A.12 Information systems acquisitio

A.12 Information systems acquisition, development and maintenance
A.12.1 Security requirements of information systems
Objective: To ensure that security is an integral part of information systems. 16
A.12.1.1 Security requirements analysis and specification
Control
Statements of business requirements for new information systems, or enhancements to
existing information systems shall specify the requirements for security controls.
A.12.2 Correct processing in applications
Objective: To prevent errors, loss, unauthorized modification or misuse of information in
applications.
A.12.2.1
Input data validation
Control
Data input to applications shall be validated to ensure that this data is correct and
appropriate.
A.12.2.2 Control of internal processing
Control
Validation checks shall be incorporated into applications to detect any corruption of
information through processing errors or deliberate acts.
A.12.2.3
Message integrity
Control
Requirements for ensuring authenticity and protecting message integrity in applications
shall be identified, and appropriate controls identified and implemented.
A.12.2.4
Output data validation
Control
Data output from an application shall be validated to ensure that the processing of stored
information is correct and appropriate to the circumstances.
A.12.3 Cryptographic controls
Objective: To protect the confidentiality, authenticity or integrity of information by
cryptographic means.
A.12.3.1 Policy on the use of cryptographic controls
Control
A policy on the use of cryptographic controls for protection of information shall be
developed and implemented.
A.12.3.2
Key management
Control
Key management shall be in place to support the organization’s use of cryptographic
techniques. 17
A.12.4 Security of system files
Objective: To ensure the security of system files.
A.12.4.1 Control of operational software
Control
There shall be procedures in place to control the installation of software on operational
systems.
A.12.4.2 Protection of system test data
Control
Test data shall be selected carefully, and protected and controlled.
A.12.4.3 Access control to program source code
Control
Access to program source code shall be restricted.
A.12.5 Security in development and support processes
Objective: To maintain the security of application system software and information.
A.12.5.1
Change control procedures
Control
The implementation of changes shall be controlled by the use of formal change control
procedures.
A.12.5.2 Technical review of applications after operating system changes
Control
When operating systems are changed, business critical applications shall be reviewed and
tested to ensure there is no adverse impact on organizational operations or security.
A.12.5.3 Restrictions on changes to software packages
Control
Modifications to software packages shall be discouraged, limited to necessary changes,
and all changes shall be strictly controlled.
A.12.5.4
Information leakage
Control
Opportunities for information leakage shall be prevented.
A.12.5.5 Outsourced software development
Control
Outsourced software development shall be supervised and monitored by the organization. 18
A.12.6 Technical Vulnerability Management
Objective: To reduce risks resulting from exploitation of published technical
vulnerabilities.
A.12.6.1 Control of technical vulnerabilities
Control
Timely information about technical vulnerabilities of information systems being used
shall be obtained, the organization's exposure to such vulnerabilities evaluated, and
appropriate measures taken to address the associated risk

ผลลัพธ์ (ไทย) 1:

