ISO 27001:2022 · A.8.25 · A.8 Technologische Maßnahmen
Sicherer Entwicklungslebenszyklus
Regeln für die sichere Entwicklung von Software und Systemen müssen festgelegt und angewendet werden.
ISO 27001TISAXBSIAI ActNIS2
Was fordert dieses Control?
Regeln für die sichere Entwicklung von Software und Systemen müssen festgelegt und angewendet werden.
Warum ist das wichtig?
Sicherheit muss im gesamten Entwicklungsprozess verankert sein. Ein sicherer SDLC verhindert, dass Schwachstellen überhaupt erst in die Software gelangen.
Bezug zu anderen Normen
| Norm | Stelle | Thema | Bezug |
|---|---|---|---|
| TISAX | 5.2.4 | Sichere Entwicklung | Direkt |
| BSI | CON.8 | Software-Entwicklung | Direkt |
| AI Act | Art. 9 | Risikomanagement | Indirekt |
| NIS2 | § 30 Abs. 1 BSIG | Technische Maßnahmen | Direkt |
Was der Auditor erwartet
- Definierter sicherer Entwicklungsprozess (SDLC)
- Sicherheit in allen Phasen von Design bis Betrieb
- Bezug zu Coding-, Test- und Review-Standards
Audit-Checkliste
Dokumente
Secure-SDLC-VorgabenSicherheitsanforderungen je Entwicklungsphase
Nachweise
ProzessnachweiseSecurity-Aktivitäten in konkreten Projekten
Review-/Pipeline-NachweisBelegte Code-Reviews und Abhängigkeits-Scans im Release-Prozess
Schulungsnachweise EntwicklerTeilnahme der Entwickler an Secure-Development-Schulungen
Interviews
EntwicklungsteamVerankerung von Sicherheit im Entwicklungsalltag
Praxis-Tipps zur Umsetzung
Shift LeftSicherheit früh im Lebenszyklus berücksichtigen, nicht erst beim Test.
Standards setzenCoding-, Review- und Teststandards verbindlich festlegen.
Tooling integrierenSecurity-Checks in die CI/CD-Pipeline einbauen.
Auch Low-Code einbeziehenDer Prozess gilt ebenso für Low-Code und die Konfiguration großer Plattformen, nicht nur klassisches Coding.
Häufige Fehler
Sicherheit nachgelagertSecurity wird erst kurz vor Release betrachtet.
Keine StandardsJeder entwickelt anders, Sicherheit ist nicht verankert.
Häufig gestellte Fragen
Betrifft das nur eigene Software?
Vor allem Eigenentwicklung, aber auch Anpassungen und Integrationen sollten dem sicheren Prozess folgen.
Was bedeutet Shift Left?
Sicherheitsaktivitäten möglichst früh im Entwicklungsprozess durchzuführen, um Fehler günstig zu vermeiden.
Wie hängt das mit A.8.28 zusammen?
A.8.25 ist der übergreifende sichere Lebenszyklus, A.8.28 die konkrete sichere Programmierung.
So hilft CompliantDesk bei A.8.25
Dokumentieren Sie Ihren sicheren Entwicklungsprozess als Richtlinie und verknüpfen Sie ihn mit Risiken, Kontrollen und Projekten im ISMS.
Bereit für ein ISMS, das nicht bei Excel endet?
Demo buchenKostenlos · unverbindlich · persönliche Einrichtung · 30 Minuten