No separar adecuadamente los entornos de desarrollo, prueba y producción puede resultar en la pérdida de disponibilidad, confidencialidad e integridad de los activos de información.
Por ejemplo, Uber publicado accidentalmente un repositorio de código en Github que contenía contraseñas de usuarios del entorno de producción, lo que resultó en la pérdida de confidencialidad de información sensible.
Por lo tanto, las organizaciones deben implementar procedimientos y controles adecuados para segregar de forma segura los entornos de desarrollo, prueba y producción para eliminar los riesgos de seguridad.
Control 8.31 permite a las organizaciones mantener la confidencialidad, integridad y disponibilidad de los activos de información confidencial al segregar los entornos de desarrollo, prueba y producción a través de procedimientos, controles y políticas apropiados.
El Control 8.31 es de naturaleza preventiva y requiere que las organizaciones establezcan y apliquen de manera preventiva procesos y controles técnicos para separar de forma segura los entornos de desarrollo, prueba y producción.
| Tipo de control | Propiedades de seguridad de la información | Conceptos de ciberseguridad | Capacidades operativas | Dominios de seguridad |
|---|---|---|---|---|
| #Preventivo | #Confidencialidad #Integridad #Disponibilidad | #Proteger | #Seguridad de aplicaciones #Seguridad del sistema y de la red | #Proteccion |
Teniendo en cuenta que el Control 8.31 implica el establecimiento e implementación de procesos y controles en toda la organización para segregar diferentes entornos de software, el director de seguridad de la información, con la ayuda del equipo de desarrollo, será el responsable final del cumplimiento.
Las organizaciones deben tener en cuenta los posibles problemas de producción que deben evitarse al determinar el nivel requerido de separación entre los tres entornos.
En particular, Control 8.31 recomienda que las organizaciones consideren los siguientes siete criterios:
Las organizaciones deben proteger los entornos de desarrollo y pruebas contra los riesgos de seguridad teniendo en cuenta lo siguiente:
Además, a ninguna persona se le debe dar el privilegio de realizar cambios tanto en el entorno de desarrollo como en el de producción sin obtener aprobación primero. Para evitar esto, las organizaciones pueden segregar los derechos de acceso o establecer e implementar controles de acceso.
Además, las organizaciones también pueden considerar controles técnicos adicionales, como el registro de todas las actividades de acceso y el monitoreo en tiempo real de todos los accesos a estos entornos.
Le daremos una ventaja inicial del 81%
desde el momento en que inicias sesión
Reserva tu demostración
Si las organizaciones no implementan las medidas necesarias, sus sistemas de información pueden enfrentar importantes riesgos de seguridad.
Por ejemplo, los desarrolladores y evaluadores con acceso al entorno de producción pueden realizar cambios no deseados en archivos o entornos del sistema, ejecutar código no autorizado o revelar accidentalmente información confidencial.
Por lo tanto, las organizaciones necesitan un entorno estable para realizar pruebas sólidas del código y evitar que los desarrolladores accedan a los entornos de producción donde se alojan y procesan datos confidenciales del mundo real.
Las organizaciones también deberían aplicar medidas como la designación de roles junto con requisitos de separación de funciones.
Otra amenaza a la confidencialidad de los datos de producción es el personal de desarrollo y pruebas. Cuando los equipos de desarrollo y pruebas realizan sus actividades utilizando los mismos dispositivos informáticos, pueden realizar cambios accidentalmente en información confidencial o programas de software.
Se recomienda a las organizaciones que establezcan procesos de soporte para el uso de los datos de producción en sistemas de prueba y desarrollo de conformidad con el Control 8.33.
Además, las organizaciones deberán tener en cuenta las medidas abordadas en este Control cuando realicen formación de usuarios finales en entornos formativos.
Por último, pero no menos importante, las organizaciones pueden desdibujar deliberadamente las líneas entre los entornos de desarrollo, prueba y producción. Por ejemplo, las pruebas se pueden realizar en un entorno de desarrollo o las pruebas del producto se pueden realizar mediante el uso real del producto por parte del personal de la organización.
27002:2022/8.31 reemplaza a 27002:2013/(12.1.4 y 14.2.6)
Si bien las dos versiones son similares en gran medida, existen dos diferencias que conviene destacar.
