Zum Inhalt
Arbeiten Sie intelligenter mit unserer neuen, verbesserten Navigation!
Erfahren Sie, wie IO die Einhaltung von Vorschriften vereinfacht.
Lesen Sie den Blog

Sichere und konforme Anlagenrückgabe mit ISO 27001 Control 5.11

ISO 27001:2022 Control 5.11 von Anhang A legt fest, dass Mitarbeiter und andere interessierte Parteien bei einem Wechsel des Beschäftigungsverhältnisses, Vertrags oder einer Vereinbarung alle Vermögenswerte zurückgeben müssen, die der Organisation gehören.

Bei Beendigung des Arbeitsverhältnisses, Vertrags oder der Vereinbarung wird von Mitarbeitern und externen Nutzern erwartet, dass sie alle Informationen und organisatorischen Vermögenswerte zurückgeben.

Mitarbeiter, Auftragnehmer und andere müssen verpflichtet werden, alle Vermögenswerte zu ersetzen. Diese Verpflichtung würde in die entsprechenden Vereinbarungen mit Mitarbeitern, Auftragnehmern und anderen aufgenommen.

Ein solider, dokumentierter Prozess sollte die Rückgabe von Vermögenswerten verwalten. Dieser Prozess kann für jede Person oder jeden Lieferanten, der ihn durchläuft, dokumentiert werden. Anhang A.6.5 für die Sicherheit der Humanressourcen, Anhang 6.6 für Vertraulichkeitsvereinbarungen und Anhang A.5.20 für Lieferantenaktivitäten stimmen dies mit Ausgangskontrollen überein.

Organisationen müssen über schriftliche Richtlinien verfügen, die festlegen, welche Vermögenswerte bei Beendigung zurückgegeben werden müssen, und über Personal, das den Empfang bestätigt und die Inventarisierung und Buchführung der Vermögenswerte sicherstellt.

Was ist der Zweck von Anhang A 5.11?

Die folgenden sind Beispiele für Informationsressourcen für eine Organisation:

  • Physische Dokumente.
  • Digitale Dateien und Datenbanken.
  • Softwareprogramme.
  • Sogar immaterielle Gegenstände wie Geschäftsgeheimnisse und geistiges Eigentum.

Die Informationsbestände eines Unternehmens können in vielerlei Hinsicht wertvoll sein. Dazu gehört auch die Speicherung sensibler Informationen über Kunden, Mitarbeiter oder andere Stakeholder, die von Kriminellen für finanziellen Gewinn oder Identitätsdiebstahl ausgenutzt werden können. Zusätzlich zu Finanz-, Forschungs- und Betriebsinformationen könnten sie Ihren Konkurrenten einen Wettbewerbsvorteil verschaffen, wenn sie Zugriff darauf hätten.

Aus diesem Grund müssen alle Vermögenswerte und Vermögenswerte von Mitarbeitern und Auftragnehmern zurückgegeben werden, die ihr Arbeitsverhältnis bei einer Organisation beenden.

Im Rahmen des Ausstiegsprozesses müssen Vermögenswerte gemäß dem Prozess zurückgegeben werden, sofern nicht anders vereinbart und dokumentiert:

  • Anhang A.5 beschreibt die zu ergreifenden Schritte, wenn die Nichtrückgabe als a erfasst wird Sicherheitsvorfall.
  • Um einen dauerhaften Schutz zu gewährleisten, regelmäßige Vermögensprüfungen sind auch notwendig, um sicherzustellen, dass das Rückgabeverfahren narrensicher ist.



ISMS.online verschafft Ihnen einen Vorsprung von 81 % ab dem Moment Ihrer Anmeldung

ISO 27001 leicht gemacht

Wir haben die harte Arbeit für Sie erledigt und Ihnen vom Moment Ihrer Anmeldung an einen Vorsprung von 81 % verschafft. Sie müssen nur noch die Lücken ausfüllen.




Änderung des Beschäftigungsstatus gemäß ISO 27001:2022 Anhang a 5.11

Im Rahmen der Änderung oder Beendigung von Arbeitsverhältnissen, Verträgen oder Vereinbarungen schützt die Kontrolle 5.11 die Vermögenswerte der Organisation. Unbefugten Personen ist es untersagt, Vermögenswerte der Organisation (einschließlich Ausrüstung, Informationen, Software usw.) im Rahmen dieser Anhang-A-Kontrolle zurückzubehalten.

