 27001:2022.
Nếu một tổ chức quyết định thuê ngoài các nhiệm vụ phát triển, tổ chức đó phải đảm bảo rằng mọi tác nhân bên ngoài đều tuân thủ các quy tắc và giao thức của họ liên quan đến việc phát triển phần mềm và hệ thống một cách an toàn.
Hướng dẫn bổ sung về ISO 27001:2022 Phụ lục A 8.25
Phụ lục A 8.25 của ISO 27001:2022 quy định rằng các sản phẩm, kiến trúc và hệ thống phần mềm có thể được phát triển trong các ứng dụng, cơ sở dữ liệu hoặc trình duyệt.
Những thay đổi và khác biệt so với ISO 27001:2013
Phụ lục A 8.25 của ISO 27001:2022 thay thế Phụ lục A 14.2.1 của ISO 27001:2013 trong tiêu chuẩn đã sửa đổi năm 2022 .
Tóm lại, có hai điểm khác biệt chính.
Phiên bản ISO 27001:2022 đặt ra hai yêu cầu mới
Phiên bản năm 2022 của ISO 27001 về cơ bản tương tự như phiên bản năm 2013, tuy nhiên, Phụ lục A Kiểm soát 8.25 của ISO 27001:2022 đưa ra hai yêu cầu mới cho các tổ chức:
- Các tổ chức phải đáp ứng các quy định cấp phép và đánh giá tính thực tiễn của các phương pháp tiết kiệm chi phí khác, như được nêu trong Phụ lục A 8.30 của ISO 27001:2022.
- Các tổ chức nên tiến hành các cuộc thử nghiệm bảo mật và hệ thống, chẳng hạn như thử nghiệm thâm nhập và quét mã, theo Phụ lục A 8.29 của ISO 27001:2022.
Phiên bản ISO 27001:2013 được tham chiếu rõ ràng đến việc sử dụng lại mã
Phiên bản 2013 nêu rõ việc áp dụng Phụ lục A Kiểm soát 14.2.1 cho cả các trường hợp phát triển mới và tái sử dụng mã. Tuy nhiên, Phụ lục A 8.25 của ISO 27001:2022 không bao gồm tham chiếu đến tái sử dụng mã.
