认证咨询

联系我们

深圳市安信达咨询有限公司 
电      话:+86 755-82800259
                +86 755-82800087
值班经理:13714167519(微信)
邮       箱:anxinda888#126.com  (#换@)
网      址:www.ts16949cn.com








ISO27001认证咨询您当前所在的位置:网站首页 > 认证咨询 > ISO27001认证咨询

ISO27001认证咨询——ISO27002:2013信息安全控制实用守则之信息系统获取、开发和维护

 
 
14 信息系统获取、开发和维护
14.1 信息系统的安全要求
目标:确保安全是信息系统生命周期的的一个有机组成部分,包括对向公共网络提供服务的信息系统要求。
 
14.1.1 信息安全需求分析和说明(原 12.1.1)
控制措施
在新的信息系统或增强已有信息系统的业务要求陈述中,应规定对安全控制措施的要求。
实施指南
信息安全要求应被识别,使用诸如从策略和规则、威胁模型、事件评审或脆弱性阈值的使用中导出合规性要求。识别的结果应文件化并由所有的利益相关者评审。信息安全要求和控制措施应反映出(参见 8.2)所涉及的信息的业务价值和由于缺乏足够安全导致潜在的负面业务影响。信息安全要求识别和管理和与过程的关联应被集成在信息系统项目的早期阶段。信息安全要求考虑越早,如在设计阶段能使解决方案更有效且成本更节约。
信息安全要求也应考虑:
a) 为了得到用户身份认证需求,要求信任级别接近用户的身份要求;
b) 访问配置和授权过程,为业务用户、特权用户或技术用户;
c) 告诉用户和操作员他们的义务和责任;
d) 所涉及资产的保护需求被要求,尤其是关于可用性、保密性和完整性;
e) 来自业务过程的要求,诸如交易记录、监视和不可抵赖的要求;
f) 由其它安全控制措施强制的要求,如,日志、监视或数据泄漏监测系统。
通过公共网络提供服务或执行交易的应用,14.1.2 和 14.1.3 专用控制措施应被考虑。如果产品被获得,一个正式的测试和获取过程应被遵循。与供应商签订的合同应体现已识别的安全要求。被提议的产品的安全功能不满足指定的要求,在购买这个产品之前应重新考虑风险和相关的控制措施。与最终软件/系统服务栈相关联产品的安全配置指南的可用性应被评估和实现。接受产品的标准应被定义,如已识别的安全要求的功能条款、给定的保证应被满足。产品应被评估依赖于获得之前的标准。附加的功能应被评审以确保不产生不可接受的额外风险。
其它信息
ISO/IEC 27005 和 ISO 31000 提供了使用风险管理过程确定控制措施满足信息安全要求的指南。
 
14.1.2 保护公共网络上的应用服务(新增)
控制措施
公网上应用服务中传输的信息应被保护,以免遭受欺诈、合同纠纷、未经授权的披露和修改。公网上应用服务的信息安全应考虑如下:
a) 每个团体的信任级别要求每一个其它的身份要求,如,通过身份认证;
b) 与可能批准的内容、关键问题或标记交易文档相关联的授权过程;
c) 确保通讯的伙伴充分了解他们规定的授权或服务使用;
d) 确定并满足保密性、完整性、发送和接收关键文档和合同的不可抵赖性,如与投标和合同关联的过程;
e) 关键文档的完整性信任级别被要求;
f) 任何机密信息的保护要求;
g) 任何订单交易、支付信息、交付地址细节和接收确认的机密性和完整性;
h) 由客户提供的验证支付信息适当的验证程度;
i) 选择最合适的支付结算方式以防止欺诈;
j) 维持订单信息的机密性和完整性的保护级别被要求;
k) 避免交易信息的丢失或复制;
l) 与任何不诚实交易相关联的倾向;
m) 保险要求。
上述考虑的大部分能由密码学控制措施的应用来处理(详见 10),考虑与法律要求的合规性(详见 18,尤其是密码学法律的 18.1.5)。在合作伙伴之间的应用服务安排应由文档化的协议来提供,保证合作伙伴之间同意服务的条款,包括上面(见 b))的授权细节。反攻击的弹性要求应被考虑,包括保护涉及的应用服务器或确保网络互联的可用性被要求来交付服务。
其它信息
通过公网可得到的应用受到一系列网络的威胁,如欺诈活动、合同纠纷或信息泄漏给大众。因此,详尽的风险评估和合理的控制措施选择是必不可少的。控制措施被要求通常包括认证和数据安全传输的加密算法。应用服务能利用安全认证算法,如使用公钥加密和数字签名(详见 10)来降低风险。而且,可信任的第三方能被使用,这样的服务被需要。
 