Sie müssen sicherstellen, dass Ihre Mitarbeiter und Auftragnehmer keine sensiblen Daten mitnehmen, indem Sie potenzielle Bedrohungen identifizieren und die Aktivitäten des Benutzers überwachen, bevor er das Unternehmen verlässt.

Wenn einer Person gekündigt wird, verhindert diese Kontrolle in Anhang A, dass sie auf IT-Systeme und Netzwerke zugreifen kann. Organisationen sollten einen formellen Kündigungsprozess einrichten, damit Einzelpersonen keinen Zugriff mehr auf IT-Systeme haben. Sie können dies erreichen, indem Sie alle Berechtigungen widerrufen, Konten deaktivieren und den Zugang zum Gebäudegelände entziehen.

Es müssen Verfahren eingerichtet werden, um sicherzustellen, dass alle Mitarbeiter, Auftragnehmer und andere relevante Parteien alle Vermögenswerte zurückgeben, die nicht mehr für Geschäftszwecke benötigt werden. Diese Vermögenswerte sollten so schnell wie möglich ersetzt werden.

Außerdem sollten Organisationen den Arbeitsbereich der Person überprüfen, um sicherzustellen, dass alle vertraulichen Informationen zurückgegeben wurden.

Bedenken Sie zum Beispiel:

  • Die Ausrüstung der Organisation (Laptops und Wechseldatenträger) wird bei der Trennung abgeholt.
  • Nach Abschluss des Vertrags sind die Auftragnehmer verpflichtet, sämtliche Geräte und Informationen zurückzugeben.

Aufbau eines Ausstiegsprozesses und was Sie tun müssen

Eine Organisation muss ihren Änderungs- oder Kündigungsprozess formalisieren, einschließlich der Rückgabe aller zuvor ausgegebenen physischen und elektronischen Vermögenswerte, die ihr gehören oder ihr anvertraut wurden.

Dabei sollten auch alle Zugriffsrechte, Konten, digitalen Zertifikate und Passwörter entfernt werden. Diese Formalisierung ist besonders wichtig, wenn eine Änderung oder Beendigung unerwartet eintritt, beispielsweise durch Tod oder Rücktritt. Unbefugter Zugriff auf Unternehmensressourcen kann zu a führen Datenmissbrauch wenn nicht verhindert.

Ein sicherer Entsorgungs-/Rückgabeprozess sollte sicherstellen, dass alle Vermögenswerte erfasst werden.

ISO 27001:2022 verlangt von der Organisation, alle Informationen und zugehörigen Vermögenswerte, die zurückgegeben werden sollen, zu identifizieren und zu dokumentieren, einschließlich:

  1. Benutzerendpunktgeräte.
  2. Tragbare Speichergeräte.
  3. Spezialausrüstung.
  4. Authentifizierungshardware (z. B. mechanische Schlüssel, physische Token und Smartcards) für Informationssysteme, Standorte und physische Archive.
  5. Physische Kopien von Informationen.

Nach der Kündigung sollte der Benutzer eine formelle Checkliste mit allen Artikeln ausfüllen, die zurückgegeben oder entsorgt werden müssen. Diese Checkliste sollte alle erforderlichen Unterschriften enthalten, um zu bestätigen, dass die Vermögenswerte ordnungsgemäß zurückgegeben oder entsorgt wurden.




Klettern

Integrieren, erweitern und skalieren Sie Ihre Compliance, ohne dass es zu Problemen kommt. IO gibt Ihnen die Widerstandsfähigkeit und das Vertrauen, um sicher zu wachsen.




Was sind die Änderungen und Unterschiede zur ISO 27001:2013?

ISO 27001:2013 wurde im Oktober 2022 aktualisiert nach ISO 27001:2022.

Annex A Control 5.11 ist nicht neu, sondern eine Modifikation von Annex A Control 8.1.4 – die Rückgabe von Vermögenswerten.

