Tesztadat- és tesztkörnyezet-szabályzat

A Tesztadat- és tesztkörnyezet-szabályzat (P29) átfogó követelményeket határoz meg a tesztadatok és nem éles környezetek biztonságos, megfelelőségi szempontból megfelelő kezelésére a szoftverfejlesztési és tesztelési életciklus teljes időtartama alatt. Elsődleges célja a tesztadatok és környezetek bizalmasságának, sértetlenségének és működési biztonságának védelme, a jogosulatlan hozzáférés, az adatszivárgás, valamint az éles rendszerek nem megfelelően kezelt tesztelési tevékenységekből eredő szennyeződésének kockázata ellen. A szabályzat hatóköre széles: minden olyan környezetre, adatra, eszközre és folyamatra kiterjed, amelyet bármilyen teszteléshez használnak (funkcionális, regressziós, teljesítmény- vagy biztonsági tesztelés), függetlenül attól, hogy helyszíni, felhőben üzemeltetett rendszerekben vagy harmadik fél platformokon történik. Valamennyi érintett személyre vonatkozik, beleértve a belső felhasználókat, a vállalkozókat és a beszállítókat is. Kifejezett kontrollok tiltják az éles, érzékeny vagy szabályozott személyes adatok (például PII vagy kártyabirtokosi adatok) használatát, kivéve, ha azok anonimizáltak, pszeudonimizáltak, vagy az információbiztonsági vezető (CISO) kifejezetten jóváhagyta egyértelmű indoklással és kompenzáló kontrollok mellett. Emellett kötelező a hálózati és hozzáférési elkülönítés a teszt- és éles rendszerek között, külön hitelesítéssel, hálózati particionálással és korlátozott tűzfalszabályokkal kikényszerítve. Titkosítás, szintetikus adatok előállítása vagy robusztus adatmaszkolás szükséges minden esetben, amikor valósághű tesztadatokra van szükség. Szigorú szerepköralapú hozzáférés-szabályozás (RBAC) irányítja a belépést valamennyi tesztkörnyezetbe. A hozzáférést naplózni kell, auditálhatónak kell lennie, és negyedéves hozzáférés-felülvizsgálatoknak kell alávetni; a projekt befejezését követően pedig azonnali hozzáférés-visszavonás szükséges. A környezeteknek meg kell felelniük a biztonságos build-alapvonalaknak, beleértve az eszközök biztonsági megerősítését, a rendszeres szoftverfrissítéseket, a végpontvédelmet, valamint a távoli adminisztráció drasztikus korlátozását. Az automatizált monitorozás és az eseménynaplózás kulcsfontosságú a szabályzatsértések észleléséhez, például jogosulatlan IP-tartományokból történő hozzáférés vagy nem jóváhagyott hitelesítő adatok használata esetén. A biztonsági mentési gyakorlatoknak összhangban kell lenniük a Backup and Restore Policy (P15) előírásaival, biztosítva, hogy a tesztadatok megőrzése minimalizált legyen, és megfelelően elkülönüljön az éles ciklusoktól. A kivételkezelés szigorú: az eltérésekre vonatkozó kérelmekhez üzleti indoklás, a kockázatcsökkentő kontrollok megjelölése, valamint a CISO és – relevancia esetén – az adatvédelmi tisztviselő és a jogi tanácsadó kifejezett jóváhagyása szükséges. Minden megadott kivételt naplózni kell, időszakosan éves újraérvényesítés alá kell vetni, és fokozott monitorozásnak, valamint szigorúbb kontrolloknak kell kísérnie. Az információbiztonsági csapat rendszeres felülvizsgálatai és auditjai – QA, DevOps és más érdekelt felek bevonásával – biztosítják a tartós megfelelést, meghatározott kiváltó mechanizmusokkal a közbenső szabályzatértékeléshez jelentős incidensek vagy szabályozási változások után. A kapcsolódó szervezeti szabályzatokkal szorosan integráltan – beleértve a változáskezelést (P5), az adatosztályozást (P13), az adatmegőrzést (P14), a kriptográfiai kontrollokat (P18), a naplózási és monitorozási szabályzatot (P22) és az incidensreagálást (P30) – ez a szabályzat vezető szabványokhoz és jogszabályokhoz is igazodik. Ide tartozik az ISO/IEC 27001:2022, a biztonságos tesztkörnyezetekre és adatokra vonatkozó követelmények (ISO/IEC 27002 8.28–8.29 kontrollok), a NIST SP 800-53 (SA-11, SC-28, SC-32), az EU GDPR (5., 25., 32. cikk), az EU NIS2, az EU DORA és a COBIT 2019. A szabályzat megsértése fegyelmi intézkedésekhez, szerződés megszüntetéséhez vagy szabályozói jelentéstételhez vezethet, hangsúlyozva a szabályzat kritikus jelentőségét a biztonság és a megfelelés szempontjából.