ISO 27001:2022 Anexo A 8.31 - Separación de los entornos de desarrollo, prueba y producción

• See Norma ISO 27002:2022 8.31 para obtener más información.
• See ISO 27001:2013 Anexo A 12.1.4 para obtener más información.
• See ISO 27001:2013 Anexo A 14.2.6 para obtener más información.

ISO 27001 Anexo A 8.31: Por qué es fundamental separar los entornos de desarrollo, prueba y producción

No separar con precisión los entornos de desarrollo, prueba y producción podría provocar una pérdida de disponibilidad, confidencialidad e integridad de los activos de información.

Por ejemplo, Uber creó por error un repositorio de códigos en Github que incluía contraseñas de su entorno de producción, comprometiendo así la confidencialidad de los datos confidenciales.

Las organizaciones deben establecer protocolos y regulaciones adecuados para separar firmemente los entornos de desarrollo, prueba y producción con el fin de erradicar los riesgos de seguridad.

Propósito de ISO 27001:2022 Anexo A 8.31

ISO 27001:2022 El Anexo A 8.31 facilita a las organizaciones la preservación de la confidencialidad, la integridad y la disponibilidad de los activos de información confidencial a través de procesos, controles y regulaciones adecuados. Para ello, aisla los entornos de desarrollo, prueba y producción.

Propiedad del Anexo A 8.31

Los Director de Información de Seguridad, con la ayuda del equipo de desarrollo, será el responsable final de cumplir con el Anexo A 27001 de ISO 2022:8.31, que requiere el establecimiento e implementación de procesos y controles en toda la organización para separar diferentes entornos de software.

Orientación general sobre el cumplimiento de ISO 27001:2022 Anexo A 8.31

Las organizaciones deben considerar los problemas de producción que deben evitarse al decidir el grado necesario de separación entre los tres entornos.

El Anexo A 8.31 sugiere que las organizaciones tengan en cuenta siete criterios:

1. Se recomienda la segregación de los sistemas de desarrollo y producción a un nivel satisfactorio. Por ejemplo, utilizar distintos entornos virtuales y físicos para la producción podría ser una solución viable.
2. Se deben redactar, documentar e implementar reglas y procedimientos de autorización con respecto al uso del software en el entorno de producción después de que haya pasado por el entorno de desarrollo.
3. Las organizaciones deben evaluar y probar las modificaciones de las aplicaciones y los sistemas de producción en un entorno de prueba aislado, excluido del entorno de producción, antes de implementarlas en el entorno de producción.
4. No se deben realizar pruebas en entornos de producción a menos que se hayan definido y autorizado con precisión de antemano.
5. Los recursos de desarrollo, como compiladores y editores, no deberían estar disponibles en entornos de producción a menos que sea absolutamente esencial.
6. Para reducir errores, las etiquetas del entorno correcto deben aparecer de manera destacada en los menús.
7. No se deben transferir activos de información confidencial a ningún sistema de desarrollo o prueba a menos que existan medidas de seguridad equivalentes.

Guía sobre protección de entornos de desarrollo y pruebas

Las organizaciones deben salvaguardar los entornos de desarrollo y prueba de posibles riesgos de seguridad, teniendo en cuenta lo siguiente:

• Asegúrese de que todas las herramientas de desarrollo, integración y prueba, por ejemplo, constructores, integradores y bibliotecas, se actualicen periódicamente y se mantengan actualizadas.
• Asegúrese de que todos los sistemas y software estén configurados de forma segura.
• Deben existir controles adecuados para el acceso a los entornos.
• Se deben monitorear y revisar los cambios en los entornos y sus códigos.
• Se debe realizar un seguimiento y revisión seguros de los entornos.
• Los entornos deben salvaguardarse con copias de seguridad.

A ninguna persona se le debe conceder la prerrogativa de realizar cambios en los entornos de desarrollo y producción sin obtener aprobación previa. Para evitar esto, las organizaciones pueden separar los derechos de acceso o implementar y ejecutar controles de acceso.

