Przejdź do głównej zawartości

8.19 Instalowanie oprogramowania w systemach eksploatowanych

W skrócie: oprogramowanie w systemach produkcyjnych instaluje się i aktualizuje w kontrolowany sposób — przez upoważnione osoby, po testach i z planem wycofania.

Cel: zapewnienie integralności systemów eksploatowanych i zapobieganie wykorzystaniu podatności technicznych.

Atrybuty​

Typ atrybutuWartości
Typ zabezpieczenia#Preventive (prewencyjne)
Właściwości bezpieczeństwa informacji#Confidentiality (poufność), #Integrity (integralność), #Availability (dostępność)
Koncepcje cyberbezpieczeństwa#Protect (ochrona)
Zdolności operacyjne#Application_security (bezpieczeństwo aplikacji), #Secure_configuration (bezpieczna konfiguracja)
Domeny bezpieczeństwa#Protection (ochrona)

Znaczenie atrybutów opisuje 4.2 Tematy i atrybuty.

Wytyczne​

  • Uwaga terminologiczna: operational systems to systemy eksploatowane, czyli produkcyjne — nie systemy operacyjne (operating systems). Zabezpieczenie dotyczy każdego oprogramowania w środowisku produkcyjnym.
  • Aktualizacje oprogramowania w systemach eksploatowanych wykonują tylko przeszkoleni administratorzy po autoryzacji przez kierownictwo.
  • W systemach eksploatowanych jest wyłącznie zatwierdzony kod wykonywalny — bez kodu deweloperskiego i kompilatorów.
  • Oprogramowanie instaluje się i aktualizuje po rozległych i udanych testach (8.29, 8.31). Aktualizuje się odpowiednie biblioteki źródłowe.
  • System kontroli konfiguracji obejmuje całe oprogramowanie eksploatowane i dokumentację. Przed wdrożeniem ustala się strategię wycofania.
  • Prowadzi się dziennik audytu aktualizacji. Poprzednie wersje archiwizuje się wraz z konfiguracją i procedurami, dopóki dane w nich są potrzebne.
  • Decyzja o aktualizacji uwzględnia wymagania biznesowe i bezpieczeństwo nowej wersji. Oprogramowanie dostawców i open source utrzymuje się w wersjach wspieranych; ryzyko oprogramowania bez wsparcia trzeba ocenić.
  • Dostęp dostawców do instalacji jest przyznawany tylko na potrzebę i monitorowany. Organizacja ustala też, jakie oprogramowanie mogą instalować użytkownicy (zasada minimalnych uprawnień).

W praktyce​

Przykłady i narzędzia poniżej to praktyka branżowa, nie treść normy.

  • Wdrożenia przez potok CI/CD z niezmiennymi artefaktami — ten sam artefakt przechodzi przez test i produkcję.
  • Brak uprawnień administratora lokalnego dla użytkowników; katalog zatwierdzonego oprogramowania do samodzielnej instalacji.
  • Monitorowanie dat końca wsparcia (EOL) i plan migracji z wyprzedzeniem.

Powiązania​