In den Umsetzungsrichtlinien sind die Kontrollen in Anhang A im Wesentlichen gleich, mit ähnlicher Sprache und Ausdrucksweise. Jedoch, Anhang A der ISO 27001:2022 Control 5.11 verfügt über eine Attributtabelle, mit der Benutzer sie mit dem abgleichen können, was sie implementieren. Kontrolle 5.11 in ISO 27001:2022 legt fest, welche Vermögenswerte bei Beendigung des Arbeitsverhältnisses oder Vertragsbeendigung zurückgegeben werden können.

Beispiele hierfür sind:

  • Benutzerendpunktgeräte.
  • Tragbare Speichergeräte.
  • Spezialausrüstung.
  • Authentifizierungshardware (z. B. mechanische Schlüssel, physische Token und Smartcards) für Informationssysteme, Standorte und physische Archive.
  • Physische Kopien von Informationen.

In der Version ISO 27001:2013 ist diese Liste nicht verfügbar.

Tabelle aller ISO 27001:2022 Anhang A-Kontrollen

In der folgenden Tabelle finden Sie weitere Informationen zu jeder einzelnen ISO 27001:2022 Anhang A-Kontrolle.

ISO 27001:2022 Organisationskontrollen
Anhang A Kontrolltyp ISO/IEC 27001:2022 Anhang A Kennung ISO/IEC 27001:2013 Anhang A Kennung Anhang A Name
Organisatorische Kontrollen Anhang A 5.1 Anhang A 5.1.1
Anhang A 5.1.2
Richtlinien zur Informationssicherheit
Organisatorische Kontrollen Anhang A 5.2 Anhang A 6.1.1 Rollen und Verantwortlichkeiten im Bereich Informationssicherheit
Organisatorische Kontrollen Anhang A 5.3 Anhang A 6.1.2 Aufgabentrennung
Organisatorische Kontrollen Anhang A 5.4 Anhang A 7.2.1 Führungsaufgaben
Organisatorische Kontrollen Anhang A 5.5 Anhang A 6.1.3 Kontakt mit Behörden
Organisatorische Kontrollen Anhang A 5.6 Anhang A 6.1.4 Kontakt mit speziellen Interessengruppen
Organisatorische Kontrollen Anhang A 5.7 NEU Threat Intelligence
Organisatorische Kontrollen Anhang A 5.8 Anhang A 6.1.5
Anhang A 14.1.1
Informationssicherheit im Projektmanagement
Organisatorische Kontrollen Anhang A 5.9 Anhang A 8.1.1
Anhang A 8.1.2
Inventar der Informationen und anderer damit verbundener Vermögenswerte
Organisatorische Kontrollen Anhang A 5.10 Anhang A 8.1.3
Anhang A 8.2.3
Akzeptable Nutzung von Informationen und anderen damit verbundenen Vermögenswerten
Organisatorische Kontrollen Anhang A 5.11 Anhang A 8.1.4 Rückgabe von Vermögenswerten
Organisatorische Kontrollen Anhang A 5.12 Anhang A 8.2.1 Klassifizierung von Informationen
Organisatorische Kontrollen Anhang A 5.13 Anhang A 8.2.2 Kennzeichnung von Informationen
Organisatorische Kontrollen Anhang A 5.14 Anhang A 13.2.1
Anhang A 13.2.2
Anhang A 13.2.3
Informationsübertragung
Organisatorische Kontrollen Anhang A 5.15 Anhang A 9.1.1
Anhang A 9.1.2
Zugangskontrolle
Organisatorische Kontrollen Anhang A 5.16 Anhang A 9.2.1 Identitätsmanagement
Organisatorische Kontrollen Anhang A 5.17 Anhang A 9.2.4
Anhang A 9.3.1
Anhang A 9.4.3
Authentifizierungsinformationen
Organisatorische Kontrollen Anhang A 5.18 Anhang A 9.2.2
Anhang A 9.2.5
Anhang A 9.2.6
Zugangsrechte
Organisatorische Kontrollen Anhang A 5.19 Anhang A 15.1.1 Informationssicherheit in Lieferantenbeziehungen
Organisatorische Kontrollen Anhang A 5.20 Anhang A 15.1.2 Adressierung der Informationssicherheit in Lieferantenvereinbarungen
Organisatorische Kontrollen Anhang A 5.21 Anhang A 15.1.3 Management der Informationssicherheit in der IKT-Lieferkette
Organisatorische Kontrollen Anhang A 5.22 Anhang A 15.2.1
Anhang A 15.2.2
Überwachung, Überprüfung und Änderungsmanagement von Lieferantendienstleistungen
Organisatorische Kontrollen Anhang A 5.23 NEU Informationssicherheit für die Nutzung von Cloud-Diensten