14.1.3
保护应用服务交易(新增)
控制措施
应用服务传输中所涉及到的信息应加以保护,以防止不完整的传输、路由错误、未经授权的消息改变、未授权披露、未经授权的消息复制或重放。
实施指南
应用服务传输中信息安全考虑应包括如下:
a) 包含在交易中的每一个合作伙伴的电子签名的使用;
b) 交易的所有方面,如,确保:
1) 所有合作伙伴的用户的安全认证信息是有效的且是被验证的;
2) 交易保持机密性;
3) 涉及的所有合作伙伴的关联的隐私被保留;
c) 所有涉及的合作伙伴之间的通讯路径是加密的;
d) 所有涉及的合作伙伴的通讯协议是加密的;
e) 确保交易细节的存储安置在任何公共可访问的外面,如存储平台安置在组织的内联网,且不保留和裸露互联网可访问的存储介质上;
f) 可依赖的授权被使用(如,为发布、维护数据签名或数字证书的目的)安全被集成且被嵌入贯穿整个端到端证书/签名管理过程。
其它信息
被采用的控制措施的程度需要与每个应用服务交易的格式关联的风险级别相当。交易可能需要遵从交易产生、处理、完成或存储的管辖范围内的法律法规。
 
14.2 开发和支过持程中的安全
目标:确保在整个信息系统开发生命周期中的信息安全设计与实施。
 
14.2.1安全开发策略(新增)
控制措施
应制定及应用关于软件和系统的开发规则。
实施指南
安全开发是对建立安全服务、架构、软件和系统的要求。在安全开发策略中,应考虑
如下方面:
a) 开发环境的安全;
b) 软件开发生命周期中安全指导:
1) 软件开发方法的安全;
2) 每个被使用的程序设计语言的安全代码指南;
c) 设计阶段的安全要求;
d) 项目里程碑中的安全检查点;
e) 安全资源库;
f) 版本控制的安全;
g) 必需的应用安全知识;
h) 开发者避免、查找和解决脆弱性的能力。
当应用到开发中的标准还不为人所知或与当前最佳实践不一致的情况下,安全程序设计技术应被使用在新的开发和代码再利用场景中。安全代码标准应被考虑并被强制性使用。开发者应接受培训对它们的使用,测试和代码审查应被验证它们的使用。如果开发被外包,组织应确保外包方遵从这些安全开发的规则(见 14.2.7)。
其它信息
开发也可能发生在应用中,如办公应用、脚本、浏览器和数据库。
14.2.2 系统变更控制程序(原 12.5.1)
控制措施
在开发生命周期中系统的变更应由正式的变更控制程序来控制。
实施指南
应将正式的变更控制程序文档化,并强制实施以确保系统、应用和产品的完整性,从早期的开发阶段直到后期的维护工作。新系统的引入和原有系统的主要变更应按照从文档、规范、测试、质量控制到实施管
理这样正式的过程进行。这个过程应包括风险评估、变更影响分析、所需的安全控制措施规范。这一过程还应确保不损坏现有的安全和控制程序,确保支持程序员仅能访问系统中其工作所需的那些部
分,确保任何变更要获得正式协商和批准。只要可行,应用和运行变更控制程序应集成起来(见 12.1.2)。该变更程序应包括并不限于:
a) 维护所商定授权级别的记录;
b) 确保由授权的用户提交变更;
c) 评审控制措施和完整性程序,以确保它们不因变更而损坏;
d) 识别需要修正的所有软件、信息、数据库实体和硬件;
e) 在工作开始之前,获得对详细建议的正式批准;
f) 确保已授权的用户在实施之前接受变更;
g) 确保在每个变更完成之后更新系统文档设置,并将旧文档归档或丢弃;
h) 维护所有软件更新的版本控制;
i) 维护所有变更请求的审计踪迹;
j) 当需要时,确保对操作文档(见 12.1.1)和用户程序作合适的变更;
k) 确保变更的实施发生在正确的时刻,并且不干扰所涉及的业务过程。
其它信息
变更软件会影响运行环境。
良好的惯例包括在一个与生产与开发完全隔离的环境中测试新软件(见 12.1.4)。这提供对新软件进行控制和允许对被用于测试目的的运行信息给予附加保护的手段。这应包括补丁、服务包和其它更新。
自动更新应被考虑,依赖于更新快速部署的好处来权衡系统完整性和可用性的风险。不应在关键系统中使用自动更新,因为某些更新可能会导致关键应用的失败。
 
