Applicatieontwikkeling Control
Uit NORA Online
ISOR:BIO Thema Applicatieontwikkeling Control
Deze informatie is onderdeel van BIO Thema-uitwerking Applicatieontwikkeling.
Meer lezen | ||||||||||||||||||
Binnen het Control domein zijn specifieke inrichting- en beveiligingsobjecten ten aanzien van Applicatieontwikkeling beschreven en per object zijn conformiteitsindicatoren uitgewerkt. Deze conformiteitsindicatoren representeren een vast te stellen set van implementatie-elementen (maatregelen).
Onderstaande tabel en afbeelding tonen het resultaat van de SIVA analyse ten aanzien van relevante objecten voor Applicatieontwikkeling. De wit ingekleurde objecten ontbreken als control in de ISO2700x, maar zijn van belang voor dit thema. Om deze reden zijn aanvullende objecten uit andere baselines opgenomen.
| Nr | Objecten | Referentie | IFGS |
|---|---|---|---|
| C.01 | Richtlijnen evaluatie ontwikkelactiviteiten | ISO27002: 12.6.1, CIP Domeingroep BIO | I |
| C.02; | Versiebeheer | CIP Domeingroep BIO | F |
| C.03 | Patchmanagement van externe programmacode | CIP Domeingroep BIO | F |
| C.04 | (Software)configuratie beheer | CIP Domeingroep BIO | F |
| C.05 | Compliance management | CIP Domeingroep BIO | F |
| C.06 | Quality assurance | CIP Domeingroep BIO | F |
| C.07 | Technische beoordeling van informatiesystemen na wijziging besturingsplatform | ISO27002: 14.2.3 | F |
| C.08 | Beheersing van softwareontwikkeling(sprojecten | CIP Domeingroep BIO | S |
Risico
Door het ontbreken van noodzakelijke maatregelen binnen de organisatie van de Leverancier is het niet zeker of de ontwikkel- en onderhoudsadministratie aan de beoogde organisatorische en beveiligingsvoorwaarden voldoet en of de governance van deze omgeving toereikend is ingericht. Evenmin kan worden vastgesteld of de gewenste maatregelen worden nageleefd.
Doelstelling
De doelstelling van het Control domein is het vaststellen of:
- de applicatie controls afdoende zijn ingericht voor het garanderen van een beheersbare applicatie omgeving, en/of
- de applicatieve diensten functioneel en technisch op het juiste niveau worden gehouden.
Dit houdt onder meer in, dat binnen de organisatie een adequate beheerorganisatie moet zijn ingericht waarin beheerprocessen zijn vormgegeven.
Principes uit de BIO Thema Applicatieontwikkeling binnen dit aspect
| ID | Principe | Criterium |
|---|---|---|
| APO_C.01 | Richtlijnen evaluatie ontwikkelactiviteiten | De projectorganisatie behoort richtlijnen voor de controleactiviteiten en rapportages te hebben geformuleerd gericht op de evaluaties van ontwikkel activiteiten, zoals requirements, specificaties en programmacode. |
| APO_C.02 | Versie Management | De projectorganisatie behoort in het systeem ontwikkeltraject versiebeheer op procesmatige en op efficiënte wijze ingericht te hebben. |
| APO_C.03 | Patchmanagement van externe programmacode | Patchmanagement behoort procesmatig en procedureel zodanig uitgevoerd te worden, dat van de gebruikte code tijdig vanuit externe bibliotheken informatie wordt ingewonnen over technische kwetsbaarheden, zodat tijdig de laatste (beveiligings)patches kunnen worden geïnstalleerd. |
| APO_C.04 | (Software) configuratie management | De inrichting van het configuratiebeheer behoort waarborgen te bieden dat de vastgelegde gegevens van de software configuratie-items (SCI’s) in de configuratie-administratie (CMDB) juist en volledig zijn en blijven. |
| APO_C.05 | Compliance management | De projectorganisatie behoort een compliance management proces, ingericht te hebben, op basis waarvan zij de implicaties uit wet en regelgeving en verplichtingen voortvloeiend uit overeenkomsten en beleid kan vaststellen. |
| APO_C.06 | Quality assurance | De projectorganisatie behoort een Quality Assurance proces (QA) te hebben ingericht, op basis waarvan zij de betrouwbare werking van het ontwikkel en onderhoudproces voor de applicatieontwikkeling kan vaststellen. |
| APO_C.07 | Technische beoordeling van informatiesystemen na wijziging besturingsplatform | Bij veranderingen van/in besturingsplatforms behoren bedrijfskritische toepassingen te worden beoordeeld en getest om te waarborgen dat er geen nadelige impact ontstaan op de activiteiten of de beveiliging van de organisatie. |
