ISO 27001 ในการพัฒนาซอฟต์แวร์: สิ่งที่พาร์ทเนอร์ด้านเทคโนโลยีของคุณต้องมี

การทำงานกับผู้ให้บริการที่ยังไม่ได้รับการตรวจสอบในซอฟต์แวร์ที่อยู่ภายใต้กฎระเบียบคือความเสี่ยงที่วัดได้ การรั่วไหลของข้อมูล การตรวจสอบที่ล้มเหลว หรือภาระผูกพันในการแจ้งเตือนตาม GDPR อาจมีค่าใช้จ่ายสูงกว่าตัวสัญญาเอง พาร์ทเนอร์พัฒนาซอฟต์แวร์ที่ได้รับการรับรอง ISO 27001 มอบ baseline ที่มีการกำกับดูแล — ซึ่งได้รับการตรวจสอบโดยผู้ตรวจสอบอิสระ ไม่ใช่ประกาศเอง

คำถามไม่ใช่ว่าผู้ให้บริการมีใบรับรองหรือไม่ แต่คือใบรับรองนั้นสะท้อนระบบการจัดการความปลอดภัยที่ทำงานได้จริงหรือเป็นเพียงการฝึกทำเอกสาร

ISO 27001 มีความหมายอย่างไรสำหรับบริษัทพัฒนาซอฟต์แวร์?

ISO/IEC 27001 คือมาตรฐานสากลที่ได้รับการยอมรับสำหรับระบบการจัดการความมั่นคงปลอดภัยสารสนเทศ (ISMS) เผยแพร่โดยองค์การระหว่างประเทศเพื่อการมาตรฐานและคณะกรรมาธิการระหว่างประเทศว่าด้วยอิเล็กโตรเทคนิค เวอร์ชันปัจจุบัน ISO 27001:2022 ได้รับการเผยแพร่ในเดือนตุลาคม 2022 และแทนที่ ISO 27001:2013

สำหรับบริษัทพัฒนาซอฟต์แวร์ การรับรองหมายความว่าผู้ตรวจสอบบุคคลที่สามที่ได้รับการรับรองได้ยืนยันว่าองค์กรได้:

• ระบุและประเมินความเสี่ยงด้านความมั่นคงปลอดภัยสารสนเทศอย่างเป็นระบบ
• ดำเนินการควบคุมเพื่อลดความเสี่ยงเหล่านั้นให้อยู่ในระดับที่ยอมรับได้
• จัดทำเอกสารนโยบาย ขั้นตอน และความรับผิดชอบ
• ให้คำมั่นในการปรับปรุง ISMS อย่างต่อเนื่อง

ISO 27001:2022 มีการควบคุม 93 รายการใน 4 หัวข้อ: องค์กร, บุคลากร, กายภาพ, และ เทคโนโลยี การรับรองไม่ได้หมายความว่าผู้ให้บริการนำการควบคุมทั้ง 93 รายการไปใช้ทั้งหมด แต่หมายความว่าพวกเขาได้บันทึกว่าการควบคุมใดบ้างที่ใช้บังคับ นำการควบคุมที่เกี่ยวข้องไปปฏิบัติ และชี้แจงข้อยกเว้นต่างๆ

จำนวนการควบคุมตาม ISO/IEC 27001:2022 ภาคผนวก A สามารถดูได้โดยตรงที่ iso.org

ความแตกต่างระหว่าง ISO 27001:2013 และ ISO 27001:2022 คืออะไร?

การปรับปรุงในปี 2022 ได้ปรับโครงสร้างชุดการควบคุมจาก 114 รายการใน 14 หมวดหมู่เป็น 93 รายการใน 4 หัวข้อ มีการนำการควบคุมใหม่ 11 รายการมาใช้ ครอบคลุมความปลอดภัยบนคลาวด์ การปิดบังข้อมูล ข่าวกรองภัยคุกคาม และการเขียน code อย่างปลอดภัย ทั้งหมดมีความเกี่ยวข้องโดยตรงกับพาร์ทเนอร์พัฒนาซอฟต์แวร์

ใบรับรอง ISO 27001:2013 ไม่ถือว่าเป็นปัจจุบันอีกต่อไปหลังจากระยะเวลาการเปลี่ยนผ่านในอุตสาหกรรมสิ้นสุดในปลายปี 2025 ผู้ให้บริการรายใดที่นำเสนอใบรับรองปี 2013 ว่ายังใช้ได้ในปัจจุบันควรถูกถามถึงสถานะการต่ออายุการรับรอง

เมื่อประเมินพาร์ทเนอร์ ให้ยืนยันว่าใบรับรองระบุ ISO/IEC 27001:2022 ไม่ใช่ฉบับปี 2013 ที่ถูกแทนที่แล้ว

ฉันควรถามอะไรกับพาร์ทเนอร์พัฒนาซอฟต์แวร์ที่ได้รับการรับรอง ISO 27001?

