Direct antwoord
Annex A-maatregel 8.29 eist dat beveiligingstestprocessen worden gedefinieerd en geïmplementeerd in de ontwikkelcyclus: testen of de beveiligingseisen (8.26) worden waargemaakt, met geautomatiseerde tests in de pipeline, beveiligingschecks in de acceptatietest en periodieke of wijzigingsgedreven pentests. Nieuwe systemen worden niet geaccepteerd zonder dat de beveiligingscriteria zijn getoetst.
Annex A-maatregel 8.29 van ISO 27001, “Security testing in development and acceptance”, sluit de cirkel die bij 8.26 begon: eisen stellen is stap één, aantonen dat ze zijn waargemaakt is de toets.
Wat eist de maatregel?
Beveiligingstestprocessen worden gedefinieerd en geïmplementeerd in de ontwikkelcyclus: tests die verifiëren dat aan de beveiligingseisen is voldaan wanneer applicaties of code worden uitgerold, met testplannen, criteria en tooling die passen bij het risico. Voor acceptatie van nieuwe of gewijzigde systemen zijn beveiligingscriteria onderdeel van de acceptatietest.
Zo vul je hem in
- Test tegen de eisen van 8.26: per beveiligingseis een toets: probeert de test echt of een gebruiker zonder rol bij de data kan, of alleen of het inloggen werkt?
- Bouw lagen op: geautomatiseerd in de pipeline (8.28), functionele beveiligingstests in de acceptatie, en onafhankelijke pentests voor de kritische en extern bereikbare systemen (ondersteunt ook 5.35).
- Maak acceptatie expliciet: livegang alleen na afgetekende beveiligingscriteria; bevindingen boven een drempel blokkeren of krijgen een geaccepteerde-risico-registratie.
- Sluit de lus: testbevindingen en pentestresultaten krijgen eigenaren en deadlines, en hertest bevestigt de oplossing.
Waar let de auditor op?
De auditor vraagt het laatste pentestrapport en de opvolging van de bevindingen: dat rapport met drie kritieke bevindingen van acht maanden geleden zonder aantoonbare actie is een klassieke non-conformiteit. Verder: zijn er beveiligingscriteria in de acceptatie, of gaat alles live zodra het functioneel werkt?
Zo werkt dit in Control One
In de portal zie je per normeis welke maatregelen, documenten en bewijsstukken eraan gekoppeld zijn, met de status erbij.
Veelgestelde vragen
Wat is het verschil tussen de pipeline-scans van 8.28 en de tests van 8.29?
8.28 gaat over veilig bouwen (statische analyse, dependency-checks tijdens het schrijven); 8.29 over het toetsen van het resultaat: doet het systeem wat de beveiligingseisen beloven? Dat omvat functionele beveiligingstests (werkt de autorisatie echt), dynamische tests tegen de draaiende applicatie en pentests door een onafhankelijke partij.
Wanneer is een pentest nodig?
Gangbaar: bij de livegang van een nieuw extern bereikbaar systeem, na grote architecturale wijzigingen, en periodiek (jaarlijks) voor de kritische toepassingen. De scope en diepgang volgen het risico; een gerichte test op de kroonjuwelen levert meer op dan een brede oppervlakkige scan.