ISO 27001:2022 · A.8.28 · A.8 Technologische Maßnahmen
Sichere Programmierung
Prinzipien der sicheren Programmierung müssen bei der Softwareentwicklung angewendet werden.
ISO 27001TISAXBSINIS2
Was fordert dieses Control?
Prinzipien der sicheren Programmierung müssen bei der Softwareentwicklung angewendet werden.
Warum ist das wichtig?
Die meisten Anwendungsschwachstellen entstehen durch unsicheren Code. Sichere Programmierung verhindert Klassiker wie Injection, XSS und unsichere Datenverarbeitung.
Bezug zu anderen Normen
| Norm | Stelle | Thema | Bezug |
|---|---|---|---|
| TISAX | 5.2.4 | Secure Coding | Direkt |
| BSI | CON.8 | Sichere Programmierung | Direkt |
| NIS2 | § 30 Abs. 1 BSIG | Technische Maßnahmen | Direkt |
Was der Auditor erwartet
- Secure-Coding-Standards und deren Anwendung
- Code-Reviews und statische Codeanalyse
- Umgang mit bekannten Schwachstellenklassen (z.B. OWASP Top 10)
Audit-Checkliste
Dokumente
Secure-Coding-GuidelinesVerbindliche Regeln gegen typische Schwachstellen
Nachweise
Review-/Scan-ErgebnisseDurchgeführte Code-Reviews und SAST-Befunde
Pipeline-KonfigurationEingebundene Linter, SAST und Dependency-Checks
Behobene FindingsNachverfolgung und Schließung erkannter Schwachstellen
Technisch
SAST/Dependency-ScanningAutomatisierte Codeanalyse in der Pipeline
Praxis-Tipps zur Umsetzung
OWASP als BasisSich an OWASP Top 10 und Secure-Coding-Practices orientieren.
Automatisiert prüfenSAST und Dependency-Scanning in die CI/CD-Pipeline integrieren.
Reviews verbindlichVier-Augen-Code-Reviews vor dem Merge erzwingen.
KI-Code mitprüfenFremd- und KI-generierten Code genauso reviewen wie selbst geschriebenen.
Häufige Fehler
Keine ReviewsCode geht ohne fachliche und sicherheitsbezogene Prüfung in Produktion.
Abhängigkeiten ignoriertVerwundbare Bibliotheken werden nicht erkannt und nicht aktualisiert.
Häufig gestellte Fragen
Was sind die OWASP Top 10?
Eine Liste der häufigsten und kritischsten Sicherheitsrisiken in Webanwendungen, eine zentrale Referenz für Secure Coding.
Was ist SAST?
Static Application Security Testing, also die automatisierte Analyse des Quellcodes auf Schwachstellen.
Wie hängt das mit A.8.4 zusammen?
A.8.4 schützt den Zugang zum Code, A.8.28 sorgt dafür, dass der Code selbst sicher geschrieben wird.
So hilft CompliantDesk bei A.8.28
Dokumentieren Sie Secure-Coding-Standards als Kontrolle und verknüpfen Sie Review- und Scan-Nachweise mit Ihrem Entwicklungsprozess.
Bereit für ein ISMS, das nicht bei Excel endet?
Demo buchenKostenlos · unverbindlich · persönliche Einrichtung · 30 Minuten