14.2.3操作平台变更后对应用的技术评审(原 12.5.2)
控制措施
当操作平台发生变更时,应对业务的关键应用进行评审和测试,以确保对组织的运行或安全没有负面影响。
实施指南
这一过程应涵盖:
a) 评审应用控制和完整性程序,以确保它们不因操作平台变更而损坏;
b) 确保及时提供操作平台变更的通知,以便于在实施之前进行合适的测试和评审;
c) 确保对业务连续性计划进行合适的变更(见第 17 章)。
其它信息
操作平台包括操作系统、数据库和中间件平台。这些控制措施也应被申请应用的变更。
 
14.2.4 对软件包变更的限制(原 12.5.3)
控制措施
应软件包的修改应被劝阻,必要的变更应被限制,且对所有的变更加以严格控制。
实施指南
如果可能且可行,应使用厂商提供的软件包,而无需修改。在必须修改软件包时,应考虑下列各点:
a) 内置控制措施和完整性过程被损坏的风险;
b) 是否应获得厂商的同意;
c) 当标准程序更新时,从厂商获得所需要变更的可能性;
d) 作为变更的结果,组织要负责进一步维护此软件的影响;
e) 与使用中的其它软件的兼容性。
如果变更是必要的,则原始软件应保留,并将变更应用于已明显确定的拷贝。应实施软件更新管理过程,以确保最新批准的补丁和应用更新已经安装在所有的授权软件中(见12.6.1)。应全部测试所有变更,并将其形成文档,以使它们可以重新应用于必要的进一步的软件升级。如果需要,所有的更新应由独立的评估机构进行测试和验证。
 
14.2.5安全系统工程原则(新增)
控制措施
安全系统工程原则应被建立、形成文件、维护并应用到任何信息系统实施工作。
实施指南
基于安全工程原则的安全信息系统工程程序应被建立、形成文件并被应用到组织内部的信息系统工程活动。安全应在所有的体系结构层进行设计(业务层、数据层、应用层和技术层)以平衡信息安全需求与可达性的需求。新技术应被分析安全风险并且设计应被评审依赖于大家熟知的攻击模式。
这些原则和建立的工程程序应被不断地评审以确保它们在工程过程中是在有效地控制来增加安全标准。它们也应该被不断地评审以确保保持在最新时期与任何新的潜在的威胁进行抗衡,并保持适用于技术的发展和实用的解决方案。
已建立的安全工程原则应被应用于适用的信息系统外包,通过合同和其它约束的协议在组织和组织外包的供应商之间。组织应确认供应商的安全工程原则与组织所拥有的安全工程原则的严格程序是可比较的。
其它信息
应用开发程序应应用安全工程技术在有输入和输出接口应用的开发中。安全工程技术在用户身份认证技术、安全会话控制和数据有效性、免疫系统和高度代码的排除提供指导。
 