การรับรองเป็นจุดเริ่มต้น ไม่ใช่ข้อสรุป ให้ถือว่าใบรับรองเป็นหลักฐานว่ากระบวนการมีอยู่จริง จากนั้นตรวจสอบว่ากระบวนการนั้นทำงานได้จริง

ถามสิ่งต่อไปนี้ก่อนการตกลงทางการค้าใดๆ:

• ใบรับรองของคุณยังมีผลบังคับใช้อยู่หรือไม่? ใบรับรองมีอายุสามปี โดยมีการตรวจสอบติดตามผลบังคับในปีที่หนึ่งและสอง ขอใบรับรองและยืนยันวันหมดอายุและชื่อของหน่วยงานรับรองที่ได้รับการรับรอง
• ขอบเขตการรับรองของคุณคืออะไร? ISO 27001 อาจครอบคลุมเฉพาะแผนก ผลิตภัณฑ์ หรือภูมิภาคเฉพาะ ไม่ใช่บริษัททั้งหมด ยืนยันว่าขอบเขตที่ได้รับการรับรองครอบคลุมทีมและระบบที่จะจัดการข้อมูลของคุณ
• หน่วยงานรับรองใดที่ตรวจสอบคุณ? หน่วยงานที่ได้รับการรับรองมีรายชื่ออยู่ใน Global ACI MLA ใบรับรองจากหน่วยงานที่ไม่ได้รับการรับรองไม่มีการรับประกันที่ได้รับการยอมรับในระดับสากล
• คุณจัดการกับผู้ประมวลผลย่อยและผู้ขายบุคคลที่สามอย่างไร? การจัดการความเสี่ยงในห่วงโซ่อุปทานเป็นการควบคุมที่นำมาใช้ใน ISO 27001:2022 (การควบคุม 5.19) พาร์ทเนอร์ที่ได้รับการรับรองควรอธิบายวิธีการตรวจสอบและติดตามบุคคลที่สามที่เข้าถึงข้อมูลโครงการ
• ขั้นตอนการตอบสนองต่อเหตุการณ์ของคุณคืออะไร? ขอภาพรวม พวกเขาแจ้งลูกค้าเร็วแค่ไหน? พวกเขาบันทึกอะไรบ้าง?

การรับรอง ISO 27001 หมายความว่าสอดคล้องกับ GDPR หรือไม่?

ไม่ และนี่เป็นความเข้าใจผิดที่พบบ่อย ISO 27001 และ GDPR จัดการกับข้อกำหนดที่ทับซ้อนแต่แตกต่างกัน

ISO 27001 เป็นมาตรฐานสากลโดยสมัครใจ มุ่งเน้นที่การจัดการความเสี่ยงด้านความมั่นคงปลอดภัยสารสนเทศ

GDPR เป็นภาระผูกพันทางกฎหมายของสหภาพยุโรป มุ่งเน้นที่สิทธิ์ของเจ้าของข้อมูลและการประมวลผลข้อมูลส่วนบุคคลอย่างถูกต้องตามกฎหมาย

การรับรอง ISO 27001 สนับสนุนการสอดคล้องกับ GDPR โดยเฉพาะภาระผูกพันตามมาตรา 32 เกี่ยวกับความปลอดภัยของการประมวลผล มาตรา 32 กำหนดให้องค์กรต้องดำเนินมาตรการเพื่อรับประกันความลับ ความสมบูรณ์ ความพร้อมใช้งาน และความยืดหยุ่นของระบบประมวลผล รวมถึงการเข้ารหัส การปิดบังข้อมูลเฉพาะบุคคล และการทดสอบเป็นประจำ การรับรอง ISO 27001 ไม่ได้แทนที่ภาระผูกพันเหล่านี้ ผู้ให้บริการที่ได้รับการรับรองยังสามารถไม่สอดคล้องได้หากขาดข้อตกลงการประมวลผลข้อมูลที่ถูกต้อง ไม่รักษาบันทึกกิจกรรมการประมวลผล หรือไม่ปฏิบัติตามสิทธิ์ของเจ้าของข้อมูล

สำหรับบริษัท DACH ที่ทำสัญญากับพาร์ทเนอร์นอกสหภาพยุโรป การรวมกันของการรับรอง ISO 27001 และข้อกำหนดสัญญามาตรฐาน (SCC) มักเป็นสิ่งที่จำเป็น นี่คือวิธีที่แสดงให้เห็นถึงการคุ้มครองที่เพียงพอตามบทที่ V ของ GDPR ยืนยันว่าทั้งสองอย่างมีผลบังคับก่อนที่การถ่ายโอนข้อมูลจะเริ่มต้น

การควบคุมความมั่นคงปลอดภัยสารสนเทศใดที่สำคัญที่สุดในบริบทการพัฒนาซอฟต์แวร์?

