ISO 27001:2022 Anexo A 8.29 - Pruebas de seguridad en desarrollo y aceptación

• See Norma ISO 27002:2022 8.29 para obtener más información.
• See ISO 27001:2013 Anexo A 14.2.8 para obtener más información.
• See ISO 27001:2013 Anexo A 14.2.9 para obtener más información.

Cómo garantizar un desarrollo seguro: explicación de las pruebas de seguridad del Anexo A 27001 de la norma ISO 8.29

Los ciberdelincuentes idean continuamente métodos novedosos y mejoran sus tácticas para violar las redes corporativas y obtener acceso a datos confidenciales.

Los ciberdelincuentes podrían aprovechar una falla relacionada con el proceso de autenticación en el código fuente para violar las redes. Además, pueden intentar persuadir a los usuarios finales del lado del cliente para que hagan cosas que les permitan obtener acceso a datos, infiltrarse en redes o ejecutar ataques de ransomware.

Si una aplicación, software o sistema de TI se implementa con vulnerabilidades, la información confidencial correría el riesgo de verse comprometida.

Las organizaciones deben configurar y ejecutar un proceso de prueba de seguridad adecuado para identificar y abordar cualquier vulnerabilidad en los sistemas de TI antes de implementarlos en el mundo real.

Propósito de ISO 27001:2022 Anexo A 8.29

ISO 27001:2022 anexo A Control 8.29 permite a las organizaciones garantizar que se cumplan todos los requisitos de seguridad cuando se implementan nuevas aplicaciones, bases de datos, software o códigos. Esto se hace mediante la creación y el seguimiento de un exhaustivo proceso de prueba de seguridad.

Las organizaciones pueden identificar y eliminar posibles debilidades en su código, redes, servidores, aplicaciones y otros sistemas de TI antes de su implementación en el mundo real.

Propiedad del Anexo A 8.29

Los Oficial de seguridad de la información debe garantizar que se cumpla el Control 27001 del Anexo A de ISO 2022:8.29, que requiere el establecimiento, mantenimiento e implementación de un procedimiento de prueba de seguridad que cubra todos los sistemas de información nuevos, independientemente de si fueron creados internamente o por terceros.

Orientación general sobre el cumplimiento de ISO 27001:2022 Anexo A 8.29

Las organizaciones deben incorporar pruebas de seguridad en el proceso de prueba de todos los sistemas, garantizando que todos los sistemas de información nuevos, así como sus versiones nuevas/actualizadas, satisfagan los requisitos de seguridad de la información cuando se encuentren en el entorno de producción.

ISO 27001:2022 Anexo A Control 8.29 describe tres elementos como componentes esenciales de las pruebas de seguridad:

1. Garantizar la seguridad mediante la autenticación de usuario de acuerdo con ISO 27001:2022 Anexo A 8.5, restricción de acceso de acuerdo con ISO 27001:2022 Anexo A 8.3 y criptografía según ISO 27001:2022 Anexo A 8.24.
2. Asegúrese de que el código esté escrito de forma segura de conformidad con el Anexo A 27001 de la norma ISO 2022:8.28.
3. Asegúrese de que las configuraciones cumplan con los requisitos descritos en el Anexo A 8.9, 8.20 y 8.22, que pueden involucrar firewalls y sistemas operativos.

¿Qué debe incluir un plan de prueba?

Al diseñar planes de pruebas de seguridad, las organizaciones deben considerar la urgencia y el carácter del sistema de información involucrado.

Este plan de pruebas de seguridad debe incorporar los siguientes elementos:

• Conformar una agenda integral de los emprendimientos y las pruebas a realizar.
• Los resultados esperados cuando se cumplen ciertas condiciones incluyen tanto insumos como productos.
• Se deben establecer criterios para evaluar los resultados.
• Una vez que se han obtenido los resultados, se pueden tomar decisiones sobre qué acciones se deben tomar.

Desarrollo interno

El equipo de desarrollo interno debe realizar las pruebas de seguridad iniciales para garantizar que el sistema de TI cumpla con las especificaciones de seguridad.

Se debe realizar una primera ronda de pruebas, seguida de pruebas de aceptación independientes de acuerdo con el Anexo A 27001 de la norma ISO 2022:5.8.

Respecto al desarrollo interno se debe tener en cuenta lo siguiente:

• Realizar revisiones de código para identificar y abordar problemas de seguridad, abarcando entradas y situaciones anticipadas.
• Realizar análisis de vulnerabilidades para identificar configuraciones inseguras y otras debilidades potenciales.
• Realizar pruebas de penetración para identificar codificación y diseño débiles.

Outsourcing

Las organizaciones deben adherirse a un riguroso procedimiento de adquisición cuando delegan el desarrollo o adquirir elementos informáticos de fuentes externas.

Las organizaciones deben celebrar un contrato con sus proveedores que cumpla con los criterios de seguridad de la información establecidos en el Anexo A 27001 de la norma ISO 2022:5.20.

Las organizaciones deben garantizar que los bienes y servicios que adquieren estén en línea con los estándares de seguridad de la información.

Orientación complementaria sobre ISO 27001:2022 Anexo A 8.29

Las organizaciones pueden generar varios entornos de prueba para realizar una variedad de pruebas, incluidas las funcionales, no funcionales y de rendimiento. Pueden crear entornos de prueba virtuales, configurarlos para probar sistemas de TI en diferentes entornos operativos y perfeccionarlos en consecuencia.

El Anexo A 8.29 enfatiza la necesidad de pruebas de seguridad efectivas, lo que requiere que las organizaciones prueben y supervisen los entornos, herramientas y tecnologías de prueba.

Las organizaciones deben considerar el nivel de sensibilidad e importancia al decidir cuántas capas de metapruebas emplear.

Cambios y diferencias con respecto a ISO 27001:2013

ISO 27001:2022 Anexo A 8.29 reemplaza a ISO 27001:2013 Anexo A 14.2.8 y 14.2.9 en la revisión más reciente.

Cambios estructurales

ISO 27001:2022 consolida las pruebas seguras en un solo control, a diferencia de la norma ISO 27001:2013, que se refería a pruebas seguras en dos controles diferentes; Pruebas de seguridad del sistema (Anexo A 14.2.8) y Pruebas de aceptación del sistema (Anexo A 14.2.9).

ISO 27001:2022 Anexo A 8.29 trae requisitos más completos

A diferencia de ISO 27001:2013, la revisión de ISO 27001:2022 contiene requisitos y consejos más completos sobre:

• Un plan de pruebas de seguridad que debe incluir una variedad de elementos.
• Criterios para evaluar la seguridad en el desarrollo interno de sistemas informáticos.
• Qué se debe incluir en el proceso de pruebas de seguridad.
• Utilizar múltiples entornos de prueba es esencial. Garantiza minuciosidad y precisión en el proceso.

ISO 27001:2013 fue más detallada en relación con las pruebas de aceptación

A diferencia de ISO 27001:2022, ISO 27001:2013 fue más detallada con respecto a las pruebas de aceptación del sistema. Incluyó pruebas de seguridad para los componentes entrantes y la utilización de herramientas automatizadas.

Tabla de todos los controles del Anexo A de ISO 27001:2022

En la siguiente tabla encontrará más información sobre cada control individual del Anexo A de ISO 27001:2022.

Cómo ayuda ISMS.online

ISMS.online simplifica el proceso de implementación de ISO 27001:2022 a través de un sofisticado marco basado en la nube, que proporciona documentación de los procesos y listas de verificación del sistema de gestión de seguridad de la información para garantizar la compatibilidad con los estándares aceptados.

Contáctenos para organizar una demostración.