14.2.6安全的开发环境(新增)
控制措施
组织应建立并适当保护安全开发环境和涵盖整个系统开发周期的集成工作。
实施指南
安全开发环境包括与系统开发和集成相关的人、过程和技术。
组织应评估与单个系统开发工作相关的风险并为具体的系统开发工作建立安全开发环境,应考虑:
a) 由系统处理、存储和传输的数据的敏感性;
b) 来自条例或策略的适用的外部和内部要求;
c) 组织已经执行的支持系统开发的安全控制措施;
d) 在环境中个人工作的信用;
e) 与系统开发相关的外包程度;
f) 不同开发环境之间的隔离需求;
g) 对开发环境的访问控制措施;
h) 对环境和代码存储点变更的监视;
i) 备份和存储在现场外的安全位置;
j) 数据进入或流出环境的移动控制措施。
具体的开发环境保护级别一旦被确定,组织应记录安全开发程序中对应的过程并提供给需要他们的所有个体。
 
14.2.7外包开发(原 12.5.5)
控制措施
组织应监督并监视外包系统开发的活动。
实施指南
系统开发被外包的地方,应考虑下列要点,并贯穿组织整个外部供应链:
a)涉及外包内容的许可约定、代码所有权和知识产权(见 18.1.2);
b)为安全设计、代码和测试实践的合同的要求(见 14.2.1);
c)对外部开发者威胁模型被批准的条款;
d)交付物的质量和准确性的验收测试;
e)安全阈值的证据的条款被用于建立安全和加密质量的最低可接受级别;
f) 充足的测试的证据条款被应用以避免在交付时存在有意的和无意的恶意内容;
g)充足的测试的证据条款被应用以避免出现众所周知的脆弱性;
h)如果源代码不再可用,履约保证约定等等;
i) 合同权利来审计开发过程和控制程序;
j) 建设环境的有效证据被使用来创建可交付物;
k)组织保持对可用法律的遵从和控制措施有效性的验证。
其它信息
供应商关系更进一步的信息可以在 ISO/IEC 27036 中找到。
 
14.2.8 系统安全测试(新增)
控制措施
安全功能测试应在开发的过程中执行。
实施指南
新的和更新的系统在开发过程期间要求全面的测试和验证,包括:在条件范围内活动、测试输入和预期输出详细规划的准备。内部开发,测试应由开发团队执行初始化。单独的验收测试然后被保证(内部和外部开发)以确保系统工作实现预期且唯一实现预期(见14.1.1 和 14.1.9)。测试的程度对系统的重要性和类型应是相称的。
 
14.2.9 系统验收测试(原 10.3.2)
控制措施
在建立新系统、升级系统和更新版本时,必须建立验收测试程序和相关标准。
实施指南
系统验收测试应包括:信息安全要求的测试(见 14.1.1 和 14.1.2)和并遵守安全系统开发惯例(见 14.2.1)。这些测试也应对接收组件和集成系统进行控制。组织可以利用自动化工具,如代码分析工具或脆弱性扫描工具,并且应验证相关安全影响的纠正。测试应被执行在一个真实的测试环境,以确保系统不会引入脆弱性到组织的环境,且这个测试是可信赖的。
 
14.3 测试数据 
目标:确保测试数据的保护。
 
14.3.1 测试数据的保护(原 12.4.2)
控制措施
测试数据应被仔细筛选、保护和控制。
实施指南
应避免使用包含个人可辩认的信息或其它秘密信息用于测试目的。如果测试使用了个人可辩认或其他秘密信息,所有敏感细节和内容应被去除或修改以得到保护(见ISO/IEC29101)。
当用于测试时,应使用下列指南保护运行数据:
a) 应用于运行应用系统的访问控制程序,也应该应用于测试应用系统;
b) 运行信息每次被拷贝到测试环境时应有独立的授权;
c) 在测试完成之后,应立即从测试应用系统清除运行信息;
d) 应记录运行信息的拷贝和使用日志以提供审核踪迹。
其它信息
系统和验收测试常常要求相当多的尽可能接近运行数据的测试数据量。
 
 
 
***************************************************************************************************************************************************************************************************************************************

 

深圳市安信达咨询公司——23年老品牌国家首批ISO认证咨询备案、中国百强咨询机构、十大影响力品牌、广东省甲级咨询单位、广东省中小企业管理咨询服务示范单位、深圳市中小企业管理咨询服务示范单位、深圳市卓越绩效促进会会员单位、深圳市“市长质量奖”指定辅导单位!

