Không tách biệt chính xác môi trường phát triển, thử nghiệm và sản xuất có thể dẫn đến mất tính khả dụng, tính bảo mật và tính toàn vẹn của tài sản thông tin.
Ví dụ, Uber đã vô tình đưa một kho lưu trữ mã lên Github, trong đó có chứa mật khẩu từ môi trường sản xuất của họ, do đó làm mất tính bảo mật của dữ liệu nhạy cảm.
Các tổ chức nên thiết lập các giao thức và quy định phù hợp để tách biệt chặt chẽ các giai đoạn phát triển, thử nghiệm và sản xuất nhằm loại bỏ các mối nguy về bảo mật.
Mục đích của ISO 27001:2022 Phụ lục A 8.31
ISO 27001:2022 Phụ lục A 8.31 hỗ trợ các tổ chức trong việc bảo vệ tính bảo mật, tính toàn vẹn và tính khả dụng của các tài sản thông tin nhạy cảm thông qua các quy trình, biện pháp kiểm soát và quy định phù hợp. Nó thực hiện điều này bằng cách cô lập các môi trường phát triển, thử nghiệm và sản xuất.
Quyền sở hữu của Phụ lục A 8.31
Giám đốc An ninh thông tin , với sự hỗ trợ của nhóm phát triển, sẽ chịu trách nhiệm cuối cùng trong việc tuân thủ Phụ lục A 8.31 của ISO 27001:2022, yêu cầu thiết lập và triển khai các quy trình và biện pháp kiểm soát trên toàn tổ chức để phân tách các môi trường phần mềm khác nhau.
Hướng dẫn chung về ISO 27001:2022 Phụ lục A 8.31 Tuân thủ
Các tổ chức nên cân nhắc các vấn đề sản xuất cần tránh khi quyết định mức độ tách biệt cần thiết giữa ba môi trường.
Phụ lục A 8.31 gợi ý các tổ chức cần ghi nhớ bảy tiêu chí sau:
- Việc phân tách các hệ thống phát triển và sản xuất ở mức độ thỏa đáng được khuyến khích. Ví dụ, sử dụng các môi trường ảo và vật lý riêng biệt cho sản xuất có thể là một giải pháp khả thi .
- Các quy tắc và thủ tục cấp phép phải được soạn thảo, ghi chép và triển khai liên quan đến việc sử dụng phần mềm trong môi trường sản xuất sau khi phần mềm đã đi qua môi trường phát triển.
- Các tổ chức nên đánh giá và thử nghiệm những thay đổi đối với các ứng dụng và hệ thống sản xuất trong bối cảnh thử nghiệm biệt lập, tách biệt khỏi môi trường sản xuất, trước khi triển khai chúng trong môi trường sản xuất.
- Không nên tiến hành thử nghiệm trong môi trường sản xuất trừ khi đã được xác định chính xác và cho phép trước.
- Các tài nguyên phát triển, chẳng hạn như trình biên dịch và trình soạn thảo, không nên có sẵn trong môi trường sản xuất trừ khi thực sự cần thiết.
- Để giảm thiểu sai sót, các nhãn môi trường chính xác nên được ghi nổi bật trong menu.
- Không nên chuyển bất kỳ thông tin nhạy cảm nào vào bất kỳ hệ thống phát triển hoặc thử nghiệm nào trừ khi có các biện pháp bảo mật tương đương.
Hướng dẫn về bảo vệ môi trường phát triển và thử nghiệm
Các tổ chức nên bảo vệ môi trường phát triển và thử nghiệm khỏi các mối nguy hiểm bảo mật tiềm ẩn, bằng cách cân nhắc những điều sau:
- Đảm bảo tất cả các công cụ phát triển, tích hợp và thử nghiệm, ví dụ như trình xây dựng, tích hợp và thư viện, được vá lỗi và cập nhật thường xuyên.
- Đảm bảo tất cả các hệ thống và phần mềm được thiết lập an toàn.
- Phải có biện pháp kiểm soát phù hợp để tiếp cận môi trường.
- Những thay đổi về môi trường và quy tắc của chúng cần được theo dõi và xem xét.