A.12 ข้อมูลระบบซื้อ พัฒนา และบำรุงรักษา A.12.1 ข้อกำหนดความปลอดภัยของระบบสารสนเทศ วัตถุประสงค์: เพื่อรักษาความปลอดภัยที่เป็นส่วนสำคัญของระบบสารสนเทศ 16A.12.1.1 การวิเคราะห์ความต้องการความปลอดภัยและข้อมูลจำเพาะ ควบคุม งบการทำธุรกิจ ระบบสารสนเทศใหม่หรือปรับปรุง ระบบจะระบุข้อกำหนดสำหรับการควบคุมความปลอดภัยข้อมูลที่มีอยู่ A.12.2 แก้ไขในโปรแกรมประยุกต์การประมวลผล วัตถุประสงค์: เพื่อป้องกันข้อผิดพลาด ขาดทุน แก้ไขไม่ได้รับอนุญาต หรือนำข้อมูลใน ใช้งาน A.12.2.1 ตรวจสอบข้อมูลที่ป้อนเข้า ควบคุม ป้อนข้อมูลการใช้งานจะต้องตรวจสอบเพื่อให้แน่ใจว่า ข้อมูลนี้ถูกต้อง และ ที่เหมาะสม A.12.2.2 ควบคุมการประมวลผลภายใน ควบคุม ตรวจสอบเช็คจะรวมอยู่ในโปรแกรมประยุกต์เพื่อตรวจสอบความเสียหายของ ข้อมูลผ่านการประมวลผลข้อผิดพลาดหรือการกระทำโดยเจตนา A.12.2.3 ความสมบูรณ์ของข้อความ ควบคุม ความมั่นใจความถูกต้อง และปกป้องความสมบูรณ์ของข้อความในใบสมัคร จะควบคุมการระบุ และความเหมาะสม และให้ดำเนินการ A.12.2.4 ตรวจสอบข้อมูลผลผลิต ควบคุม แสดงผลข้อมูลจากโปรแกรมประยุกต์จะต้องตรวจสอบเพื่อให้แน่ใจว่า การประมวลผลเก็บ ข้อมูลถูกต้อง และเหมาะสมกับสถานการณ์ ควบคุมการเข้ารหัสลับ A.12.3 วัตถุประสงค์: เพื่อป้องกันความลับ ความถูกต้อง หรือความสมบูรณ์ของข้อมูลโดย วิธีการเข้ารหัสลับ A.12.3.1 นโยบายการใช้ตัวควบคุมการเข้ารหัสลับ ควบคุม นโยบายในการใช้ควบคุมการเข้ารหัสลับสำหรับการป้องกันข้อมูลจะ พัฒนา และดำเนินการ A.12.3.2 จัดการคีย์ ควบคุม จะจัดการคีย์ในการสนับสนุนขององค์กรที่ใช้การเข้ารหัสลับ เทคนิคการ 17A.12.4 ความปลอดภัยของระบบแฟ้ม วัตถุประสงค์: เพื่อความปลอดภัยของระบบแฟ้ม A.12.4.1 การควบคุมของซอฟต์แวร์ที่ทำงาน ควบคุม จะมีขั้นตอนในการควบคุมการติดตั้งซอฟต์แวร์ในการดำเนินงาน ระบบ คุ้มครองข้อมูลการทดสอบระบบ A.12.4.2 ควบคุม ข้อมูลการทดสอบจะถูกเลือกอย่างระมัดระวัง ป้องกัน และควบคุม ควบคุมการเข้าถึง A.12.4.3 รหัสแหล่งที่มาของโปรแกรม ควบคุม การเข้าถึงรหัสต้นทางโปรแกรมจะจำกัด A.12.5 ความปลอดภัยในกระบวนการพัฒนาและการสนับสนุน วัตถุประสงค์: เพื่อรักษาความปลอดภัยของข้อมูลและโปรแกรมระบบ A.12.5.1 ขั้นตอนการควบคุมเปลี่ยนแปลง ควบคุม ดำเนินการเปลี่ยนแปลงจะถูกควบคุม โดยการใช้การควบคุมการเปลี่ยนแปลงทาง ขั้นตอนการ ตรวจสอบทางเทคนิค A.12.5.2 แอพลิเคชันหลังจากการเปลี่ยนแปลงระบบปฏิบัติการ ควบคุม เมื่อมีการเปลี่ยนแปลงระบบปฏิบัติการ ดูแลธุรกิจจะต้องตรวจทาน และ ทดสอบให้มีได้ไม่กระทบการดำเนินงานขององค์กรหรือความปลอดภัย A.12.5.3 เปลี่ยนแปลงซอฟต์แวร์แพคเกจจำกัด ควบคุม ปรับเปลี่ยนแพคเกจจะเกิด เปลี่ยนแปลง จำกัด และเปลี่ยนแปลงทั้งหมดจะถูกควบคุมอย่างเคร่งครัด A.12.5.4 ข้อมูลรั่วไหล ควบคุม โอกาสในการรั่วไหลของข้อมูลจะไม่เกิดขึ้น พัฒนาซอฟต์แวร์ Outsourced A.12.5.5 ควบคุม จะเป็นแบบมีผู้สอน และตรวจสอบ โดยองค์กรพัฒนาซอฟต์แวร์ 18จัดการช่องโหว่ทางเทคนิค A.12.6 วัตถุประสงค์: เพื่อลดความเสี่ยงที่ เกิดจากการเอารัดเอาเปรียบของเผยแพร่เทคนิค ช่องโหว่ ควบคุม A.12.6.1 ของช่องโหว่ทางเทคนิค ควบคุม ข้อมูลทันเวลาเกี่ยวกับช่องโหว่ทางเทคนิคของระบบข้อมูลที่ใช้ จะได้รับ ความเสี่ยงขององค์กรกับช่องโหว่ดังกล่าวประเมิน และ มาตรการที่เหมาะสมเพื่อจัดการความเสี่ยงเกี่ยวข้อง

ผลลัพธ์ (ไทย) 3:

ซื้อ a.12 การพัฒนาและการบำรุงรักษาระบบสารสนเทศ

a.12.1 วัตถุประสงค์ของระบบความปลอดภัยของข้อมูลเพื่อให้แน่ใจว่าระบบรักษาความปลอดภัยเป็นส่วนหนึ่งของระบบสารสนเทศ การวิเคราะห์และกำหนดควบคุม 16


งบของความต้องการทางธุรกิจระบบใหม่หรือการปรับปรุงความปลอดภัยของ a.12.1.1

,ระบบข้อมูลที่มีอยู่จะต้องระบุข้อกำหนดสำหรับการควบคุมการรักษาความปลอดภัย
a.12.2 ถูกต้องประมวลผลในโปรแกรม
วัตถุประสงค์ : เพื่อป้องกันข้อผิดพลาดการสูญเสียที่ไม่ได้รับอนุญาตดัดแปลงหรือใช้ผิดประเภทของข้อมูลใน
โปรแกรม


a.12.2.1 ป้อนข้อมูลการตรวจสอบควบคุม
ข้อมูลโปรแกรมจะตรวจสอบเพื่อให้แน่ใจว่าข้อมูลนี้ถูกต้องและ
เหมาะสม
a.12.2 .2 การควบคุมการประมวลผล

