- Weitere Informationen finden Sie auch in den ISO 27002:2022 Kontrolle 5.32 .
- Weitere Informationen finden Sie auch in den ISO 27001:2013 Anhang A 18.1.2 .
Was ist der Zweck von Anhang A 5.32?
ISO 27001:2022 Anhang A 5.32 beschreibt die Schritte, die Organisationen unternehmen müssen, um die Einhaltung der Rechte an geistigem Eigentum (IP) sicherzustellen , einschließlich der Verwendung proprietärer Software, die von einem Dritten gekauft, abonniert oder gemietet wurde.
Laut ISO fallen geistige Eigentumsrechte in eine oder mehrere der folgenden Kategorien:
- Markenrechte.
- Patente.
- Quellcode-Lizenzen.
- Software-Urheberrecht.
- Urheberrecht des Dokuments.
- Designrechte.
„Gesetzliche, behördliche, behördliche oder vertragliche“ Vereinbarungen sehen häufig Einschränkungen bei der Verwendung proprietärer Software vor, einschließlich Einschränkungen beim Kopieren, Extrahieren oder Zurückentwickeln des Quellcodes. ISO 27001:2022 Anhang A 5.32 deckt nicht Situationen ab, in denen die Organisation der Inhaber des geistigen Eigentums ist, sondern konzentriert sich stattdessen auf ihre Verpflichtungen gegenüber Dritten, deren geistige Eigentumsrechte durch Lizenzvereinbarungen, Datenfreigabevereinbarungen usw. abgedeckt sind.
Eine Urheberrechts- und/oder IP-Verletzung kann schwerwiegende finanzielle und rechtliche Konsequenzen für jedes Unternehmen nach sich ziehen, das vorsätzlich oder unwissentlich gegen eine Vereinbarung verstößt. Aus diesem Grund sollte Anhang A 5.32 angemessen berücksichtigt werden, um unnötige Betriebsunterbrechungen oder Informationssicherheitsvorfälle zu vermeiden.
ISO 27001 leicht gemacht
Ein Vorsprung von 81 % vom ersten Tag an
Wir haben die harte Arbeit für Sie erledigt und Ihnen vom Moment Ihrer Anmeldung an einen Vorsprung von 81 % verschafft. Sie müssen nur noch die Lücken ausfüllen.
Allgemeine Hinweise zu Anhang A 5.32
ISO 27001:2022 Anhang A 5.32 ist eine vorbeugende Kontrollmaßnahme , die Risiken durch die Durchsetzung von Verfahren minimiert, die sicherstellen, dass das Unternehmen alle geltenden Anforderungen an geistiges Eigentum oder Urheberrechte erfüllt, einschließlich der Minderung des Risikos, dass Mitarbeiter ihren eigenen Verpflichtungen nicht nachkommen.
Gemäß Anhang A 5.32 sollten Organisationen beim Schutz von Daten, Software oder Vermögenswerten, die als geistiges Eigentum angesehen werden könnten, die folgenden Richtlinien berücksichtigen:
- Schutz von IP-Rechten auf Einzelfallbasis, entsprechend den individuellen betrieblichen Anforderungen durch Umsetzung einer „themenspezifischen“ Richtlinie.
- Um die IP-Standards einzuhalten, veröffentlichen und kommunizieren Sie Verfahren, die kategorisch definieren, wie Software und IKT-Produkte betrieben werden sollen.
- Um unbeabsichtigte Urheberrechtsverletzungen zu vermeiden, erwerben Sie Software von seriösen Quellen.
- Identifizierung von IKT-Assets mit IP-Anforderungen mithilfe eines Organisations-Asset-Registers.
- Die Organisation sollte jederzeit in der Lage sein, einen Eigentumsnachweis vorzulegen, einschließlich physischer und elektronischer Lizenzdokumente, Mitteilungen und Dateien.
- Einhaltung von Softwarenutzungsbeschränkungen, einschließlich gleichzeitiger Benutzer, virtueller Ressourcen und mehr.
- Stellen Sie durch regelmäßige Überprüfungen sicher, dass der IKT-Bestand der Organisation keine nicht lizenzierte oder nicht autorisierte Software enthält.