ไม่ใช่ทุกรายการจาก 93 การควบคุมที่มีน้ำหนักเท่ากันในการประเมินผู้ให้บริการ การควบคุมที่เกี่ยวข้องมากที่สุดกับโครงการพัฒนาซอฟต์แวร์อย่างปลอดภัยคือ:

• A.8.25 - วงจรชีวิตการพัฒนาที่ปลอดภัย: ความปลอดภัยถูกผนวกเข้าในกระบวนการพัฒนา ไม่ใช่เพิ่มเข้ามาหลังจากเปิดตัว
• A.8.29 - การทดสอบความปลอดภัยในการพัฒนาและการยอมรับ: ช่องโหว่ได้รับการทดสอบก่อนการใช้งาน
• A.8.28 - การเขียน code อย่างปลอดภัย: การควบคุมในปี 2022 ที่กำหนดหลักการในการเขียน code ที่ต้านทานการโจมตี
• A.5.19 - ความมั่นคงปลอดภัยสารสนเทศในความสัมพันธ์กับผู้ขาย: ข้อกำหนดความปลอดภัยที่จัดทำเป็นเอกสารสำหรับผู้ขายบุคคลที่สาม
• A.8.10 - การลบข้อมูล: ข้อมูลลูกค้าถูกลบออกจากระบบผู้ให้บริการเมื่อโครงการสิ้นสุดลง
• A.6.8 - การรายงานเหตุการณ์ความมั่นคงปลอดภัยสารสนเทศ: วิธีที่พนักงานระบุและยกระดับเหตุการณ์

เมื่อประเมิน ISMS ของผู้ให้บริการในทางปฏิบัติ ให้ถามว่าแต่ละการควบคุมเหล่านี้ทำงานอย่างไรในกระบวนการพัฒนาของพวกเขา ไม่ใช่แค่ว่ามีการบันทึกไว้หรือไม่

การรับรอง ISO 27001 เพียงพอสำหรับอุตสาหกรรมที่มีกฎระเบียบหรือไม่?

สำหรับบริบทการพัฒนาซอฟต์แวร์ที่มีกฎระเบียบส่วนใหญ่ ISO 27001 เป็นสิ่งจำเป็นแต่ยังไม่เพียงพอ

บริการทางการเงิน. DORA – พระราชบัญญัติความยืดหยุ่นในการดำเนินงานดิจิทัล (ระเบียบ EU 2022/2554) มีผลบังคับใช้เมื่อวันที่ 16 มกราคม 2023 และใช้บังคับตั้งแต่วันที่ 17 มกราคม 2025 กำหนดให้สถาบันการเงินจัดการความเสี่ยงจากบุคคลที่สาม ICT ผ่านข้อกำหนดสัญญา ภาระผูกพันในการแจ้งเตือนเหตุการณ์ และการทดสอบความยืดหยุ่นในการดำเนินงาน ISO 27001 สนับสนุนการปฏิบัติตาม DORA แต่ไม่เพียงพอ ยืนยันว่าพาร์ทเนอร์ของคุณเข้าใจภาระผูกพันภายใต้ DORA ก่อนเริ่มดำเนินงาน

การดูแลสุขภาพ. ISO 27001 จัดการกับความมั่นคงปลอดภัยสารสนเทศโดยทั่วไป สำหรับข้อมูลสุขภาพ ISO 27799 หรือมาตรฐานแห่งชาติที่เทียบเท่าอาจใช้บังคับ ข้อกำหนดแตกต่างกันตามเขตอำนาจศาล — ตรวจสอบก่อนประมวลผลข้อมูลผู้ป่วย

รัฐบาลและโครงสร้างพื้นฐานสำคัญ. NIS2 – คำสั่ง EU ว่าด้วยความมั่นคงปลอดภัยของเครือข่ายและสารสนเทศ (EU 2022/2555) ขยายคำสั่ง NIS เดิมให้ครอบคลุม 15 ภาคส่วน พร้อมภาระผูกพันที่เข้มงวดยิ่งขึ้นเกี่ยวกับการจัดการความเสี่ยงและการรายงานเหตุการณ์ การไม่ปฏิบัติตามอาจมีโทษปรับสูงถึง 10 ล้านยูโร การรับรอง ISO 27001 เป็นมาตรการสนับสนุน ไม่ได้ตอบสนองภาระผูกพัน NIS2 โดยอัตโนมัติ

พาร์ทเนอร์ที่พร้อมรับการตรวจสอบในภาคส่วนที่มีกฎระเบียบสามารถอธิบายได้ว่า ISMS ของตนจัดการกับกรอบการทำงานเหล่านี้อย่างไร พาร์ทเนอร์ที่เลื่อนคำถามออกไปคือยังไม่พร้อมรับการตรวจสอบ

การรับรอง ISO 27001 ของ Gradion ครอบคลุมอะไรบ้าง?