ภายในการควบคุมตรวจสอบการตรวจสอบจะถูกรวมอยู่ในโปรแกรมประยุกต์เพื่อตรวจสอบทุจริตใด ๆของข้อมูลที่ผ่านการประมวลผล หรือข้อผิดพลาด
จงใจทำ



a.12.2.3 ข้อความสมบูรณ์ การควบคุมความต้องการ เพื่อความถูกต้องและการปกป้องความสมบูรณ์ในการใช้งาน
ข้อความจะระบุและการควบคุมที่เหมาะสมระบุและใช้
a.12.2 .4


ออกตรวจสอบข้อมูลการควบคุมข้อมูลผลผลิตจากโปรแกรมจะถูกตรวจสอบเพื่อให้แน่ใจว่ากระบวนการจัดเก็บ
ข้อมูลที่ถูกต้องและเหมาะสมกับสถานการณ์

a.12.3 การเข้ารหัสควบคุมวัตถุประสงค์ : เพื่อปกป้องความลับ ความถูกต้องหรือความสมบูรณ์ของข้อมูลโดย
หมายถึงรหัสลับ .
a.12.3.1 นโยบายที่ใช้ควบคุมการควบคุม

ปีนโยบายในการควบคุมการใช้การเข้ารหัสลับของข้อมูลจะถูก
การพัฒนาและการใช้งาน



a.12.3.2 การจัดการคีย์ควบคุมการจัดการกุญแจจะอยู่ในสถานที่เพื่อสนับสนุนองค์กรใช้เทคนิคการเข้ารหัสลับ

17

a.12.4 ความปลอดภัยของไฟล์ระบบ วัตถุประสงค์ : เพื่อให้มั่นใจความปลอดภัยของไฟล์ระบบ


a.12.4.1 ควบคุมของซอฟต์แวร์การควบคุมปฏิบัติการต้องมีกระบวนการในสถานที่เพื่อการควบคุมการติดตั้งซอฟต์แวร์บนระบบปฏิบัติ


a.12.4.2 การป้องกันของระบบข้อมูลทดสอบ

ทดสอบการควบคุมข้อมูลจะถูกเลือกอย่างระมัดระวัง และการป้องกันและควบคุม
a.12.4.3 การควบคุมการเข้าถึงโปรแกรมควบคุมแหล่งที่มารหัส

การเข้าถึงซอร์สโค้ดจะถูก จำกัด .
a.12.5 ความปลอดภัยในการพัฒนาและสนับสนุนกระบวนการ
: วัตถุประสงค์เพื่อรักษาความปลอดภัยของซอฟต์แวร์ และระบบสารสนเทศประยุกต์ a.12.5.1



เปลี่ยนขั้นตอนการควบคุมการควบคุมการเปลี่ยนแปลงจะถูกควบคุมโดยการใช้วิธีการควบคุม
เปลี่ยนอย่างเป็นทางการ
a.12.5.2 เทคนิคการทบทวนหลังการปฏิบัติงาน ควบคุมการเปลี่ยนแปลงระบบ

เมื่อระบบปฏิบัติการที่มีการเปลี่ยนแปลง , โปรแกรมประยุกต์ทางธุรกิจที่สําคัญจะถูกตรวจสอบและ
การทดสอบเพื่อให้แน่ใจว่าไม่มีอาการไม่พึงประสงค์ต่อองค์กรหรือการรักษาความปลอดภัย
a.12.5.3 ข้อ จำกัด ในการเปลี่ยนแปลง

แพคเกจซอฟต์แวร์ที่ควบคุมการปรับเปลี่ยนแพคเกจซอฟต์แวร์ จะท้อแท้ จำกัด การเปลี่ยนแปลงที่จำเป็น
และการเปลี่ยนแปลงทั้งหมดจะต้องควบคุมอย่างเคร่งครัด



a.12.5.4 รั่วข้อมูล ควบคุม โอกาสรั่วข้อมูลจะถูกป้องกัน
a.12.5 .5 การพัฒนาซอฟต์แวร์ outsourced

ต้องควบคุมการพัฒนาซอฟต์แวร์จะถูกควบคุมและตรวจสอบโดยองค์กร 18
a.12.6 เทคนิคช่องโหว่การจัดการ
วัตถุประสงค์ : เพื่อลดความเสี่ยงที่เกิดจากการใช้ประโยชน์จากช่องโหว่ทางเทคนิคตีพิมพ์




a.12.6.1 ควบคุมควบคุมช่องโหว่ทางเทคนิคข้อมูลทันเวลาเกี่ยวกับช่องโหว่ทางเทคนิคของระบบข้อมูลการใช้
จะได้รับข่าวสารขององค์กร เช่น ช่องโหว่การประเมินและ
มาตรการที่เหมาะสมไปอยู่ที่ความเสี่ยง