#iso27002/2022/NL
---
Standard: ISO 27002:2022 NL
---

+------------------------+----------------------------------------------------+----------------------+----------------------------------------------------------------+---------------------+
| **Type**             | **Informatie-**                                  | **Cybersecurity-** | **Operationele**                                             | **Beveiligings-** |
|                      |                                                  |                    |                                                              |                   |
| **beheersmaatregel** | **beveiligings-**                                | **concepten**      | **capaciteiten**                                             | **domeinen**      |
|                        |                                                  |                      |                                                                |                     |
|                        | **eigenschappen**                                |                      |                                                                |                     |
+========================+====================================================+======================+================================================================+=====================+
| #Preventief          | #Vertrouwelijkheid #Integriteit #Beschikbaarheid | #Beschermen        | #Toepassingsbeveili- ging #Systeem-\_en_net- werkbeveiliging | #Bescherming      |
+------------------------+----------------------------------------------------+----------------------+----------------------------------------------------------------+---------------------+

**Beheersmaatregel**

Ontwikkel-, test- en productieomgevingen behoren te worden gescheiden en beveiligd.

**Doel**

De productieomgeving en de gegevens beschermen tegen compromittering door ontwikkel- en testactiviteiten.




**Richtlijn**

Het scheidingsniveau tussen productie-, test- en ontwikkelomgevingen dat nodig is om operationele problemen te voorkomen, behoort te worden geïdentificeerd en geïmplementeerd.

Met de volgende aspecten behoort rekening te worden gehouden:

a) ontwikkel- en productiesystemen in afdoende mate van elkaar scheiden en ze in verschillende

domeinen uitvoeren (bijvn gescheiden virtuele of fysieke omgevingen);

b) regels en autorisaties definiëren, documenteren en implementeren voor het inzetten van software

vanuit de ontwikkel- naar de productiestatus;

c) veranderingen aan productiesystemen en toepassingen in een test- of gefaseerde omgeving testen

voordat ze in productiesystemen worden toegepast (zie 8.29);

d) niet testen in productieomgevingen behalve in gedefinieerde en goedgekeurde omstandigheden;

e) compilers, editors en andere ontwikkelinstrumenten of systeemhulpmiddelen behoren, indien ze

niet nodig zijn, niet toegankelijk te zijn vanuit productiesystemen;

f) passende milieu-identificatielabels in menu\'s tonen om het risico op fouten te beperken;

g) geen gevoelige informatie naar de ontwikkel- en testsysteemomgevingen kopiëren tenzij er wordt

voorzien in gelijkwaardige beheersmaatregelen voor de ontwikkel- en testsystemen.

In alle gevallen behoren de ontwikkel- en testomgevingen te worden beschermd, waarbij het volgende in aanmerking behoort te worden genomen:

a) het patchen en bijwerken van alle ontwikkelings-, integratie- en testinstrumenten (met inbegrip

van builders, integratie-instrumenten, compilers, configuratiesystemen en bibliotheken);

b) beveiligde configuratie van systemen en software;

c) toegangsbeveiliging voor de omgevingen;

d) monitoren van veranderingen aan de omgeving en de daarin opgeslagen codes;

e) beveiligde monitoring van de omgevingen;

f) back-ups maken van de omgevingen.

Het behoort niet mogelijk te zijn dat één persoon zonder voorafgaande beoordeling en goedkeuring veranderingen aan zowel de ontwikkeling als de productie kan doorvoerenit kan bijvoorbeeld worden bereikt door toegangsrechten te scheiden of door middel van regels die worden gemonitordn uitzonderingssituaties behoren aanvullende maatregelen zoals het bijhouden van gedetailleerde logbestanden en realtimemonitoring te worden geïmplementeerd om veranderingen door onbevoegden te detecteren en er actie op te ondernemen.

**Overige informatie**

Zonder afdoende maatregelen en procedures kunnen ontwikkelaars en testers die toegang hebben tot productiesystemen, aanmerkelijke risico\'s introduceren (bijvngewenste wijziging van bestanden of de systeemomgeving, systeemstoringen, niet-goedgekeurde en niet-geteste code in productiesystemen uitvoeren, openbaarmaking van vertrouwelijke gegevens, en problemen met de integriteit en beschikbaarheid van gegevens)et is nodig een bekende en stabiele omgeving te onderhouden voor




het uitvoeren van zinvolle tests en om ongepaste toegang van de ontwikkelaar tot de productieomgeving te voorkomen.

Maatregelen en procedures omvatten zorgvuldig ontworpen rollen in combinatie met het implementeren van eisen met betrekking tot de segmentatie van functies en het beschikken over afdoende monitoringprocessen.

Medewerkers die worden ingezet voor ontwikkeling en testen, vormen ook een dreiging voor de vertrouwelijkheid van bedrijfsinformatientwikkel- en testactiviteiten kunnen onbedoelde veranderingen aan software of informatie veroorzaken als ze dezelfde informatieverwerkende omgeving delenet is daarom wenselijk om ontwikkel-, test- en productieomgevingen te scheiden, om het risico op onbedoelde verandering of onbevoegde toegang tot productiesoftware en bedrijfsgegevens te verlagen (zie 8.33) voor het beschermen van testinformatie.

In bepaalde gevallen kan het onderscheid tussen ontwikkel-, test- en productieomgevingen opzettelijk worden vervaagd en kan het testen worden uitgevoerd in een ontwikkelomgeving of door middel van beheerste uitrol naar livegebruikers of -servers (bijven kleine groep proefgebruikers)n bepaalde gevallen kan het product worden getest door het livegebruik van het product binnen de organisatieaarnaast, om uitval van live-implementaties te beperken, kunnen twee identieke productieomgevingen worden ondersteund, waarvan er altijd slechts één live is.

Er zijn ondersteunende processen nodig voor het gebruik van productiegegevens in ontwikkel- en testomgevingen (zie 8.33).

Organisaties kunnen ook de hier gegeven richtlijnen voor trainingsomgevingen bij het trainen van eindgebruikers in aanmerking nemen.
