ISO 27001:2022 · A.8.4 · A.8 Technologische Maßnahmen
Zugang zum Quellcode
Der Lese- und Schreibzugriff auf Quellcode, Entwicklungswerkzeuge und Softwarebibliotheken muss angemessen verwaltet werden.
ISO 27001TISAXBSINIS2
Was fordert dieses Control?
Der Lese- und Schreibzugriff auf Quellcode, Entwicklungswerkzeuge und Softwarebibliotheken muss angemessen verwaltet werden.
Warum ist das wichtig?
Quellcode ist geistiges Eigentum und kann Schwachstellen oder Geheimnisse enthalten. Unkontrollierter Zugriff ermöglicht Diebstahl und das Einschleusen von Schadcode.
Bezug zu anderen Normen
| Norm | Stelle | Thema | Bezug |
|---|---|---|---|
| TISAX | 5.2.4 | Entwicklung | Direkt |
| BSI | CON.8 | Software-Entwicklung | Direkt |
| NIS2 | § 30 Abs. 1 BSIG | Technische Maßnahmen | Direkt |
Was der Auditor erwartet
- Zugriffskontrolle auf Code-Repositories
- Schutz vor unbefugten Änderungen am Code
- Verwaltung von Build- und Bibliotheks-Zugriffen
Audit-Checkliste
Dokumente
Zugriffsregeln QuellcodeWer Lese-/Schreibzugriff auf Repositories hat
Nachweise
Repository-BerechtigungenTatsächliche Rechte und Branch-Protection
Secret-Scanning-ReportErgebnisse der Suche nach Zugangsdaten im Code
Offboarding externer EntwicklerNachweis entzogener Repo-Zugänge nach Projektende
Technisch
VersionsverwaltungZugriffskontrolle, Reviews und Protokollierung
Praxis-Tipps zur Umsetzung
Least Privilege im RepoSchreibrechte nur für die, die sie brauchen, mit Branch-Protection.
Reviews erzwingenÄnderungen nur über Pull Requests mit Vier-Augen-Prinzip.
Secrets fernhaltenKeine Zugangsdaten im Code, Secret-Scanning aktivieren.
Häufige Fehler
Alle haben SchreibrechteJeder kann direkt in den Hauptzweig pushen.
Secrets im RepoPasswörter und Schlüssel landen im Quellcode.
Häufig gestellte Fragen
Gilt das auch für Open-Source-Nutzung?
Ja, der Zugriff auf eingebundene Bibliotheken und deren Integrität ist ebenfalls zu steuern.
Wie schützt man den Hauptzweig?
Über Branch-Protection, erzwungene Reviews und eingeschränkte Schreibrechte.
Was tun gegen Secrets im Code?
Secret-Scanning, Pre-Commit-Hooks und ein zentrales Secret-Management einsetzen.
So hilft CompliantDesk bei A.8.4
Dokumentieren Sie Quellcode-Zugriffsregeln als Kontrolle und verknüpfen Sie sie mit Ihrem sicheren Entwicklungsprozess.
Bereit für ein ISMS, das nicht bei Excel endet?
Demo buchenKostenlos · unverbindlich · persönliche Einrichtung · 30 Minuten