Testidatan ja testiympäristön politiikka

Testidatan ja testiympäristön politiikka (P29) määrittää kattavat vaatimukset testidatan ja ei-tuotantoympäristöjen turvalliselle ja vaatimustenmukaiselle hallinnalle ohjelmistokehityksen ja testauksen elinkaaren aikana. Sen ensisijainen tarkoitus on suojata testidatan ja ympäristöjen luottamuksellisuus, eheys ja toiminnallinen turvallisuus sekä estää luvaton pääsy, tietovuoto ja riski tuotantoympäristön kontaminoitumisesta puutteellisesti hallittujen testausaktiviteettien seurauksena. Politiikan soveltamisala on laaja ja kattaa kaikki ympäristöt, tiedot, työkalut ja prosessit, joita käytetään kaikenlaisessa testauksessa (toiminnallinen, regressio-, suorituskyky- tai tietoturvatestaus) sekä omissa tiloissa, pilvessä että kolmannen osapuolen alustoilla. Kaikki osallistuvat henkilöt, mukaan lukien sisäiset käyttäjät, urakoitsijat ja kolmannen osapuolen toimittajat, kuuluvat vaatimusten piiriin. Nimenomaiset hallintakeinot kieltävät tuotantodatan, arkaluonteisen datan tai sääntelyn alaisten henkilötietojen (kuten PII tai maksukorttitiedot) käytön, ellei dataa ole anonymisoitu, pseudonymisoitu tai ellei tietoturvajohtaja (CISO) ole hyväksynyt käyttöä selkein perusteluin ja kompensoivin hallintakeinoin. Lisäksi verkko- ja pääsyn eriyttäminen testi- ja tuotantoympäristön välillä on pakollista, ja se toteutetaan erillisellä todennuksella, verkon segmentoinnilla ja eristämistoimenpiteillä sekä rajoitetuilla palomuurisäännöillä. Salaus, synteettisen datan tuottaminen tai vahva datan maskaus on vaadittua aina, kun realistista testidataa tarvitaan. Tiukat roolipohjaiset käyttöoikeuksien hallinnan (RBAC) kontrollit ohjaavat pääsyä kaikkiin testiympäristöihin. Pääsy on lokitettava, auditoitava ja neljännesvuosittain katselmoitava käyttöoikeuksien tarkastuksissa, ja käyttöoikeuksien peruminen on tehtävä välittömästi projektin päätyttyä. Ympäristöjen on noudatettava turvallisia perustasoja, mukaan lukien laitteiden koventaminen, säännöllisesti automaattisilla päivityksillä ylläpidetty ohjelmisto, päätelaitesuojaus sekä tiukat rajoitukset etähallinnalle. Aktiivinen valvonta ja tarkastuslokitus ovat keskeisiä politiikkarikkomusten havaitsemiseksi, kuten pääsy luvattomista IP-alueista tai hyväksymättömien tunnistetietojen käyttö. Varmuuskopiointikäytäntöjen on oltava linjassa varmuuskopiointi- ja palautuspolitiikan (P15) kanssa, ja testidatan säilytys on minimoitava sekä pidettävä erillään tuotantokierroista. Poikkeusten hallinta toteutetaan tiukasti: poikkeuspyynnöt edellyttävät liiketoimintaperustelua, riskien lieventämisen hallintakeinojen kuvausta sekä tietoturvajohtajan (CISO) hyväksyntää ja tarvittaessa tietosuojavastaavan sekä laki- ja vaatimustenmukaisuustoiminnon hyväksyntää. Jokainen myönnetty poikkeus kirjataan, uudelleenvalidoidaan vuosittaisen uudelleenvalidoinnin menettelyllä ja asetetaan tehostetun seurannan valvonnan sekä tiukempien kontrollien piiriin. Tietoturvatiimi suorittaa säännöllisiä katselmointeja ja tietoturva-auditointeja yhdessä QA-, DevOps- ja muiden sidosryhmien kanssa jatkuvan vaatimustenmukaisuuden varmistamiseksi, ja politiikan välitarkastelulle määritetään herätteet merkittävien poikkeamien tai sääntelytarkastelumuutosten jälkeen. Politiikka on tiiviisti integroitu organisaation muihin politiikkoihin, mukaan lukien Muutoksenhallinta (P5), tietojen luokittelu (P13), tietojen säilytyspolitiikka (P14), Kryptografia (P18), Lokitus- ja valvontapolitiikka (P22) ja tietoturvapoikkeamiin reagoinnin politiikka (P30). Se on myös linjassa keskeisten standardien ja sääntelyjen kanssa, mukaan lukien ISO/IEC 27001:2022, turvallisia testiympäristöjä ja testidataa koskevat vaatimukset (ISO/IEC 27002 hallintakeinot 8.28–8.29), NIST SP 800-53 (SA-11, SC-28, SC-32), EU GDPR (artiklat 5, 25, 32), EU NIS2, EU DORA ja COBIT 2019. Rikkomukset voivat johtaa kurinpitotoimenpiteisiin, sopimuksen päättämiseen tai raportointivelvoitteiden mukaiseen viranomaisraportointiin, mikä korostaa politiikan kriittisyyttä turvallisuuden ja vaatimustenmukaisuuden kannalta.