Organisatorische Kontrollen Anhang A 5.24 Anhang A 16.1.1 Planung und Vorbereitung des Managements von Informationssicherheitsvorfällen
Organisatorische Kontrollen Anhang A 5.25 Anhang A 16.1.4 Bewertung und Entscheidung zu Informationssicherheitsereignissen
Organisatorische Kontrollen Anhang A 5.26 Anhang A 16.1.5 Reaktion auf Informationssicherheitsvorfälle
Organisatorische Kontrollen Anhang A 5.27 Anhang A 16.1.6 Aus Informationssicherheitsvorfällen lernen
Organisatorische Kontrollen Anhang A 5.28 Anhang A 16.1.7 Beweissammlung
Organisatorische Kontrollen Anhang A 5.29 Anhang A 17.1.1
Anhang A 17.1.2
Anhang A 17.1.3
Informationssicherheit bei Störungen
Organisatorische Kontrollen Anhang A 5.30 NEU IKT-Bereitschaft für Geschäftskontinuität
Organisatorische Kontrollen Anhang A 5.31 Anhang A 18.1.1
Anhang A 18.1.5
Rechtliche, gesetzliche, behördliche und vertragliche Anforderungen
Organisatorische Kontrollen Anhang A 5.32 Anhang A 18.1.2 Rechte an geistigem Eigentum
Organisatorische Kontrollen Anhang A 5.33 Anhang A 18.1.3 Schutz von Aufzeichnungen
Organisatorische Kontrollen Anhang A 5.34 Anhang A 18.1.4 Datenschutz und Schutz personenbezogener Daten
Organisatorische Kontrollen Anhang A 5.35 Anhang A 18.2.1 Unabhängige Überprüfung der Informationssicherheit
Organisatorische Kontrollen Anhang A 5.36 Anhang A 18.2.2
Anhang A 18.2.3
Einhaltung von Richtlinien, Regeln und Standards für die Informationssicherheit
Organisatorische Kontrollen Anhang A 5.37 Anhang A 12.1.1 Dokumentierte Betriebsabläufe
ISO 27001:2022 Personenkontrollen
Anhang A Kontrolltyp ISO/IEC 27001:2022 Anhang A Kennung ISO/IEC 27001:2013 Anhang A Kennung Anhang A Name
Menschenkontrollen Anhang A 6.1 Anhang A 7.1.1 Rekrutierung
Menschenkontrollen Anhang A 6.2 Anhang A 7.1.2 Allgemeine Geschäftsbedingungen
Menschenkontrollen Anhang A 6.3 Anhang A 7.2.2 Informationssicherheitsbewusstsein, Bildung und Schulung
Menschenkontrollen Anhang A 6.4 Anhang A 7.2.3 Disziplinarverfahren
Menschenkontrollen Anhang A 6.5 Anhang A 7.3.1 Verantwortlichkeiten nach Beendigung oder Wechsel des Arbeitsverhältnisses
Menschenkontrollen Anhang A 6.6 Anhang A 13.2.4 Vertraulichkeits- oder Geheimhaltungsvereinbarungen
Menschenkontrollen Anhang A 6.7 Anhang A 6.2.2 Fernarbeit
Menschenkontrollen Anhang A 6.8 Anhang A 16.1.2
Anhang A 16.1.3
Berichterstattung über Informationssicherheitsereignisse
Physische Kontrollen nach ISO 27001:2022
Anhang A Kontrolltyp ISO/IEC 27001:2022 Anhang A Kennung ISO/IEC 27001:2013 Anhang A Kennung Anhang A Name
Physikalische Kontrollen Anhang A 7.1 Anhang A 11.1.1 Physische Sicherheitsbereiche
Physikalische Kontrollen Anhang A 7.2 Anhang A 11.1.2
Anhang A 11.1.6
Physischer Eintritt
Physikalische Kontrollen Anhang A 7.3 Anhang A 11.1.3 Sicherung von Büros, Räumen und Einrichtungen
Physikalische Kontrollen Anhang A 7.4 NEU Physische Sicherheitsüberwachung
Physikalische Kontrollen Anhang A 7.5 Anhang A 11.1.4 Schutz vor physischen und umweltbedingten Bedrohungen
Physikalische Kontrollen Anhang A 7.6 Anhang A 11.1.5 Arbeiten in sicheren Bereichen
Physikalische Kontrollen Anhang A 7.7 Anhang A 11.2.9 Klarer Schreibtisch und klarer Bildschirm
Physikalische Kontrollen Anhang A 7.8 Anhang A 11.2.1 Standort und Schutz der Ausrüstung
Physikalische Kontrollen Anhang A 7.9 Anhang A 11.2.6 Sicherheit von Vermögenswerten außerhalb des Betriebsgeländes
Physikalische Kontrollen Anhang A 7.10 Anhang A 8.3.1
Anhang A 8.3.2
Anhang A 8.3.3
Anhang A 11.2.5
Speichermedien
