EU:n uudessa NIS2-direktiivissä turvallinen järjestelmähankinta ja -kehitys on ryhmitelty yhteen ja nimetty yhdeksi kymmenestä tärkeästä turvatoimenpiteestä, joita varten soveltamisalaan kuuluvilla organisaatioilla on oltava oikeasuhteiset ja dokumentoidut turvatoimenpiteet.
Turvallinen kehitys ja järjestelmähankinta ovat olennaisen tärkeitä tietoturvan kannalta, koska ne ovat portteja tietoihin. Ne ovat yksi puolustuslinja tietoturvauhkia vastaan. Hyvillä toimenpiteillä sekä kehittämisessä että hankinnassa voit varmistaa, että käyttämäsi järjestelmät kestävät nykyiset ja uudet uhat.
Tässä blogikirjoituksessa esitellään ISO 27001 -standardin hyväksi havaittuja toimenpiteitä, joilla voidaan parantaa sekä turvallisen kehityksen että järjestelmän hankinnan käytäntöjä. Näiden avulla yritykset eivät ainoastaan suojaa arkaluonteisia tietojaan vaan myös rakentavat luottamusta sidosryhmien ja asiakkaiden kanssa ja varmistavat, että yrityksen maine säilyy ehjänä. Muista, että on paljon kustannustehokkaampaa rakentaa kunnollinen tietoturva alusta alkaen kuin käsitellä tietomurron kalliita jälkiseurauksia.
Turvallinen järjestelmäkehitys on huolellinen lähestymistapa ohjelmisto- ja laitteistoratkaisujen suunnitteluun, rakentamiseen ja toteuttamiseen siten, että tietoturva otetaan mahdollisimman tarkasti huomioon. Siihen sisältyy tietoturvaan ja yksityisyydensuojaan liittyvien näkökohtien sisällyttäminen heti kehityksen alkuvaiheista lähtien, ja siinä otetaan huomioon keskeiset periaatteet, kuten tietojen luottamuksellisuus, eheys ja saatavuus. Turvallisen järjestelmäkehityksen perustana on sen tiedostaminen, että tietoturvan ei pitäisi olla jälkikäteen ajateltu asia, vaan se on olennainen osa ohjelmistojen rakentamista, joka on ennakoitava, suunniteltava ja toteutettava alusta alkaen aina käyttöönottoon asti.
Turvallisella järjestelmähankinnalla viitataan prosessiin, jossa hankitaan uusi ohjelmisto- tai laitteistojärjestelmä ja varmistetaan samalla, että se täyttää turvallisuusvaatimukset asetettujen standardien mukaisesti. Tähän prosessiin kuuluu uusien järjestelmien turvallisuusvaatimusten hahmottelu ( jotka voivat luonnollisesti poiketa huomattavasti kriittisten tai vähemmän tärkeiden järjestelmien kohdalla), asianmukaisen palveluntarjoajan valinta, järjestelmän turvallisuusominaisuuksien varmistaminen organisaation tarpeiden mukaisiksi ja lopuksi järjestelmän turvallinen liittäminen olemassa olevaan infrastruktuuriin.
ISO 27001 -standardi käsittelee turvallista kehittämistä ja järjestelmän hankintaa useiden eri hallintakeinojen avulla, ja korostaa sellaisia näkökohtia kuin selkeiden turvallisuusvaatimusten asettaminen kehitetyille tai hankituille sovelluksille, turvalliset koodausperiaatteet, vakaan kehitys- ja testausympäristön luominen ja hallittu muutosten toimeenpano.
Usein organisaatiot päättävät myös viitata yksityiskohtaisempaan yleisesti hyväksyttyyn materiaaliin, joka liittyy haavoittuvuuksiin ja niiden ehkäisemiseen turvallisella koodauksella (esim. OWASP Top Ten).
Tämä hallintakeino korostaa, että turvalliset kehitysperiaatteet on dokumentoitava, niiden on katettava koko kehityksen elinkaari ja niitä on valvottava tiukasti. Kehityshankkeisiin voidaan myös sisällyttää valvontapisteitä, joissa tarkastellaan tietoturvanäkökulmaa.
Turvallisen kehityksen sääntöjen tärkeitä näkökohtia - esimerkiksi erillisiä ympäristöjä, tuotteiden turvallisuusvaatimusten määrittelyä, testausprosesseja ja lähdekoodin turvallista hallintaa - käsitellään yksityiskohtaisemmin seuraavissa hallintakeinoissa.
Tässä hallintakeinossa ei erotella hankittuja tai itse luotuja sovelluksia toisistaan - sen mukaan sinun on määriteltävä tietoturvavaatimukset molemmille, jotta voidaan varmistaa, että kaikki hankitut tai itse luodut sovellukset ovat riittävän turvallisia.
Sovellusten turvallisuusvaatimukset hyötyvät prioriteettiluokittelusta. Matalan prioriteetin järjestelmille saattaa riittää ohjelmistotoimittajan kannattavuuden ja viestinnän perustarkastukset, mutta korkean prioriteetin järjestelmille saatetaan haluta yksityiskohtaiset vaatimukset, jotka koskevat monitekijätodennusta, salausta, integrointi- ja kirjaamisominaisuuksia, tietojen paikantamista ja palauttamista tai jopa palveluntarjoajalta vaadittavia sertifiointeja (esim. ISO 27001).
Sovellusten turvallisuusvaatimuksilla varmistetaan, että kaikki tarvittavat tietoturvatarpeet tunnistetaan ja otetaan huomioon kehitys- tai hankintaprosessin aikana.
Viime kädessä ohjelmisto on kasa koodia, johon voi hiipiä haavoittuvuuksia. On myös muutenkin tärkeää luoda selkeää koodia, jossa on yhteiset periaatteet - se parantaa esimerkiksi laatua ja helpottaa uuden henkilöstön sisällyttämistä projekteihin.