- Cần phải tiến hành giám sát và đánh giá môi trường một cách an toàn.
- Môi trường cần được bảo vệ bằng các bản sao lưu.
Không cá nhân nào được cấp quyền thực hiện thay đổi cho cả môi trường phát triển và sản xuất mà không có sự chấp thuận trước. Để tránh điều này, các tổ chức có thể tách biệt quyền truy cập hoặc thiết lập và thực hiện kiểm soát truy cập.
Các tổ chức có thể cân nhắc các biện pháp kiểm soát kỹ thuật sâu hơn, chẳng hạn như ghi lại mọi hoạt động truy cập và giám sát quyền truy cập vào các môi trường này theo thời gian thực.
Hướng dẫn bổ sung về Phụ lục A 8.31
Nếu các tổ chức không thực hiện các bước cần thiết, hệ thống thông tin của họ có thể gặp phải các mối nguy hiểm bảo mật đáng kể.
Các nhà phát triển và người thử nghiệm có quyền truy cập vào môi trường sản xuất có thể vô tình thay đổi các tệp hoặc cài đặt hệ thống, chạy mã trái phép hoặc vô tình tiết lộ dữ liệu nhạy cảm.
Các tổ chức cần có thiết lập ổn định để thực hiện thử nghiệm kỹ lưỡng trên mã của họ, ngăn chặn các nhà phát triển truy cập vào môi trường sản xuất lưu trữ và xử lý dữ liệu nhạy cảm trong thế giới thực.
Các tổ chức nên phân công vai trò cụ thể và thực hiện phân chia nhiệm vụ.
Các nhóm phát triển và thử nghiệm có thể có nguy cơ làm lộ dữ liệu sản xuất bí mật nếu sử dụng cùng một thiết bị điện toán. Có thể vô tình thay đổi thông tin nhạy cảm hoặc chương trình phần mềm.
Các tổ chức được khuyến khích thiết lập các quy trình hỗ trợ để sử dụng dữ liệu sản xuất trong các hệ thống thử nghiệm và phát triển theo tiêu chuẩn ISO 27001:2022 Phụ lục A 8.33.
Các tổ chức nên cân nhắc các biện pháp được thảo luận trong Phụ lục A này khi tiến hành đào tạo người dùng cuối trong các buổi đào tạo.
Cuối cùng, các tổ chức có thể làm mờ ranh giới giữa các thiết lập phát triển, thử nghiệm và sản xuất. Ví dụ, thử nghiệm có thể được tiến hành trong môi trường phát triển hoặc nhân viên có thể thử nghiệm sản phẩm bằng cách thực sự sử dụng nó.
Những thay đổi và khác biệt so với ISO 27001:2013
ISO 27001:2022 Phụ lục A 8.31 thay thế ISO 27001:2013 Phụ lục A 12.1.4 và ISO 27001:2013 Phụ lục A 14.2.6. Bản sửa đổi này thực hiện các điều chỉnh cần thiết để đưa tiêu chuẩn phù hợp với các thông lệ hiện hành nhất.
Hai phiên bản này có nhiều điểm chung, nhưng cũng có hai điểm khác biệt đáng chú ý.
ISO 27001:2013 Phụ lục A 14.2.6 Cung cấp Hướng dẫn Chi tiết hơn về Môi trường Phát triển An toàn
Phụ lục A 14.2.6 của ISO 27001:2013 đề cập đến môi trường phát triển an toàn và nêu ra 10 khuyến nghị mà các tổ chức cần cân nhắc khi xây dựng môi trường phát triển.
Trong khi đó, Phụ lục A 8.33 của ISO 27001:2022 không bao gồm một số đề xuất nhất định, chẳng hạn như sao lưu ở vị trí xa và hạn chế về việc truyền dữ liệu.
ISO 27001:2022 Phụ lục A 8.31 Đề cập đến việc thử nghiệm sản phẩm và sử dụng dữ liệu sản xuất
So với ISO 27001:2013, Phụ lục A 8.31 của ISO 27001:2022 đưa ra hướng dẫn về thử nghiệm sản phẩm và sử dụng dữ liệu sản xuất theo Phụ lục A 8.33 của ISO 27001:2022.