Gradion ได้รับการรับรอง ISO/IEC 27001:2022 ในการดำเนินงานด้านวิศวกรรม ขอบเขตที่ได้รับการรับรองครอบคลุมระบบ กระบวนการ และบุคลากรที่เกี่ยวข้องในการพัฒนาซอฟต์แวร์สำหรับลูกค้า รวมถึงการพัฒนา การใช้งาน และการจัดการข้อมูล

ในทางปฏิบัติ หมายความว่า:

• การเข้าถึงระบบและ repository ของลูกค้าอยู่ภายใต้นโยบายการควบคุมการเข้าถึงที่จัดทำเป็นเอกสาร
• เหตุการณ์ความปลอดภัยได้รับการบันทึก จัดประเภท และแจ้งให้ลูกค้าที่ได้รับผลกระทบทราบภายในระยะเวลาที่กำหนด
• ผู้ประมวลผลย่อยและเครื่องมือบุคคลที่สามได้รับการประเมินก่อนใช้งานในโครงการของลูกค้าตามกระบวนการจัดการความเสี่ยงของผู้ขาย
• นักพัฒนาได้รับการฝึกอบรมด้านการตระหนักรู้ถึงความปลอดภัยก่อนเข้าถึงสภาพแวดล้อมของลูกค้า
• แนวปฏิบัติการเขียน code อย่างปลอดภัยถูกฝังอยู่ในกระบวนการพัฒนา ไม่ใช่ใช้เป็นการตรวจสอบหลังจากเปิดตัว

นี่คือวิธีที่เราลดความเสี่ยงด้านความปลอดภัยของสัญญาก่อนที่ sprint แรกจะเริ่มต้น การรับรองได้รับการต่ออายุผ่านการตรวจสอบติดตามผลประจำปีโดยบุคคลที่สามที่ได้รับการรับรอง ใบรับรองและเอกสารขอบเขตสามารถให้ตามคำขอภายใต้ข้อตกลงการรักษาความลับ

ฉันจะตรวจสอบว่าใบรับรอง ISO 27001 มีความถูกต้องได้อย่างไร?

สามขั้นตอน:

1. 1. ตรวจสอบว่าหน่วยงานรับรองได้รับการรับรองหรือไม่. ค้นหาในฐานข้อมูล Global ACI ที่ global-aci.org หรือหน่วยงานการรับรองแห่งชาติของคุณ DAkkS ในเยอรมนี UKAS ในสหราชอาณาจักร SAC ในสิงคโปร์ หากหน่วยงานที่ออกใบรับรองไม่ได้อยู่ในรายชื่อ ใบรับรองนั้นไม่มีการรับประกันที่ได้รับการยอมรับ
1. 2. ยืนยันว่าขอบเขตครอบคลุมสัญญาของคุณ. ใบรับรองระบุขอบเขตที่ได้รับการรับรอง หากระบุว่า 'การดำเนินงานสำนักงานใหญ่' และโครงการของคุณเกี่ยวข้องกับทีมพัฒนาแบบกระจาย ให้ถามว่าทีมนั้นอยู่ในขอบเขตหรือไม่
1. 3. ยืนยันวันหมดอายุ. ใบรับรองมีอายุสามปี การตรวจสอบติดตามผลบังคับในปีที่หนึ่งและสอง หากไม่มีบันทึกการตรวจสอบคือคำถามที่ต้องติดตาม

หากผู้ให้บริการไม่สามารถแบ่งปันใบรับรองและเอกสารขอบเขตได้ ให้ถือว่านั่นเป็นสัญญาณความเสี่ยง

แหล่งอ้างอิง

• มาตรฐาน ISO/IEC 27001:2022 (จำนวนการควบคุม โครงสร้างภาคผนวก A) – iso.org มีค่าใช้จ่าย
• GDPR มาตรา 32 – ภาระผูกพันด้านความปลอดภัยของการประมวลผล – gdpr-info.eu (สะท้อน EUR-Lex ระเบียบ 2016/679)
• วันที่มีผลบังคับใช้ของ DORA และภาระผูกพันบุคคลที่สามด้าน ICT – ESMA, esma.europa.eu/esmas-activities/digital-finance-and-innovation/digital-operational-resilience-act-dora
• ขอบเขต NIS2 และบทลงโทษ – nis2directive.eu (คำสั่ง EU 2022/2555)
• ระยะเวลาการเปลี่ยนผ่าน ISO 27001:2022 – IAF MD 26 (มกราคม 2023) IAF หยุดดำเนินการวันที่ 1 มกราคม 2026 โดยโอนหน้าที่ให้ Global Accreditation Cooperation Incorporated (global-aci.org)
• ทะเบียนการรับรอง Global ACI – global-aci.org