Các chương trình phần mềm ứng dụng như ứng dụng web , phần mềm đồ họa, phần mềm cơ sở dữ liệu và phần mềm xử lý thanh toán đóng vai trò quan trọng đối với nhiều hoạt động kinh doanh quan trọng.
Tuy nhiên, các ứng dụng này thường có lỗ hổng bảo mật có thể dẫn đến việc rò rỉ thông tin nhạy cảm .
Ví dụ, Equifax, một công ty tín dụng có trụ sở tại Hoa Kỳ, đã không áp dụng bản vá bảo mật trên một khuôn khổ ứng dụng trang web được sử dụng để xử lý khiếu nại của khách hàng. Những kẻ tấn công mạng đã sử dụng các lỗ hổng bảo mật trong ứng dụng web để xâm nhập vào mạng công ty của Equifax và đánh cắp dữ liệu nhạy cảm của khoảng 145 triệu người.
Tiêu chuẩn Kiểm soát 8.26 đề cập đến cách các tổ chức có thể thiết lập và áp dụng các yêu cầu bảo mật thông tin cho việc phát triển, sử dụng và mua lại các ứng dụng.
Mục đích của Kiểm soát 8.26
Control 8.26 cho phép các tổ chức bảo vệ tài sản thông tin được lưu trữ trên hoặc được xử lý thông qua các ứng dụng bằng cách xác định và áp dụng các yêu cầu bảo mật thông tin phù hợp.
Bảng Thuộc tính
Kiểm soát 8.26 là loại kiểm soát mang tính phòng ngừa nhằm ngăn ngừa rủi ro đối với tính toàn vẹn, tính khả dụng và tính bảo mật của tài sản thông tin được lưu trữ trên ứng dụng thông qua việc sử dụng các biện pháp bảo mật thông tin phù hợp.
| Loại điều khiển | Thuộc tính bảo mật thông tin | Các khái niệm về an ninh mạng | Khả năng hoạt động | Miền bảo mật |
|---|---|---|---|---|
| #Phòng ngừa | #Bảo mật #Toàn vẹn #Khả dụng | #Bảo vệ | #Bảo mật ứng dụng #Bảo mật hệ thống và mạng | #Bảo vệ #Phòng thủ |
Quyền sở hữu kiểm soát 8.26
Giám đốc An ninh thông tin, với sự hỗ trợ của các chuyên gia an ninh thông tin, sẽ chịu trách nhiệm xác định, phê duyệt và triển khai các yêu cầu thông tin để thu thập, sử dụng và phát triển các ứng dụng.
Hướng dẫn chung về tuân thủ
Hướng dẫn chung lưu ý rằng các tổ chức nên tiến hành đánh giá rủi ro để xác định loại yêu cầu bảo mật thông tin phù hợp với một ứng dụng cụ thể.
Mặc dù nội dung và loại yêu cầu bảo mật thông tin có thể khác nhau tùy thuộc vào bản chất của ứng dụng, nhưng các yêu cầu này phải giải quyết những vấn đề sau:
- Mức độ tin cậy được giao cho danh tính của các thực thể cụ thể theo Kiểm soát 5.17, 8.2 và 8.5.
- Xác định mức độ phân loại được chỉ định cho các tài sản thông tin sẽ được lưu trữ hoặc xử lý bởi ứng dụng.
- Có cần phải phân tách quyền truy cập vào các chức năng và thông tin được lưu trữ trên ứng dụng hay không.
- Ứng dụng có khả năng chống chịu tốt trước các cuộc tấn công mạng như tiêm SQL hoặc các hành vi chặn vô ý như tràn bộ đệm hay không.
- Các yêu cầu và tiêu chuẩn pháp lý, quy định và luật định áp dụng cho giao dịch được xử lý, tạo, lưu trữ hoặc hoàn tất bởi ứng dụng.
- Cân nhắc về quyền riêng tư cho tất cả các bên liên quan.
- Yêu cầu về bảo vệ dữ liệu bí mật .
- Bảo vệ thông tin khi sử dụng, truyền tải hoặc lưu trữ.
- Có cần thiết phải mã hóa an toàn thông tin liên lạc giữa tất cả các bên liên quan hay không.
- Triển khai các biện pháp kiểm soát đầu vào như xác thực đầu vào hoặc thực hiện kiểm tra tính toàn vẹn.
- Thực hiện kiểm soát tự động.
- Thực hiện kiểm soát đầu ra, lưu ý đến những ai có thể xem đầu ra và quyền truy cập.
- Cần áp dụng các hạn chế đối với nội dung của các trường “văn bản tự do” để bảo vệ việc phát tán dữ liệu bí mật theo cách không thể kiểm soát.
