A.8.32 Wijzigingsbeheer
Beheersmaatregel:
Alle wijzigingen in informatiesystemen, IT-infrastructuur en informatieverwerkende faciliteiten moeten onderworpen zijn aan een formeel proces van wijzigingsbeheer.
Belangrijke elementen:
- Plannen en evalueren: Elk voorgestelde wijziging wordt beoordeeld op impact, afhankelijkheden en risico’s.
- Autorisatie: Wijzigingen mogen alleen worden doorgevoerd na goedkeuring door bevoegde personen.
- Testen: Elke wijziging moet worden getest in een veilige testomgeving voordat deze in productie wordt genomen.
- Documentatie: Alle wijzigingen worden volledig gedocumenteerd, inclusief back-out plannen en testresultaten.
- Continuïteit: Zorg ervoor dat wijzigingen geen impact hebben op de beschikbaarheid van systemen en dat back-ups en herstelprocedures up-to-date zijn.
Doel:
Het waarborgen van de informatiebeveiliging en het minimaliseren van risico’s die gepaard gaan met ongecontroleerde of slecht geplande wijzigingen.
A.8.33 Testgegevens
Beheersmaatregel:
Testgegevens moeten zorgvuldig worden geselecteerd, beschermd en beheerd om zowel de betrouwbaarheid van tests als de veiligheid van operationele gegevens te garanderen.
Belangrijke elementen:
- Gegevensselectie: Alleen relevante en veilige gegevens worden gebruikt in testomgevingen. Het gebruik van gevoelige gegevens, zoals persoonsgegevens, moet worden vermeden of de gegevens moeten worden gemaskeerd.
- Toegangscontrole: Testomgevingen moeten dezelfde beveiligingsmaatregelen hebben als productieomgevingen, inclusief toegangsbeheer en logging.
- Opslag en verwijdering: Testgegevens worden veilig opgeslagen en na gebruik onmiddellijk verwijderd om misbruik te voorkomen.
- Audits: Alle kopieën en gebruik van testgegevens worden gelogd en gecontroleerd.
Doel:
Het beschermen van operationele gegevens en het garanderen van de betrouwbaarheid van tests zonder de vertrouwelijkheid en integriteit van gegevens in gevaar te brengen.
A.8.34 Bescherming van Informatiesystemen tijdens Audits
Beheersmaatregel:
Audittests en andere auditactiviteiten moeten worden gepland en uitgevoerd op een manier die de impact op operationele systemen en bedrijfsprocessen minimaliseert.
Belangrijke elementen:
- Planning: De reikwijdte en timing van audits worden vooraf afgestemd met het verantwoordelijke management.
- Beveiligde toegang: Alleen noodzakelijke toegang tot systemen wordt verleend, met een voorkeur voor alleen-lezentoegang.
- Minimalisatie van impact: Auditactiviteiten die de beschikbaarheid van systemen kunnen beïnvloeden, worden buiten werkuren uitgevoerd.
- Logging: Alle auditgerelateerde toegang en activiteiten worden geregistreerd en gecontroleerd.
- Bescherming van gegevens: Gegevens die tijdens audits worden verzameld, worden veilig opgeslagen en na gebruik verwijderd, tenzij wettelijke vereisten anders bepalen.
Doel:
Het minimaliseren van risico’s en verstoringen tijdens audits, terwijl de integriteit en beschikbaarheid van systemen en processen behouden blijven.
Waarom zijn deze controls essentieel?
- A.8.32 Wijzigingsbeheer: Minimaliseert operationele risico’s door gecontroleerde en gedocumenteerde wijzigingen, wat belangrijk is voor de betrouwbaarheid en beveiliging van IT-systemen.
- A.8.33 Testgegevens: Voorkomt dat gevoelige gegevens in testomgevingen in verkeerde handen vallen, terwijl de effectiviteit van tests wordt gegarandeerd.
- A.8.34 Bescherming tijdens audits: Zorgt ervoor dat audits geen negatieve invloed hebben op kritieke processen of de beveiliging van operationele systemen.
Met deze controls voldoet uw organisatie aan de hoogste eisen van informatiebeveiliging en bent u klaar voor een succesvolle ISO 27001-certificering. Ze dragen bij aan het vergroten van uw cyberweerbaarheid en het verbeteren van uw ISMS.
Investeer in compliance, beveiliging en betrouwbaarheid door deze best practices vandaag nog te implementeren!
Beoordelingen
Er zijn nog geen beoordelingen.