Physikalische Kontrollen Anhang A 7.11 Anhang A 11.2.2 Unterstützende Dienstprogramme
Physikalische Kontrollen Anhang A 7.12 Anhang A 11.2.3 Verkabelungssicherheit
Physikalische Kontrollen Anhang A 7.13 Anhang A 11.2.4 Wartung der Ausrüstung
Physikalische Kontrollen Anhang A 7.14 Anhang A 11.2.7 Sichere Entsorgung oder Wiederverwendung von Geräten
ISO 27001:2022 Technologische Kontrollen
Anhang A Kontrolltyp ISO/IEC 27001:2022 Anhang A Kennung ISO/IEC 27001:2013 Anhang A Kennung Anhang A Name
Technologische Kontrollen Anhang A 8.1 Anhang A 6.2.1
Anhang A 11.2.8
Benutzer-Endpunktgeräte
Technologische Kontrollen Anhang A 8.2 Anhang A 9.2.3 Privilegierte Zugriffsrechte
Technologische Kontrollen Anhang A 8.3 Anhang A 9.4.1 Beschränkung des Informationszugriffs
Technologische Kontrollen Anhang A 8.4 Anhang A 9.4.5 Zugang zum Quellcode
Technologische Kontrollen Anhang A 8.5 Anhang A 9.4.2 Sichere Authentifizierung
Technologische Kontrollen Anhang A 8.6 Anhang A 12.1.3 Kapazitätsmanagement
Technologische Kontrollen Anhang A 8.7 Anhang A 12.2.1 Schutz vor Malware
Technologische Kontrollen Anhang A 8.8 Anhang A 12.6.1
Anhang A 18.2.3
Management technischer Schwachstellen
Technologische Kontrollen Anhang A 8.9 NEU Configuration Management
Technologische Kontrollen Anhang A 8.10 NEU Löschen von Informationen
Technologische Kontrollen Anhang A 8.11 NEU Datenmaskierung
Technologische Kontrollen Anhang A 8.12 NEU Verhinderung von Datenlecks
Technologische Kontrollen Anhang A 8.13 Anhang A 12.3.1 Informationssicherung
Technologische Kontrollen Anhang A 8.14 Anhang A 17.2.1 Redundanz von Informationsverarbeitungseinrichtungen
Technologische Kontrollen Anhang A 8.15 Anhang A 12.4.1
Anhang A 12.4.2
Anhang A 12.4.3
Protokollierung
Technologische Kontrollen Anhang A 8.16 NEU Überwachungsaktivitäten
Technologische Kontrollen Anhang A 8.17 Anhang A 12.4.4 Uhrensynchronisation
Technologische Kontrollen Anhang A 8.18 Anhang A 9.4.4 Nutzung privilegierter DienstprogrammeZugriffsrechte
Technologische Kontrollen Anhang A 8.19 Anhang A 12.5.1
Anhang A 12.6.2
Installation von Software auf Betriebssystemen
Technologische Kontrollen Anhang A 8.20 Anhang A 13.1.1 Netzwerksicherheit
Technologische Kontrollen Anhang A 8.21 Anhang A 13.1.2 Sicherheit von Netzwerkdiensten
Technologische Kontrollen Anhang A 8.22 Anhang A 13.1.3 Trennung von Netzwerken
Technologische Kontrollen Anhang A 8.23 NEU Web-Filter
Technologische Kontrollen Anhang A 8.24 Anhang A 10.1.1
Anhang A 10.1.2
Verwendung von Kryptographie
Technologische Kontrollen Anhang A 8.25 Anhang A 14.2.1 Sicherer Entwicklungslebenszyklus
Technologische Kontrollen Anhang A 8.26 Anhang A 14.1.2
Anhang A 14.1.3
Anforderungen an die Anwendungssicherheit
Technologische Kontrollen Anhang A 8.27 Anhang A 14.2.5 Sichere Systemarchitektur und technische Prinzipien. Lernen aus Informationssicherheitsvorfällen.
Technologische Kontrollen Anhang A 8.28 NEU Sichere Codierung
Technologische Kontrollen Anhang A 8.29 Anhang A 14.2.8
Anhang A 14.2.9
Sicherheitstests in Entwicklung und Akzeptanz
Technologische Kontrollen Anhang A 8.30 Anhang A 14.2.7 Ausgelagerte Entwicklung
Technologische Kontrollen Anhang A 8.31 Anhang A 12.1.4
Anhang A 14.2.6
Trennung von Entwicklungs-, Test- und Produktionsumgebungen
Technologische Kontrollen Anhang A 8.32 Anhang A 12.1.2
Anhang A 14.2.2
Anhang A 14.2.3
Anhang A 14.2.4
Change Control
Technologische Kontrollen Anhang A 8.33 Anhang A 14.3.1 Testinformationen
Technologische Kontrollen Anhang A 8.34 Anhang A 12.7.1 Schutz von Informationssystemen während Audittests