Las organizaciones pueden contemplar controles técnicos adicionales, como registrar todas las actividades de acceso y monitorear el acceso a estos entornos en tiempo real.

Orientación complementaria sobre el Anexo A 8.31

Si las organizaciones no toman las medidas necesarias, sus sistemas de información pueden quedar expuestos a importantes riesgos de seguridad.

Los desarrolladores y evaluadores con acceso al entorno de producción pueden realizar modificaciones no deseadas en archivos o configuraciones del sistema, ejecutar código no autorizado o revelar datos confidenciales sin darse cuenta.

Las organizaciones necesitan un entorno estable para realizar pruebas exhaustivas de su código, lo que impide a los desarrolladores acceder a entornos de producción que almacenan y procesan datos confidenciales del mundo real.

Las organizaciones deben asignar roles específicos y hacer cumplir la separación de funciones.

Los equipos de desarrollo y pruebas pueden correr el riesgo de comprometer los datos de producción confidenciales si utilizan los mismos dispositivos informáticos. Se pueden realizar cambios involuntarios en información confidencial o programas de software.

Se insta a las organizaciones a establecer procesos de ayuda para utilizar datos de producción en sistemas de prueba y desarrollo de acuerdo con ISO 27001:2022 Anexo A 8.33.

Las organizaciones deben considerar las medidas analizadas en este Anexo A Control al llevar a cabo la capacitación del usuario final en entornos de capacitación.

Por último, las organizaciones pueden oscurecer los límites entre los entornos de desarrollo, prueba y producción. Por ejemplo, las pruebas pueden realizarse en un entorno de desarrollo o el personal puede probar el producto usándolo.

Cambios y diferencias con respecto a ISO 27001:2013

ISO 27001:2022 Anexo A 8.31 reemplaza a ISO 27001:2013 Anexo A 12.1.4 e ISO 27001:2013 Anexo A 14.2.6. Esta revisión realiza los ajustes necesarios para alinear la norma con las prácticas más actuales.

Las dos versiones tienen mucho en común, pero hay dos diferencias dignas de mención.

ISO 27001:2013 Anexo A 14.2.6 proporcionó orientación más detallada sobre entornos de desarrollo seguros

ISO 27001:2013 Anexo A 14.2.6 trata sobre entornos de desarrollo seguros y describe 10 recomendaciones que las organizaciones deben considerar al construir un entorno de desarrollo.

En comparación, ISO 27001:2022 Anexo A 8.33 no incluye ciertas propuestas, como tener una copia de seguridad en una ubicación distante y limitaciones en la transferencia de datos.

ISO 27001:2022 Anexo A 8.31 aborda las pruebas de productos y el uso de datos de producción

En comparación con ISO 27001:2013, ISO 27001:2022 Anexo A 8.31 ofrece orientación sobre pruebas de productos y utilización de datos de producción de acuerdo con ISO 27001:2022 Anexo A 8.33.

Tabla de todos los controles del Anexo A de ISO 27001:2022

En la siguiente tabla encontrará más información sobre cada ISO 27001:2022 individual. anexo A Control:

Cómo ayuda ISMS.online

ISMS.Online brinda soporte para la totalidad de Implementación de ISO 27001, desde la evaluación de riesgos hasta la creación de políticas, procedimientos y pautas para cumplir con el estándar.

ISMS.Online ofrece un enfoque conveniente para registrar descubrimientos y compartirlos con colegas en línea. Además, le permite crear y almacenar listas de verificación para cada tarea ISO 27001, lo que le permite monitorear el programa de seguridad de su organización sin esfuerzo.

También proporcionamos a las organizaciones un conjunto de herramientas automatizadas que facilita el cumplimiento de la norma ISO 27001. Su diseño fácil de usar simplifica la prueba de conformidad.

Ponte en contacto con nosotros ahora para organizar una demostración.