Cómo garantizar la separación segura de los entornos de desarrollo, prueba y producción
No separar adecuadamente los entornos de desarrollo, prueba y producción puede resultar en la pérdida de disponibilidad, confidencialidad e integridad de los activos de información.
Por ejemplo, Uber publicado accidentalmente un repositorio de código en Github que contenía contraseñas de usuarios del entorno de producción, lo que resultó en la pérdida de confidencialidad de información sensible.
Por lo tanto, las organizaciones deben implementar procedimientos y controles adecuados para segregar de forma segura los entornos de desarrollo, prueba y producción para eliminar los riesgos de seguridad.
Propósito del Control 8.31
Control 8.31 permite a las organizaciones mantener la confidencialidad, integridad y disponibilidad de los activos de información confidencial al segregar los entornos de desarrollo, prueba y producción a través de procedimientos, controles y políticas apropiados.
Tabla de Atributos de Control 8.31
El Control 8.31 es de naturaleza preventiva y requiere que las organizaciones establezcan y apliquen de manera preventiva procesos y controles técnicos para separar de forma segura los entornos de desarrollo, prueba y producción.
| Tipo de control | Propiedades de seguridad de la información | Conceptos de ciberseguridad | Capacidades operativas | Dominios de seguridad |
|---|---|---|---|---|
| #Preventivo | #Confidencialidad | #Proteger | #Seguridad de aplicaciones | #Proteccion |
| #Integridad | #Seguridad del sistema y de la red | |||
| #Disponibilidad |
ISO 27001 simplificado
Una ventaja del 81% desde el primer día
Hemos hecho el trabajo duro por ti y te damos una ventaja inicial del 81 % desde el momento en que inicias sesión. Todo lo que tienes que hacer es completar los espacios en blanco.
Propiedad del Control 8.31
Teniendo en cuenta que el Control 8.31 implica el establecimiento e implementación de procesos y controles en toda la organización para segregar diferentes entornos de software, el director de seguridad de la información, con la ayuda del equipo de desarrollo, será el responsable final del cumplimiento.
Orientación general sobre cumplimiento
Las organizaciones deben tener en cuenta los posibles problemas de producción que deben evitarse al determinar el nivel requerido de separación entre los tres entornos.
En particular, Control 8.31 recomienda que las organizaciones consideren los siguientes siete criterios:
- Segregación y funcionamiento de los sistemas de desarrollo y producción en grado adecuado. Por ejemplo, el uso de entornos virtuales y físicos separados para la producción podría ser un método eficaz.
- Se deben establecer, documentar y aplicar reglas y procedimientos de autorización apropiados para el uso del software en el entorno de producción después de pasar por el entorno de desarrollo.
- Las organizaciones deben revisar y probar los cambios realizados en las aplicaciones y los sistemas de producción en un entorno de prueba separado del entorno de producción antes de que estos cambios se utilicen en el entorno de producción.
- No se deben permitir las pruebas en entornos de producción a menos que dichas pruebas estén definidas y aprobadas antes de realizarlas.
- No se debe poder acceder a herramientas de desarrollo como compiladores y editores desde los entornos de producción a menos que este acceso sea absolutamente necesario.
- Para minimizar los errores, las etiquetas de identificación del entorno adecuado deben exhibirse de manera destacada en los menús.
- Los activos de información confidencial no deben transferirse a entornos de desarrollo y prueba a menos que se apliquen medidas de seguridad equivalentes en los sistemas de desarrollo y prueba.
Orientación complementaria sobre la protección de entornos de desarrollo y pruebas
Las organizaciones deben proteger los entornos de desarrollo y pruebas contra los riesgos de seguridad teniendo en cuenta lo siguiente:
- Todas las herramientas de desarrollo, integración y prueba, como constructores, integradores y bibliotecas, deben parchearse y actualizarse periódicamente.
- Todos los sistemas y software deben configurarse de forma segura.
- El acceso a los entornos debe estar sujeto a controles adecuados.
- Se deben monitorear y revisar los cambios en los entornos y el código almacenado en ellos.
- Los entornos deben monitorearse y revisarse de manera segura.
- Se debe realizar una copia de seguridad de los entornos.
Además, a ninguna persona se le debe dar el privilegio de realizar cambios tanto en el entorno de desarrollo como en el de producción sin obtener aprobación primero. Para evitar esto, las organizaciones pueden segregar los derechos de acceso o establecer e implementar controles de acceso.
Además, las organizaciones también pueden considerar controles técnicos adicionales, como el registro de todas las actividades de acceso y el monitoreo en tiempo real de todos los accesos a estos entornos.
Orientación complementaria sobre control 8.31
Si las organizaciones no implementan las medidas necesarias, sus sistemas de información pueden enfrentar importantes riesgos de seguridad.
Por ejemplo, los desarrolladores y evaluadores con acceso al entorno de producción pueden realizar cambios no deseados en archivos o entornos del sistema, ejecutar código no autorizado o revelar accidentalmente información confidencial.
Por lo tanto, las organizaciones necesitan un entorno estable para realizar pruebas sólidas del código y evitar que los desarrolladores accedan a los entornos de producción donde se alojan y procesan datos confidenciales del mundo real.
Las organizaciones también deberían aplicar medidas como la designación de roles junto con requisitos de separación de funciones.
Otra amenaza a la confidencialidad de los datos de producción es el personal de desarrollo y pruebas. Cuando los equipos de desarrollo y pruebas realizan sus actividades utilizando los mismos dispositivos informáticos, pueden realizar cambios accidentalmente en información confidencial o programas de software.
