Politika testnih podatkov in testnega okolja

Politika testnih podatkov in testnega okolja (P29) določa celovite zahteve za varno in skladno upravljanje testnih podatkov in neprodukcijskih okolij v celotnem življenjskem ciklu razvoja in testiranja programske opreme. Njen primarni namen je zaščititi zaupnost, celovitost in operativno varnost testnih podatkov in okolij ter preprečiti nepooblaščen dostop, uhajanje podatkov in tveganje kontaminacije produkcijskih sistemov zaradi neustrezno upravljanih testnih dejavnosti. Ta politika ima širok obseg in se uporablja za vsa okolja, podatke, orodja in procese, ki se uporabljajo pri kateri koli vrsti testiranja, bodisi funkcionalnem, regresijskem, zmogljivostnem ali varnostnem, in ne glede na to, ali se izvaja v lastnih prostorih, v oblaku ali prek platform tretjih oseb. Vse osebje, ki sodeluje, vključno z notranjimi uporabniki, pogodbenimi izvajalci ali dobavitelji, je zavezano njenim določilom. Izrecne kontrole prepovedujejo uporabo produkcijskih, občutljivih ali reguliranih osebnih podatkov (npr. PII ali podatkov o imetnikih kartic), razen če so anonimizirani, psevdonimizirani ali posebej odobreni s strani vodje informacijske varnosti (CISO) z jasno utemeljitvijo in uvedenimi nadomestnimi kontrolami. Poleg tega je obvezna segmentacija omrežja in ločevanje dostopa med testnimi in produkcijskimi sistemi, uveljavljena prek ločene avtentikacije, particioniranja omrežja in omejenih pravil požarnega zidu. Šifriranje, generiranje sintetičnih podatkov ali robustno maskiranje podatkov je zahtevano, kadar so potrebni realistični testni podatki. Strogi nadzor dostopa na podlagi vlog (RBAC) ureja vstop v vsa testna okolja. Dostop mora biti revizijsko beležen, revidirljiv in predmet četrtletnega pregleda, s takojšnjim preklicem dostopa po zaključku projekta. Okolja morajo upoštevati osnovni nabor kontrol za varno gradnjo, vključno z varnostnim utrjevanjem naprav, redno posodobljeno programsko opremo, zaščito končnih točk in strogimi omejitvami oddaljenega dostopa za administracijo. Aktivno spremljanje in revizijsko beleženje sta ključna za odkrivanje kršitev politike, kot so dostopi iz nepooblaščenih razponov IP ali uporaba neodobrenih poverilnic. Prakse varnostnega kopiranja morajo biti usklajene s Politiko varnostnega kopiranja in obnovitve (P15), pri čemer je treba hrambo testnih podatkov minimizirati in jo ustrezno ločiti od produkcijskih ciklov. Upravljanje izjem se izvaja strogo: zahtevki za odstopanja zahtevajo poslovno utemeljitev, navedbo kontrol za zmanjševanje tveganj in izrecno odobritev vodje informacijske varnosti (CISO) ter, kjer je relevantno, pooblaščenca za varstvo podatkov in pravnega svetovalca. Vsaka odobrena izjema se zabeleži, periodično ponovno potrjuje in je predmet okrepljenega spremljanja ter strožjih kontrol. Redni pregledi in presoje s strani ekipe za informacijsko varnost, ob sodelovanju QA, DevOps in drugih deležnikov, zagotavljajo trajno skladnost, z opredeljenimi sprožilci za vmesno oceno politike po pomembnih incidentih ali regulativnih spremembah. Tesno integrirana s povezanimi organizacijskimi politikami, vključno z Upravljanjem sprememb (P5), razvrščanjem podatkov (P13), politiko hrambe podatkov (P14), kriptografskimi kontrolami (P18), Politiko beleženja in spremljanja (P22) in Politiko odzivanja na incidente (P30), je ta politika usklajena tudi z vodilnimi standardi in predpisi. Ti vključujejo ISO/IEC 27001:2022, zahteve za varna testna okolja in podatke (ISO/IEC 27002, kontrole 8.28–8.29), NIST SP 800-53 (SA-11, SC-28, SC-32), EU GDPR (členi 5, 25, 32), EU NIS2, EU DORA in COBIT 2019. Kršitve lahko vodijo do disciplinskih ukrepov, odpovedi pogodbe ali regulativnega poročanja, kar poudarja kritičnost politike za varnost in skladnost.