| APO_C.08 | Beheersing van software ontwikkeling(sprojecten) | De project verantwoordelijke behoort voor de softwareontwikkelprojecten een beheersorganisatie te hebben ingericht waarin de structuur van de beheersprocessen, de taken, verantwoordelijkheden en bevoegdheden van de betrokken functionarissen zijn vastgesteld. |
Normen uit de BIO Thema Applicatieontwikkeling binnen dit aspect
| ID | Stelling | Norm |
|---|---|---|
| APO_C.01.01 | De projectorganisatie beschikt over controlerichtlijnen voor de evaluatie van de producten die uit de ontwikkelfasen voortvloeien: zoals requirement analyse en specificatie van software. | Controle richtlijnen voor de evaluatie van de producten die uit de ontwikkelfasen voorvloeien |
| APO_C.01.02 | De projectorganisatie beschikt over evaluatierichtlijnen voor het evalueren van intern ontwikkelde en extern verworven code welke is opgeleverd tijdens de ontwikkelfasen: requirement analyse, specificatie en programmacode. | Evaluatierichtlijnen voor het evalueren van intern ontwikkelde en extern verworven code |
| APO_C.01.03 | De projectorganisatie beschikt over controlerichtlijnen die binnen de relevante beheerprocessen (Versiebeheer, Quality Control en Quality Assurance) worden toegepast voor het evalueren van de ontwikkel activiteiten. | Controle richtlijnen die binnen de relevante beheerprocessen worden toegepast |
| APO_C.01.04 | De projectorganisatie heeft de beschikking over een kwaliteitshandboek waarin procedures zijn opgenomen voor het toepassen van Quality Control (QC) en Quality Assurance (QA) methodiek en reviewrichtlijnen voor de ontwikkelde producten. | Het kwaliteitshandboek bevat procedures voor Quality Control en Quality Assurance methodiek en reviewrichtlijnen |
| APO_C.01.05 | De QA methodiek wordt conform de richtlijnen nageleefd. | De Quality Assurance methodiek wordt conform de richtlijnen nageleefd |
| APO_C.01.06 | De projectorganisatie voert controleactiviteiten uit over de ontwikkelactiviteiten en beheerprocessen gerelateerd aan het ontwikkelproces en stelt hierover rapportages op. | Controleactiviteiten en rapportages over de ontwikkelactiviteiten en bijbehorende beheerprocessen |
| APO_C.01.07 | Periodiek worden het applicatieontwikkeling proces, de testcycli en de kwaliteit van de programmacode beoordeeld conform de opgestelde richtlijn. | Het applicatieontwikkelproces, de testcyclus en programmacodekwaliteit worden periodiek beoordeeld |
| APO_C.02.01 | Het versiebeheerproces is beschreven, vastgesteld door het management en toegekend aan een verantwoordelijke functionaris. | Versiemanagement is beschreven, vastgesteld en toegekend aan een verantwoordelijke functionaris |
| APO_C.02.02 | In het versiebeheerproces is vastgelegd welke applicatie objecten in het ondersteunend tool, zoals Functioneel Ontwerp (FO) en Technisch Ontwerp (TO) en resultaten van sprints bij Agile ontwikkeling, worden vastgelegd. | Versiemanagement beschrijft welke applicatieobjecten in het ondersteunend tool worden vastgelegd |
| APO_C.02.03 | Het versiebeheerproces wordt ondersteund met procedures en werkinstructies. | Versiemanagement wordt ondersteund met procedures en werkinstructies |
| APO_C.02.04 | Een versiebeheertool wordt toegepast die onder andere:
| Ondersteuning vanuit het toegepaste versiebeheertool |
| APO_C.03.01 | Het patchmanagement proces en de noodzakelijke patchmanagement zijn beschreven, vastgesteld door het management en bekendgemaakt aan de ontwikkelaars. | Patchmanagement en noodzakelijke patchmanagement procedures zijn beschreven, vastgesteld en bekendgemaakt |
| APO_C.03.02 | De ontwikkelaars zijn bekend met hun formeel vastgelegde verantwoordelijkheden wat betreft patchmanagement. | Ontwikkelaars zijn wat betreft patchmanagement bekend met hun formeel vastgelegde verantwoordelijkheden |
| APO_C.03.03 | Het al dan niet uitvoeren van de patches voor programmacode is geregistreerd. | Het al dan niet uitvoeren van de verworven patches voor programmacode is geregistreerd |