- Các yêu cầu phát sinh từ nhu cầu kinh doanh như ghi nhật ký giao dịch và yêu cầu không thể chối cãi.
- Các yêu cầu áp dụng bởi các biện pháp kiểm soát bảo mật khác như hệ thống phát hiện rò rỉ dữ liệu.
- Cách xử lý thông báo lỗi.
Hướng dẫn bổ sung về dịch vụ giao dịch
Tiêu chuẩn 8.26 yêu cầu các tổ chức phải lưu ý đến bảy khuyến nghị sau đây khi một ứng dụng cung cấp dịch vụ giao dịch giữa tổ chức và đối tác:
- Mức độ tin cậy mà mỗi bên trong giao dịch yêu cầu đối với danh tính của bên kia.
- Mức độ tin cậy cần thiết vào tính toàn vẹn của dữ liệu được truyền đạt hoặc xử lý và xác định cơ chế thích hợp để phát hiện bất kỳ sự thiếu toàn vẹn nào, bao gồm các công cụ như băm và chữ ký số.
- Thiết lập quy trình ủy quyền cho những người được phép phê duyệt nội dung, ký hoặc xác nhận các tài liệu giao dịch quan trọng.
- Duy trì tính bảo mật và toàn vẹn của các tài liệu quan trọng và chứng minh việc gửi và nhận các tài liệu đó.
- Bảo vệ và duy trì tính toàn vẹn và bảo mật của mọi giao dịch như đơn hàng và biên lai.
- Yêu cầu về thời hạn giao dịch phải được giữ bí mật.
- Yêu cầu hợp đồng và yêu cầu liên quan đến bảo hiểm.
Hướng dẫn bổ sung về đơn đặt hàng và thanh toán điện tử
Khi ứng dụng bao gồm chức năng thanh toán và đặt hàng điện tử, các tổ chức cần lưu ý những điều sau:
- Các yêu cầu đảm bảo tính bảo mật và toàn vẹn của thông tin đơn hàng không bị xâm phạm.
- Xác định mức độ xác minh phù hợp để xác minh thông tin thanh toán do khách hàng cung cấp.
- Ngăn ngừa việc mất mát hoặc trùng lặp thông tin giao dịch.
- Đảm bảo rằng thông tin liên quan được lưu trữ bên ngoài môi trường có thể truy cập công khai như trên phương tiện lưu trữ được lưu trữ trên mạng nội bộ của tổ chức.
- Khi các tổ chức dựa vào một cơ quan bên ngoài đáng tin cậy để cấp chữ ký số, họ phải đảm bảo tính bảo mật được tích hợp trong toàn bộ quy trình.
Hướng dẫn bổ sung về mạng
Khi truy cập các ứng dụng thông qua mạng, chúng dễ bị đe dọa bởi các tranh chấp hợp đồng, hoạt động gian lận, định tuyến sai, thay đổi trái phép nội dung thông tin liên lạc hoặc mất tính bảo mật của thông tin nhạy cảm.
Tiêu chuẩn kiểm soát 8.26 khuyến nghị các tổ chức thực hiện đánh giá rủi ro toàn diện để xác định các biện pháp kiểm soát phù hợp như sử dụng mật mã để đảm bảo tính bảo mật khi truyền thông tin
Những thay đổi và khác biệt so với ISO 27002:2013
27002:2022/8.26 thay thế 27002:2013/(14.1.2 và 14.1.3)
Có ba điểm khác biệt lớn giữa hai phiên bản.
Tất cả các ứng dụng so với các ứng dụng truyền qua mạng công cộng
Phiên bản ISO 27002:2013 không liệt kê các yêu cầu áp dụng cho tất cả các ứng dụng: Phiên bản này chỉ cung cấp danh sách các yêu cầu về bảo mật thông tin cần được xem xét đối với các ứng dụng truyền qua mạng công cộng.
Ngược lại, Kiểm soát 8.26 trong phiên bản 2022 đã cung cấp danh sách các yêu cầu bảo mật thông tin áp dụng cho tất cả các ứng dụng.
Hướng dẫn thêm về đơn đặt hàng và ứng dụng thanh toán điện tử
Kiểm soát 8.26 trong Phiên bản 2022 có hướng dẫn cụ thể về Ứng dụng Đặt hàng và Thanh toán Điện tử . Ngược lại, Phiên bản 2013 không đề cập đến vấn đề này.
Yêu cầu bổ sung về dịch vụ giao dịch
Trong khi phiên bản 2022 và phiên bản 2013 gần như giống hệt nhau về các yêu cầu đối với dịch vụ giao dịch, phiên bản 2022 đưa ra một yêu cầu bổ sung không được đề cập trong phiên bản 2013:
- Các tổ chức nên xem xét các yêu cầu hợp đồng và yêu cầu liên quan đến bảo hiểm.