Se recomienda a las organizaciones que establezcan procesos de soporte para el uso de los datos de producción en sistemas de prueba y desarrollo de conformidad con el Control 8.33.
Además, las organizaciones deberán tener en cuenta las medidas abordadas en este Control cuando realicen formación de usuarios finales en entornos formativos.
Por último, pero no menos importante, las organizaciones pueden desdibujar deliberadamente las líneas entre los entornos de desarrollo, prueba y producción. Por ejemplo, las pruebas se pueden realizar en un entorno de desarrollo o las pruebas del producto se pueden realizar mediante el uso real del producto por parte del personal de la organización.
Gestione todo su cumplimiento, todo en un solo lugar
ISMS.online admite más de 100 estándares y regulaciones, lo que le brinda una única plataforma para todas sus necesidades de cumplimiento.
Cambios y diferencias con respecto a ISO 27002:2013
27002:2022/8.31 reemplaza a 27002:2013/(12.1.4 y 14.2.6)
Si bien las dos versiones son similares en gran medida, existen dos diferencias que conviene destacar.
Control 14.2.6 en la versión 2013 proporcionó orientación más detallada sobre entornos de desarrollo seguros
Control 14.2.6 en la versión 2013 aborda entornos de desarrollo seguros y enumera 10 recomendaciones que las organizaciones deben tener en cuenta al crear un entorno de desarrollo.
La versión 2022, por el contrario, no contenía algunas de estas recomendaciones, como realizar copias de seguridad en una ubicación externa y restricciones a la transferencia de datos.
El Control 8.31 Aborda las Pruebas de Productos y el Uso de Datos de Producción
A diferencia de la versión 2013, el Control 8.31 en la versión 2022 proporciona orientación sobre cómo se deben realizar las pruebas de productos y sobre el uso de los datos de producción de acuerdo con el Control 8.33.
Nuevos controles ISO 27002
| Identificador de control ISO/IEC 27002:2022 | Identificador de control ISO/IEC 27002:2013 | Nombre de control |
|---|---|---|
| 5.7 | NUEVO | Inteligencia de amenazas |
| 5.23 | NUEVO | Seguridad de la información para el uso de servicios en la nube. |
| 5.30 | NUEVO | Preparación de las TIC para la continuidad del negocio |
| 7.4 | NUEVO | Monitoreo de seguridad física |
| 8.9 | NUEVO | gestión de la configuración |
| 8.10 | NUEVO | Eliminación de información |
| 8.11 | NUEVO | Enmascaramiento de datos |
| 8.12 | NUEVO | Prevención de fuga de datos |
| 8.16 | NUEVO | Actividades de monitoreo |
| 8.23 | NUEVO | Filtrado Web |
| 8.28 | NUEVO | Codificación segura |
| Identificador de control ISO/IEC 27002:2022 | Identificador de control ISO/IEC 27002:2013 | Nombre de control |
|---|---|---|
| 6.1 | 07.1.1 | examen en línea. |
| 6.2 | 07.1.2 | Términos y condiciones de empleo |
| 6.3 | 07.2.2 | Concientización, educación y capacitación sobre seguridad de la información. |
| 6.4 | 07.2.3 | Proceso Disciplinario |
| 6.5 | 07.3.1 | Responsabilidades tras el despido o cambio de empleo |
| 6.6 | 13.2.4 | Acuerdos de confidencialidad o no divulgación |
| 6.7 | 06.2.2 | Trabajo remoto |
| 6.8 | 16.1.2, 16.1.3 | Informes de eventos de seguridad de la información |
| Identificador de control ISO/IEC 27002:2022 | Identificador de control ISO/IEC 27002:2013 | Nombre de control |
|---|---|---|
| 7.1 | 11.1.1 | Perímetros de seguridad física |
| 7.2 | 11.1.2, 11.1.6 | Entrada física |
| 7.3 | 11.1.3 | Seguridad de oficinas, habitaciones e instalaciones. |
| 7.4 | NUEVO | Monitoreo de seguridad física |
| 7.5 | 11.1.4 | Protección contra amenazas físicas y ambientales. |
| 7.6 | 11.1.5 | Trabajar en áreas seguras |
| 7.7 | 11.2.9 | Escritorio claro y pantalla clara |
| 7.8 | 11.2.1 | Ubicación y protección de equipos. |
| 7.9 | 11.2.6 | Seguridad de los activos fuera de las instalaciones |
| 7.10 | 08.3.1, 08.3.2, 08.3.3, 11.2.5 | Medios de almacenamiento |
| 7.11 | 11.2.2 | Servicios públicos de apoyo |
| 7.12 | 11.2.3 | Seguridad del cableado |
| 7.13 | 11.2.4 | Mantenimiento de equipo |
| 7.14 | 11.2.7 | Eliminación segura o reutilización del equipo |
Cómo ayuda ISMS.online
La plataforma ISMS.Online ayuda con todos los aspectos de la implementación de ISO 27002, desde la gestión de actividades de evaluación de riesgos hasta el desarrollo de políticas, procedimientos y directrices para cumplir con los requisitos de la norma.
Proporciona una manera de documentar sus hallazgos y comunicarlos con los miembros de su equipo en línea. ISMS.Online también le permite crear y guardar listas de verificación para todas las tareas involucradas en la implementación de ISO 27002, para que pueda seguir fácilmente el progreso del programa de seguridad de su organización.
Con su conjunto de herramientas automatizadas, ISMS.Online facilita que las organizaciones demuestren el cumplimiento de la norma ISO 27002.
Contáctenos hoy para programa una demostración.