| APO_C.03.04 | Het beheer van technische kwetsbaarheden in code uit externe bibliotheken omvat minimaal een risicoanalyse van de kwetsbaarheden en eventueel penetratietests en patching. | Het beheer van technische kwetsbaarheden in code uit externe bibliotheken |
| APO_C.03.05 | Bij het ontwikkelen van code installeert de ontwikkelaar - tenzij risicoanalyses anders uitwijzen - alle noodzakelijke patches en fixes die door fabrikanten beschikbaar worden gesteld. | Installeren van alle noodzakelijke door de leveranciers beschikbaar patches en fixes |
| APO_C.03.06 | Updates/patches voor kwetsbaarheden waarvan de kans op misbruik en ontstane schade hoog is worden zo spoedig mogelijk doorgevoerd. | Updates en patches voor kwetsbaarheden waarvan de kans op misbruik en ontstane schade hoog is |
| APO_C.04.01 | Software configuratiecomponenten worden conform procedures en met behulp van hulpmiddelen vastgelegd. | Software configuratiescomponenten worden conform procedures vastgelegd |
| APO_C.04.02 | De configuratie-administratie is alleen toegankelijk voor hiertoe geautoriseerd personeel. | De configuratie administratie is alleen toegankelijk voor hiertoe geautoriseerd personeel |
| APO_C.04.03 | Wijzigingen in software configuratie-items worden volgens een gestandaardiseerd proces vastgelegd in de CMDB. | Wijzigingen in softwareconfiguratie conform gestandaardiseerd proces vastgelegd in de CMDB |
| APO_C.05.01 | Het compliance management proces, bestaande uit de subprocessen planning, evaluatie, rapportering en correctie/implementatie, is gedocumenteerd en vastgesteld door het management. | Het compliance management proces is gedocumenteerd en vastgesteld |
| APO_C.05.02 | Ten behoeve van het compliance proces hebben de desbetreffende stakeholders de noodzakelijke eisen uit de verschillende bronnen samengevat en vastgelegd. Hierbij is aandacht geschonken aan:
| De noodzakelijke eisen voor het compliance proces samengevat en vastgelegd |
| APO_C.06.01 | De projectorganisatie beschikt over een QA methodiek voor de ontwikkelde softwareproducten en ziet toe op de naleving van deze QA methodiek. | De Quality Assurancemethodiek voor de ontwikkelde software producten wordt nageleefd |
| APO_C.06.02 | Conform de QA methodiek is een QA proces ingericht voor het uitvoeren van QA activiteiten gedurende alle fasen van de ontwikkel cyclus waarbij aandacht wordt besteed aan:
| Gedurende alle fasen van het ontwikkelcyclus worden Quality Assurance activiteiten uitgevoerd |
| APO_C.06.03 | De resultaten uit de QA-onderzoeken worden geapporteerd aan de verantwoordelijken die verbetermaatregelen initiëren. | Rapportage van de resultaten uit de QA-onderzoeken aan verbetermaatregelen initiërende verantwoordelijken |
| APO_C.06.04 | Afspraken en resultaten m.b.t. toetsing zijn beknopt en SMART vastgelegd. | Toetsingsafspraken en resultaten zijn beknopt en SMART vastgelegd |
| APO_C.07.01 | Bij veranderingen van besturingssystemen wordt onder andere het volgende getest:
| Testen bij verandering van besturingssystemen |
| APO_C.08.01 | De samenhang van de beheersprocessen wordt door middel van een processtructuur vastgelegd. | De samenhang van de beheersprocessen wordt door middel van een processtructuur vastgelegd |
| APO_C.08.02 | De belangrijkste functionarissen (stakeholders) voor de beheerorganisatie zijn benoemd en de onderlinge relaties zijn door middel van een organisatieschema inzichtelijk gemaakt. | De belangrijkste functionarissen en hun onderlinge relaties zijn inzichtelijk |
| APO_C.08.03 | De verantwoordelijkheden voor de beheersprocessen zijn aan een specifieke functionaris toegewezen en vastgelegd. | De verantwoordelijkheden zijn aan een specifieke functionaris toegewezen en vastgelegd |
| APO_C.08.04 | De projectorganisatie heeft de taken en verantwoordelijkheden voor het uitvoeren van de evaluatie- en beheerwerkzaamheden beschreven en de bijbehorende bevoegdheden vastgelegd in een autorisatiematrix. | De taken, verantwoordelijkheden en bevoegdheden voor de evaluatie- en beheerwerkzaamheden zijn beschreven |