Control 14.2.6 en la versión 2013 aborda entornos de desarrollo seguros y enumera 10 recomendaciones que las organizaciones deben tener en cuenta al crear un entorno de desarrollo.
La versión 2022, por el contrario, no contenía algunas de estas recomendaciones, como realizar copias de seguridad en una ubicación externa y restricciones a la transferencia de datos.
A diferencia de la versión 2013, el Control 8.31 en la versión 2022 proporciona orientación sobre cómo se deben realizar las pruebas de productos y sobre el uso de los datos de producción de acuerdo con el Control 8.33.
La plataforma ISMS.Online ayuda con todos los aspectos de la implementación de ISO 27002, desde la gestión de actividades de evaluación de riesgos hasta el desarrollo de políticas, procedimientos y directrices para cumplir con los requisitos de la norma.
Proporciona una manera de documentar sus hallazgos y comunicarlos con los miembros de su equipo en línea. ISMS.Online también le permite crear y guardar listas de verificación para todas las tareas involucradas en la implementación de ISO 27002, para que pueda seguir fácilmente el progreso del programa de seguridad de su organización.
Con su conjunto de herramientas automatizadas, ISMS.Online facilita que las organizaciones demuestren el cumplimiento de la norma ISO 27002.
Contáctenos hoy para programa una demostración.
El único cumplimiento
solución que necesitas
Reserva tu demostración
| Identificador de control ISO/IEC 27002:2022 | Identificador de control ISO/IEC 27002:2013 | Nombre de control |
|---|---|---|
| 5.7 | Nuevo | Inteligencia de amenazas |
| 5.23 | Nuevo | Seguridad de la información para el uso de servicios en la nube. |
| 5.30 | Nuevo | Preparación de las TIC para la continuidad del negocio |
| 7.4 | Nuevo | Monitoreo de seguridad física |
| 8.9 | Nuevo | gestión de la configuración |
| 8.10 | Nuevo | Eliminación de información |
| 8.11 | Nuevo | Enmascaramiento de datos |
| 8.12 | Nuevo | Prevención de fuga de datos |
| 8.16 | Nuevo | Actividades de monitoreo |
| 8.23 | Nuevo | Filtrado Web |
| 8.28 | Nuevo | Codificación segura |
| Identificador de control ISO/IEC 27002:2022 | Identificador de control ISO/IEC 27002:2013 | Nombre de control |
|---|---|---|
| 6.1 | 07.1.1 | examen en línea. |
| 6.2 | 07.1.2 | Términos y condiciones de empleo |
| 6.3 | 07.2.2 | Concientización, educación y capacitación sobre seguridad de la información. |
| 6.4 | 07.2.3 | Proceso Disciplinario |
| 6.5 | 07.3.1 | Responsabilidades tras el despido o cambio de empleo |
| 6.6 | 13.2.4 | Acuerdos de confidencialidad o no divulgación |
| 6.7 | 06.2.2 | Trabajo remoto |
| 6.8 | 16.1.2, 16.1.3 | Informes de eventos de seguridad de la información |
| Identificador de control ISO/IEC 27002:2022 | Identificador de control ISO/IEC 27002:2013 | Nombre de control |
|---|---|---|
| 7.1 | 11.1.1 | Perímetros de seguridad física |
| 7.2 | 11.1.2, 11.1.6 | Entrada física |
| 7.3 | 11.1.3 | Seguridad de oficinas, habitaciones e instalaciones. |
| 7.4 | Nuevo | Monitoreo de seguridad física |
| 7.5 | 11.1.4 | Protección contra amenazas físicas y ambientales. |
| 7.6 | 11.1.5 | Trabajar en áreas seguras |
| 7.7 | 11.2.9 | Escritorio claro y pantalla clara |
| 7.8 | 11.2.1 | Ubicación y protección de equipos. |
| 7.9 | 11.2.6 | Seguridad de los activos fuera de las instalaciones |
| 7.10 | 08.3.1, 08.3.2, 08.3.3, 11.2.5 | Medios de almacenamiento |
| 7.11 | 11.2.2 | Servicios públicos de apoyo |
| 7.12 | 11.2.3 | Seguridad del cableado |
| 7.13 | 11.2.4 | Mantenimiento de equipo |
| 7.14 | 11.2.7 | Eliminación segura o reutilización del equipo |
