Trong khi các môi trường thử nghiệm không phải sản xuất như môi trường dàn dựng rất cần thiết để xây dựng các sản phẩm phần mềm và ứng dụng chất lượng cao, không có lỗi hoặc sai sót, việc sử dụng dữ liệu thực và thiếu các biện pháp bảo mật trong các môi trường này khiến tài sản thông tin có nguy cơ cao hơn.
Ví dụ, nhà phát triển có thể sử dụng thông tin đăng nhập dễ nhớ (ví dụ: “admin” cho cả tên người dùng và mật khẩu) để thử nghiệm môi trường lưu trữ dữ liệu nhạy cảm.
Kẻ tấn công mạng có thể lợi dụng điều này để dễ dàng truy cập vào môi trường thử nghiệm và đánh cắp thông tin nhạy cảm.
Do đó, các tổ chức nên áp dụng các biện pháp kiểm soát và quy trình phù hợp để bảo vệ dữ liệu thực tế được sử dụng cho mục đích thử nghiệm.
Mục đích của Kiểm soát 8.33
Kiểm soát 8.33 cho phép các tổ chức đạt được hai mục đích:
- Bảo vệ và duy trì tính bảo mật của thông tin được sử dụng trong môi trường thử nghiệm.
- Lựa chọn và sử dụng thông tin thử nghiệm mang lại kết quả đáng tin cậy.
Bảng Thuộc tính
Kiểm soát 8.33 là loại kiểm soát mang tính phòng ngừa, yêu cầu các tổ chức phải lựa chọn và bảo vệ thông tin phù hợp nhất cho giai đoạn thử nghiệm để duy trì tính bảo mật và toàn vẹn của thông tin.
| Loại điều khiển | Thuộc tính bảo mật thông tin | Các khái niệm về an ninh mạng | Khả năng hoạt động | Miền bảo mật |
|---|---|---|---|---|
| #Phòng ngừa | #Bảo mật #Chính trực | #Bảo vệ | #Bảo vệ thông tin | #Sự bảo vệ |
Quyền sở hữu kiểm soát 8.33
Xem xét rằng Kiểm soát 8.33 đòi hỏi việc lựa chọn, bảo vệ và quản lý thông tin thử nghiệm phù hợp nhất để sử dụng cho mục đích thử nghiệm, các nhân viên an ninh thông tin, phối hợp với nhóm phát triển, sẽ chịu trách nhiệm cuối cùng trong việc thiết lập các biện pháp kiểm soát và quy trình phù hợp.
Hướng dẫn chung về tuân thủ
Các tổ chức không nên sử dụng thông tin nhạy cảm, bao gồm dữ liệu cá nhân, trong môi trường phát triển và thử nghiệm.
Để bảo vệ thông tin kiểm tra khỏi mất tính bảo mật và toàn vẹn, các tổ chức phải tuân thủ những điều sau:
- Các biện pháp kiểm soát truy cập được áp dụng trong môi trường thực tế cũng nên được triển khai trong môi trường thử nghiệm.
- Thiết lập và triển khai quy trình cấp phép riêng cho việc sao chép thông tin thực vào môi trường thử nghiệm.
- Để lưu lại dấu vết kiểm toán, mọi hoạt động liên quan đến việc sao chép và sử dụng thông tin nhạy cảm trong môi trường thử nghiệm đều phải được ghi lại.
- Nếu thông tin nhạy cảm được sử dụng trong môi trường thử nghiệm, thông tin đó phải được bảo vệ bằng các biện pháp kiểm soát thích hợp như che giấu dữ liệu hoặc xóa dữ liệu.
- Sau khi quá trình thử nghiệm hoàn tất, thông tin được sử dụng trong môi trường thử nghiệm phải được xóa một cách an toàn và vĩnh viễn để loại bỏ nguy cơ truy cập trái phép.
Hơn nữa, các tổ chức nên áp dụng các biện pháp thích hợp để đảm bảo lưu trữ an toàn các tài sản thông tin.
Hướng dẫn bổ sung về Kiểm soát 8.33
Cần lưu ý rằng việc thử nghiệm hệ thống và chấp nhận có thể yêu cầu một lượng lớn thông tin thử nghiệm, tương đương với thông tin vận hành.
Những thay đổi và khác biệt so với ISO 27002:2013
27002:2022/8.33 thay thế 27002:2013/(14.3.1)
Mặc dù phiên bản 2022 khá giống với phiên bản 2013 nhưng phiên bản 2022 đưa ra yêu cầu sau:
- Nếu thông tin nhạy cảm được sử dụng trong môi trường thử nghiệm, thông tin đó phải được bảo vệ bằng các biện pháp kiểm soát thích hợp như che giấu dữ liệu hoặc xóa dữ liệu.
Ngược lại, phiên bản 27002:2013 không bao gồm yêu cầu này.
