ISO 27001:2022 · A.8.29 · A.8 Technologische Maßnahmen
Sicherheitstests in Entwicklung und Abnahme
Prozesse für Sicherheitstests müssen im Entwicklungslebenszyklus festgelegt und umgesetzt werden.
ISO 27001TISAXBSINIS2
Was fordert dieses Control?
Prozesse für Sicherheitstests müssen im Entwicklungslebenszyklus festgelegt und umgesetzt werden.
Warum ist das wichtig?
Sicherheitstests decken Schwachstellen vor dem Produktivbetrieb auf. Ohne sie gelangen Lücken ungeprüft in den Einsatz und werden teuer oder gefährlich.
Bezug zu anderen Normen
| Norm | Stelle | Thema | Bezug |
|---|---|---|---|
| TISAX | 5.2.4 | Sicherheitstests | Direkt |
| BSI | CON.8 | Tests und Freigaben | Direkt |
| NIS2 | § 30 Abs. 1 BSIG | Technische Maßnahmen | Direkt |
| NIS2 | § 30 Abs. 2 Nr. 6 BSIG | Wirksamkeitsbewertung | Indirekt |
Was der Auditor erwartet
- Sicherheitstests als fester Teil des Entwicklungsprozesses
- Abnahmekriterien inklusive Sicherheit
- Behebung gefundener Schwachstellen vor Freigabe
Audit-Checkliste
Dokumente
TestkonzeptArt und Umfang der Sicherheitstests je Release
Nachweise
TestergebnisseDurchgeführte Sicherheitstests und behobene Findings
Pentest-Bericht mit BehebungsnachweisErgebnisse für kritische Anwendungen samt geschlossener Findings
Abnahmeprotokoll mit SicherheitskriterienSicherheit als Teil der Definition of Done vor Freigabe
Technisch
Test-ToolingSAST/DAST/Pentests in Pipeline oder vor Abnahme
Praxis-Tipps zur Umsetzung
Automatisiert testenSAST und DAST in die Pipeline integrieren, ergänzt um Pentests vor großen Releases.
Abnahmekriterien definierenSicherheit als Freigabekriterium festlegen, nicht nur Funktion.
Findings nachverfolgenGefundene Schwachstellen mit Priorität und Frist beheben.
Pentest-Rhythmus festlegenExtern erreichbare kritische Anwendungen initial, nach wesentlichen Änderungen und sonst alle 1-2 Jahre testen.
Häufige Fehler
Nur FunktionstestsEs wird auf Funktion getestet, nicht auf Sicherheit.
Findings ignoriertSicherheitslücken werden erkannt, aber nicht behoben.
Häufig gestellte Fragen
Was ist der Unterschied zwischen SAST und DAST?
SAST analysiert den Quellcode statisch, DAST testet die laufende Anwendung dynamisch von außen.
Brauchen wir Penetrationstests?
Für kritische Anwendungen sind regelmäßige Pentests sehr empfehlenswert, ergänzend zu automatisierten Tests.
Wann müssen Findings behoben sein?
Kritische vor der Freigabe, weniger kritische risikobasiert mit definierter Frist.
So hilft CompliantDesk bei A.8.29
Hinterlegen Sie Sicherheitstests als Kontrolle, dokumentieren Sie Testnachweise und verfolgen Sie Findings als Maßnahmen im Gap-Tracker.
Bereit für ein ISMS, das nicht bei Excel endet?
Demo buchenKostenlos · unverbindlich · persönliche Einrichtung · 30 Minuten