A.8.30
Supervisar la seguridad cuando otros construyen para usted
Control Tecnológico
Qué significa
Dirija, vigile y revise el trabajo desarrollado externamente frente a sus requisitos.
Cómo lo verifica StandardOS
Conectado en solo lectura, según un calendario. Una comprobación superada mantiene fresca una entrada de evidencia; una fallida la deja caducar, para que una regresión salga a la luz en lugar de esperar a la auditoría. Cada integración, y qué puede ver cada credencial.
- GitHubStandardOS lee qué colaboradores externos pueden hacer push a los repositorios comprobados, cada uno desarrollo externalizado.
Riesgos que trata este control
Del registro de riesgos inicial que StandardOS propone en la configuración. Usted conserva, edita o elimina cada uno; estos son los que citan A.8.30 como tratamiento.
- Código escrito por un proveedor llega a producción sin revisiónAplicación
Controles que trabajan con este
Aparecen juntos en el mismo riesgo o la misma política, así que normalmente también se implementan juntos.
- A.8.29Probar la seguridad antes de publicar nada
- A.5.19Gestionar el riesgo que traen los proveedores
- A.8.25Seguridad a lo largo de cómo se construye el software
- A.8.26Decidir qué debe hacer una aplicación con seguridad
- A.8.27Diseñar sistemas sobre principios seguros
- A.8.28Escribir código que resista los ataques
- A.8.31Mantener aparte los entornos de construcción, prueba y producción
- A.8.33Usar datos seguros al probar
Lo que cuesta la certificación ISO 27001. Los días de auditoría están fijados por ISO/IEC 27006, así que puede calcular su propia cifra. O vea qué cláusulas cubre StandardOS, incluidas las que no cubre.
Lo que StandardOS tiene listo para A.8.30 el día de la auditoría
Una decisión de aplicabilidad y un borrador de justificación, rellenados de antemano a partir de un perfil de siete preguntas y marcados como borrador hasta que los haga suyos. Un estado de implementación. Entradas de evidencia fechadas que caducan, para que la exportación que lee su auditor muestre qué era cierto y cuándo, archivado bajo esta referencia.