A.8 Technologische Maßnahmen
Sicherer Entwicklungslebenszyklus
Regeln für die sichere Entwicklung von Software und Systemen müssen festgelegt und angewendet werden.
Was fordert dieses Control?
Regeln für die sichere Entwicklung von Software und Systemen müssen festgelegt und angewendet werden.
Warum ist das wichtig?
Sicherheit muss im gesamten Entwicklungsprozess verankert sein. Ein sicherer SDLC verhindert, dass Schwachstellen überhaupt erst in die Software gelangen.
Cross-Standard-Mapping
| Standard | Control-ID | Relevanz |
|---|---|---|
| TISAX | 5.2.4 | Direkt |
| BSI | CON.8 | Direkt |
| AI Act | Art. 9 | Indirekt |
Was der Auditor erwartet
- 1Definierter sicherer Entwicklungsprozess (SDLC)
- 2Sicherheit in allen Phasen von Design bis Betrieb
- 3Bezug zu Coding-, Test- und Review-Standards
Audit-Checkliste
Dokumente
Secure-SDLC-Vorgaben
Sicherheitsanforderungen je Entwicklungsphase
Nachweise
Prozessnachweise
Security-Aktivitäten in konkreten Projekten
Interviews
Entwicklungsteam
Verankerung von Sicherheit im Entwicklungsalltag
Praxis-Tipps zur Umsetzung
Shift Left
Sicherheit früh im Lebenszyklus berücksichtigen, nicht erst beim Test.
Standards setzen
Coding-, Review- und Teststandards verbindlich festlegen.
Tooling integrieren
Security-Checks in die CI/CD-Pipeline einbauen.
Häufige Fehler
Sicherheit nachgelagert
Security wird erst kurz vor Release betrachtet.
Keine Standards
Jeder entwickelt anders, Sicherheit ist nicht verankert.
Häufig gestellte Fragen
Betrifft das nur eigene Software?
Vor allem Eigenentwicklung, aber auch Anpassungen und Integrationen sollten dem sicheren Prozess folgen.
Was bedeutet Shift Left?
Sicherheitsaktivitäten möglichst früh im Entwicklungsprozess durchzuführen, um Fehler günstig zu vermeiden.
Wie hängt das mit A.8.28 zusammen?
A.8.25 ist der übergreifende sichere Lebenszyklus, A.8.28 die konkrete sichere Programmierung.
So hilft CompliantDesk bei A.8.25
Dokumentieren Sie Ihren sicheren Entwicklungsprozess als Richtlinie und verknüpfen Sie ihn mit Risiken, Kontrollen und Projekten im ISMS.