Wie wirken sich diese Änderungen auf Sie aus?

ISO 27001:2022 ist eine Aktualisierung des Standards von 2013. Das Gremium, das den Standard überwacht, hat keine wesentlichen Änderungen vorgenommen.




[case_study_slider ids=”88859,101932,92016″ autoplay=”true” autoplay_speed=”5000″]


Wie ISMS.online hilft

Sie können und implementieren Verwalten eines ISO 27001/27001-Informationssicherheitsmanagementsystems mit ISMS.online, unabhängig von Ihrer Erfahrung mit dem Standard.

Die perfekte Kombination aus Wissen und Technologie für einen frühen ISO 27001-Erfolg. ISMS.online enthält eine Richtlinie und ein Tool für Vermögensverwaltung.

Mit unserem System werden Sie Schritt für Schritt durch den Aufbau und die Verwaltung eines ISMS geführt:

  • ISMS.online bietet eine Schritt-für-Schritt-Anleitung zur Implementierung von ISO 27001/27002 in jeder Organisation.
  • Ein Tool zur Risikobewertung, das Sie durch den Risikoidentifizierungs- und -bewertungsprozess führt.
  • Wir bieten eine umfassende Richtlinienpaket das online an Ihre Bedürfnisse angepasst werden kann.
  • Mit einem Dokumentenkontrollsystem wird die Verwaltung von Dokumenten und Aufzeichnungen als Teil Ihres ISMS einfacher.
  • Bessere Entscheidungsfindung durch automatisches Reporting.
  • Mit unserer cloudbasierten Plattform können Sie den Nachweis der Einhaltung der Vorschriften dokumentieren ISO 27001-Framework mit einer Checkliste Ihrer Prozesse.

Nehmen Sie noch heute Kontakt mit uns auf Demo buchen.


David Holloway

, Chief Marketing Officer

David Holloway ist Chief Marketing Officer bei ISMS.online und verfügt über mehr als vier Jahre Erfahrung in den Bereichen Compliance und Informationssicherheit. Als Teil des Führungsteams konzentriert sich David darauf, Unternehmen dabei zu unterstützen, sich sicher in komplexen regulatorischen Umgebungen zurechtzufinden und Strategien zu entwickeln, die Geschäftsziele mit wirkungsvollen Lösungen in Einklang bringen. Er ist außerdem Co-Moderator des Podcasts „Phishing For Trouble“, in dem er sich mit spektakulären Cybersicherheitsvorfällen befasst und wertvolle Erkenntnisse vermittelt, die Unternehmen dabei helfen, ihre Sicherheits- und Compliance-Praktiken zu stärken.

ISO 27001:2022 Anhang A Kontrollen

Organisatorische Kontrollen