ISO 27002:2022 – Control 8.4 – Acceso al código fuente

Propósito del Control 8.4

Con el propósito de ISO 27002, Control 8.4 define “código fuente” como el código subyacente, las especificaciones y los planes utilizados para crear aplicaciones, programas y procesos que son propiedad de la propia organización.

Cuando se habla de acceso al código fuente, Control 8.4 concede la misma importancia a las herramientas de desarrollo (compiladores, entornos de prueba, etc.).

La gestión del código fuente representa un riesgo único a cualquier organización que tenga la necesidad de almacenarlo. Los elementos del código fuente críticos para el negocio incluyen datos de producción, detalles de configuración protegidos y aspectos de la propiedad intelectual de una organización.

Control 8.4 es un control preventivo que modifica el riesgo estableciendo un conjunto de principios subyacentes de acceso a datos (de acuerdo con un conjunto más amplio de controles de acceso de la organización) que rigen el acceso de lectura/escritura a:

• Código fuente
• Herramientas de desarrollo
• Bibliotecas de software

Tabla de Atributos de Control 8.4

Propiedad del Control 8.4

El Control 8.4 se ocupa de la capacidad de una organización para controlar el acceso a datos críticos para el negocio relacionados con el código fuente, herramientas de desarrollo e información comercialmente sensible, como bibliotecas de software.

Como tal, la propiedad debe residir en el Director de Seguridad de la Información (o equivalente organizacional), quien posee Responsabilidad de la seguridad general de la información y los datos de la organización. prácticas.

Orientación general sobre control 8.4

Control 8.4 aboga por un sistema de gestión de código fuente que permita a las organizaciones administrar de forma centralizada el acceso y la modificación del código fuente en todo su patrimonio de TIC.

Control 8.4 pide a las organizaciones que consideren el acceso al código fuente junto con un conjunto de privilegios estrictos de lectura y/o escritura, según la naturaleza del código fuente, desde dónde se accede y quién accede a él.

Al buscar controlar el acceso al código fuente, las organizaciones deberían:

• Controlar el acceso al código fuente de acuerdo con los procedimientos publicados.
• Proporcionar acceso de lectura y/o escritura al código fuente junto con un conjunto de requisitos comerciales claramente definidos caso por caso o usuario por usuario.
• Cumplir con un conjunto claro de procedimientos de gestión de cambios (ver Control 8.32) al administrar el acceso al código fuente, incluida la autorización adecuada basada en una variedad de variables de acceso (tipo de usuario, caso de negocio, etc.).
• Evitar que el acceso directo del código fuente por parte de los desarrolladores y, en su lugar, proporciona acceso a través de una serie de herramientas de desarrollo que brindan una vista de arriba hacia abajo de los derechos de acceso y privilegios de lectura/escritura.
• Proporcione un espacio seguro para almacenar listados de programas y privilegios de lectura/escritura.
• Mantener un registro de auditoría simultáneo de todas las actividades relacionadas con el código fuente, incluidas las marcas de tiempo de acceso de los usuarios y las actividades relacionadas con cambios.
• Asegúrese de que se utilicen firmas digitales para cualquier fragmento de código que se publicará fuera de la organización.

Controles de apoyo

• 8.32

Cambios y diferencias con respecto a ISO 27002:2013

27002:2022-8.4 replaces 27002:2014-9.4.5 (Acceso al código fuente), y contiene tres diferencias principales en su enfoque para establecer un sistema de gestión de código fuente (un concepto que está ausente en 27002:2014-9.4.5)

1. La provisión de acceso de lectura/escritura siguiendo un estricto conjunto de requisitos comerciales.
2. La necesidad de proporcionar a los desarrolladores acceso indirecto al código fuente a través de un conjunto de herramientas de desarrollo y/o entornos de prueba.
3. La necesidad de realizar cambios en las actividades de acceso al código fuente de acuerdo con los procedimientos de gestión de cambios recientemente publicados contenidos en el Control 8.32.

Nuevos controles ISO 27002

¿Cómo ayuda ISMS.online?

ISMS.Online simplifica la proceso de implementación ISO 27002 proporcionando todos los recursos, información y herramientas necesarios en un solo lugar. Te permite crear un SGSI con sólo unos pocos clics del mouse, lo que de otro modo llevaría mucho tiempo si se hiciera manualmente.

¿Quieres verlo en acción?

Ponte en contacto hoy para RESERVAR UNA DEMOSTRACIÓN.