Turvallista ohjelmointia koskevilla säännöillä pyritään varmistamaan, että ohjelmistot kirjoitetaan turvallisella tavalla, jolloin mahdolliset tietoturvaa vaarantavat haavoittuvuudet vähenevät. Näitä menettelyjä olisi laajennettava siten, että ne kattavat myös kolmansien osapuolten hankkimat ohjelmistokomponentit ja avoimen lähdekoodin ohjelmistot. On ratkaisevan tärkeää, että tiimi ottaa vastuun turvallisista koodauskäytännöistä, sillä sen on oltava ajan tasalla nopeasti kehittyvästä uhkakuvasta.
Turvallisen koodauksen säännöt voisivat sisältää esimerkiksi seuraavat näkökohdat:
Tässä hallintakeinossa on kyse sovellusten tietoturvatestauksen suunnitteluprosesseista, ei yleisestä toimivuudesta tai käyttäjäkokemuksesta. Kehitysprosessin aikana on olennaisen tärkeää laatia ja noudattaa tietoturvallisia testausmenettelyjä. Näillä prosesseilla varmistetaan, että kun sovelluksia tai koodia otetaan käyttöön tuotantoympäristössä, ne testataan perusteellisesti sen varmistamiseksi, että ne täyttävät tietoturvavaatimukset. Testien olisi oltava linjassa määriteltyjen vaatimusten kanssa ja katettava sekä toiminnalliset että muut näkökohdat.
Testausohjeet omalle henkilöstölle ovat tärkeitä, mutta organisaatiot vahvistavat usein tätä näkökulmaa käyttämällä automatisoituja työkaluja uuden kirjoitetun koodin läpikäymiseen (esim. haavoittuvuuksien skannaus, salaisuuden havaitseminen), käyttämällä dynaamisemman tietoturvatestauksen automatisointia (esim. DAST) tai tekemällä yhteistyötä erityisten tunkeutumistestauksen ammattilaisten kanssa, jotka pyrkivät murtautumaan ympäristöihin ja pääsemään käsiksi tietoihin.
Kehitys-, testaus- ja tuotantoympäristöt on pidettävä erillään toisistaan ja turvattava, jotta tuotantoympäristöä ja tietoja voidaan suojella mahdolliselta vaarantumiselta kehitys- ja testaustoiminnan aikana. Näiden ympäristöjen välillä olisi määriteltävä tarvittava erottelun taso, ja sitä olisi valvottava, jotta estetään mahdollisten ongelmien vaikutus tuotantojärjestelmään.
Tässä valvonnassa korostetaan, että sovelluksiin tehtävien muutosten tulisi noudattaa muutostenhallintamenettelyjä. Pienemmät jokapäiväiset koodimuutokset saattavat olla normaaleja ja noudattaa kevyempää prosessia, mutta sovelluksen tärkeimpiin komponentteihin (esim. todennus, kirjaaminen, käyttäjähallinta) tehtävät suuremmat muutokset saattavat käydä läpi kattavammat tarkastukset ja riskianalyysin ennen julkaisemista.
Olivatpa muutoksenhallintamenettelyt sitten kevyitä tai raskaita, ne on dokumentoitava ja pantava täytäntöön, jotta tietojen luottamuksellisuus, eheys ja saatavuus voidaan turvata kaikissa järjestelmissä.
Hallintakeino 8.8 koskee laajasti haavoittuvuuksien hallintaa. Kun tekninen haavoittuvuus havaitaan mistä tahansa lähteestä (esim. tietoturvatestityökalujen, manuaalisen koodin tarkistuksen tai ulkoisten tietolähteiden kautta), on organisaation tiedettävä, miten toimitaan.
Prosessiin voi kuulua haavoittuvuuden luokittelu, haavoittuvuuden arviointi ja päätökset hylkäämis- tai hoitotoimista dokumentoiduin perusteluin. Jotkin haavoittuvuuksista voivat olla erittäin kiireellisiä ja vaatia välittömiä toimenpiteitä, kun taas joidenkin haavoittuvuuksien osalta toimenpiteet voidaan ryhmitellä ja ajoittaa myöhemmäksi.
Turvallisen kehityksen ja järjestelmähankinnan merkitystä ei voi liioitella. Kaikenlaiset yritykset ovat täysin riippuvaisia tiedoistaan ja sovelluksista, joita käytetään tietojen tallentamiseen ja käsittelyyn. Tämä käy kerta toisensa jälkeen ilmi esimerkiksi silloin, kun fyysisten tehtaiden toiminta lamautuu lunnasohjelmahyökkäyksen vuoksi. Suojaa järjestelmäsi suojellaksesi liiketoimintaa!
Löydät ISO 27001 -standardin testatut parhaat käytännöt, joiden avulla voit kehittää turvallisia kehitys- ja järjestelmähankintamenettelyjä ja täyttää NIS2-vaatimukset. Yleisten sääntöjen määrittelystä turvallisten sovellusten luomisen kautta teknisten haavoittuvuuksien hallintaan - kaikki tämä antaa organisaatiollesi mahdollisuuden luoda turvallisen järjestelmän, joka perustuu luotettaviin ja testattuihin käytäntöihin.
Kuten kaikki tietoturvan osa-alueet, myös turvalliset kehitys- ja hankintakäytännöt vaativat jatkuvaa parantamista. Kun aloitat jostain ja sitoutat itsesi ja kehitystiimisi jäsenet kehittämiseen, olet oikealla tiellä.
Paranna osaamistasi viikoittaisten webinaarien, videokurssien, artikkeleiden ja blogien avulla.