在当下急功近利、鱼龙混杂的市场环境,安信达咨询公司不忘初衷、始终如一坚持公司的经营理念:“提升管理,为客户创造价值”,真真切切关注客户的需求,一切以客户的需求出发、以客户的需求为导向,关注咨询给客户带来的价值。安信达ISO认证咨询公司是华南地区同行业为数的不多的真正关注客户需求和利益的正规品牌ISO咨询机构!

 

因此,与安信达合作,企业自身一定要明确需求,显性的结果虽然相同(都ISO质量体系文件、都能通过认证、都能获取证书),但不同的目的、需求其辅导过程、深入程度、咨询师安排及工作量不同,企业的收益也不同,当然企业的投资也不同。有的只是获得了一张证书,有的通过体系的有效建立、推行从而规范企业的管理、提升企业管理水平,有效预防不良,降低企业不良成本,提升效益,让企业在竞争激励的市场环境中赢得更多机会。

公司技术力量雄厚,拥有一批优秀、稳定的专职咨询团队。咨询师队伍中大多供职10年以上,归属感强、责任心强。70%的团队成员具有大型外资、港资、台资品质管理、生产运营管理出身,实战管理经验丰富,对企业存在的问题能够一阵见血并提供可靠的解决方案。

公司有规范、完善的内部管理系统:

业内首家实行:

1) 《咨询师注册制度》:此注册制度高于国家注册咨询师要求,更加注重理论与实战的结合。

2) 《咨询师咨询过程质量监控制度》:监控来自三个方面:a、业务经理;b、专业客服;c、咨询总监(抽查的方式)

3) 《咨询师绩效考核制度既咨询师激励制度》:主要考核专业的能力和态度(责任心)两方面,态度方面的考核权重占65%,考核结果直接与薪酬与在职培训挂钩,推动与拉动双核驱动,激励咨询师更好的服务客户。

 

目前开展的ISO系列认证有:ISO9001认证ISO14001认证IATF16949认证ISO13485认证OHSAS18001认证QC080000认证AS9100认证HACCP认证ISO22000认证ISO27001认证ISO20000认证FSSC22000认证SA8000认证、ISO26000认证、ISO17025认证QS认证咨询英国BRC认证美国AIB认证TAPA认证ICTI认证ISO14604认证ISO50001认证等。点击标准查看详细信

为您服务的电话:0755-82800259,0755-82800087,24小时咨询电话:13714167519,甘先生,您的一个电话,我们将全力以赴!


联系我们
深圳市安信达咨询有限公司 (始于1996)          
0755-82800259      0755-82800087
值班经理:13714167519(微信) 甘经理
邮       箱:anxinda888@126.com  
Feedback我要留言
姓名 *
电话
Email
其他联系 如QQ等
留言内容 *
验证码
  
CHOOSE THE ANGEL STAR 企业管理咨询机构鱼龙混杂,如何选择适合自己企业的专业机构,日益成为企业发展道路上一个重要的课题!安信达咨询机构具有二十年中小企业管理诊断、咨询、培训、辅导一条龙服务经验。在当下急功近利社会环境,安信达不忘初衷、始终如一坚持 “提升管理,为客户创造价值”的理念,真正关注客户的需求,关注咨询给客户带来的价值。安信达咨询是华南地区同行业为数的不多的真正关注客户需求和利益的正规品牌咨询机构!安信达咨询机构是您最佳的企业管理顾问!