Wat houdt deze control in?
Toegang tot broncode moet worden beperkt en gecontroleerd om ongeautoriseerde wijzigingen te voorkomen.
Waarom is dit verplicht?
Broncode bevat gevoelige logica; ongeautoriseerde toegang kan leiden tot exploitatie.
Praktische implementatie
- Gebruik een versiebeheerssysteem met toegangscontrole
- Beperk schrijftoegang tot geautoriseerde ontwikkelaars
- Implementeer code-reviews en pull request processen
- Log alle toegang tot broncode-repositories
Aandachtspunten voor de overheid
Open source publicatie van overheidscode moet zorgvuldig worden voorbereid om geheimen te verwijderen.
Relatie met andere controls
Gerelateerd aan 8.25 (ontwikkelomgeving) en 8.32 (wijzigingsbeheer).
← Terug naar alle BIO 2.0 controls
Wat deze control praktisch betekent
Je beperkt en controleert de toegang tot broncode om ongeautoriseerde wijzigingen te voorkomen. Broncode bevat gevoelige logica; ongeautoriseerde toegang kan tot exploitatie leiden. Voor deze control geldt geen aanvullende overheidsmaatregel; de ISO 27002-control is leidend. Let op: open source publicatie van overheidscode moet zorgvuldig worden voorbereid om geheimen (API-keys, wachtwoorden) te verwijderen.
Passende maatregelen
4 basismaatregelen + 1 verdieping.
- ›Gebruik een versiebeheersysteem met toegangscontrole en beperk schrijftoegang tot geautoriseerde ontwikkelaars.
- ›Implementeer code-reviews en pull request-processen.
- ›Log alle toegang tot broncode-repositories.
- ›Bereid open source publicatie zorgvuldig voor: verwijder geheimen (keys, wachtwoorden) vóór publicatie.
- ›Scan repositories automatisch op per ongeluk gecommitte geheimen (secret scanning).verdieping
Bewijs dat je kunt verzamelen
- ›Toegangsconfiguratie van het versiebeheersysteem
- ›Bewijs van code-review-/pull request-proces
- ›Toegangslogs van repositories
- ›Procedure en scans voor het verwijderen van geheimen vóór publicatie
Wat je bij een audit moet kunnen aantonen
- ›Dat broncode-toegang is beperkt tot geautoriseerde ontwikkelaars
- ›Dat wijzigingen via review/pull requests lopen
- ›Dat toegang tot repositories wordt gelogd
- ›Dat geheimen vóór publicatie worden verwijderd
Voorbeeldactiviteiten: opzet, bestaan, werking
- ›Is toegangscontrole op broncode ingericht?
- ›Is een code-review-/PR-proces vastgesteld?
- ›Is een procedure voor veilige open source publicatie belegd?
- ›Is schrijftoegang beperkt tot geautoriseerden?
- ›Worden reviews/PR's toegepast?
- ›Wordt toegang gelogd?
- ›Blijft toegang beperkt en herleidbaar?
- ›Worden geheimen consistent verwijderd vóór publicatie?
- ›Draait secret scanning waar aanwezig?
Gekoppelde overheidsmaatregel(en)
Voor deze control geldt geen aanvullende overheidsmaatregel.
Deze uitwerking is indicatief en generiek. Ze vervangt geen eigen risicoafweging of professioneel advies afgestemd op jouw organisatie.