2011年12月3日 星期六

[觀點] 解析資訊安全控制措施(九) - 資訊系統取得、開發與維護

上次談到了ISO 27001中有關網路、作業系統、應用系統的存取控制要求,藉由部署適當的控制措施,可降低組織的安全風險,接下來將說明標準中有關資訊系統取得、開發與維護的安全要求。

對大多數的組織而言,資訊系統的獲得有兩個來源,一個是由內部人員自行開發撰寫應用程式,另一個則是由外部廠商來協助開發或提供套裝軟體。不過,無論是採用委外服務或是自行開發,對於資訊系統所需的安全目標都是一致的,相關的安全控制目標與措施,可以參考ISO 27001附錄A.12「資訊系統取得、開發與維護」的內容,它主要有六個控制項目,依序說明如下。