- Halten Sie Lizenzen durch betriebliche und finanzielle Verfahren auf dem neuesten Stand.
- Sorgen Sie für sichere, verantwortungsvolle und gesetzeskonforme Praktiken für die Übertragung oder Entsorgung von Software-Assets.
- Stellen Sie sicher, dass jede gemeinfrei erworbene Software den Allgemeinen Geschäftsbedingungen und den Fair-Use-Richtlinien entspricht.
- Alle von der Organisation verwendeten kommerziellen Aufzeichnungen dürfen nicht extrahiert, kopiert, konvertiert oder in einer Weise manipuliert werden, die nicht in den Geschäftsbedingungen der Software (einschließlich Lizenzierung) oder den geltenden Urheberrechtsgesetzen festgelegt ist.
- Beachten und respektieren Sie die Urheberrechtsgesetze oder Lizenzbedingungen für Textdaten wie Normen, Bücher, Artikel und Berichte.
Was sind die Änderungen gegenüber ISO 27001:2013?
ISO 27001:2022 Anhang A 5.32 ersetzt ISO 27001:2013 Anhang A 18.1.2 (Rechte an geistigem Eigentum).
Im Allgemeinen enthält ISO 27001:2022 Anhang A 5.31 die gleichen Richtlinien wie sein Gegenstück aus dem Jahr 2013, mit zwei geringfügigen Änderungen:
- ISO 27001:2022 Anhang A 5.31 bietet Ratschläge zum Umgang mit IP-bezogenen Problemen im Rahmen einer Datenfreigabevereinbarung.
- ISO 27001:2013 Anhang A 18.1.2 erwähnt nicht die verbleibenden Vorteile für Organisationen, die das Verhalten ihrer Mitarbeiter in Bezug auf IP-Vereinbarungen und die Verwendung von Software steuern möchten.
Tabelle aller ISO 27001:2022 Anhang A-Kontrollen
In der folgenden Tabelle finden Sie weitere Informationen zu jedem einzelnen Kontrollpunkt gemäß ISO 27001:2022 Anhang A.
| Anhang A Kontrolltyp | ISO/IEC 27001:2022 Anhang A Kennung | ISO/IEC 27001:2013 Anhang A Kennung | Anhang A Name |
|---|---|---|---|
| Organisatorische Kontrollen | Anhang A 5.1 |
Anhang A 5.1.1 Anhang A 5.1.2 |
Richtlinien zur Informationssicherheit |
| Organisatorische Kontrollen | Anhang A 5.2 | Anhang A 6.1.1 | Rollen und Verantwortlichkeiten im Bereich Informationssicherheit |
| Organisatorische Kontrollen | Anhang A 5.3 | Anhang A 6.1.2 | Aufgabentrennung |
| Organisatorische Kontrollen | Anhang A 5.4 | Anhang A 7.2.1 | Führungsaufgaben |
| Organisatorische Kontrollen | Anhang A 5.5 | Anhang A 6.1.3 | Kontakt mit Behörden |
| Organisatorische Kontrollen | Anhang A 5.6 | Anhang A 6.1.4 | Kontakt mit speziellen Interessengruppen |
| Organisatorische Kontrollen | Anhang A 5.7 | NEU | Threat Intelligence |
| Organisatorische Kontrollen | Anhang A 5.8 |
Anhang A 6.1.5 Anhang A 14.1.1 |
Informationssicherheit im Projektmanagement |
| Organisatorische Kontrollen | Anhang A 5.9 |
Anhang A 8.1.1 Anhang A 8.1.2 |
Inventar der Informationen und anderer damit verbundener Vermögenswerte |
| Organisatorische Kontrollen | Anhang A 5.10 |
Anhang A 8.1.3 Anhang A 8.2.3 |
Akzeptable Nutzung von Informationen und anderen damit verbundenen Vermögenswerten |
| Organisatorische Kontrollen | Anhang A 5.11 | Anhang A 8.1.4 | Rückgabe von Vermögenswerten |
| Organisatorische Kontrollen | Anhang A 5.12 | Anhang A 8.2.1 | Klassifizierung von Informationen |
| Organisatorische Kontrollen | Anhang A 5.13 | Anhang A 8.2.2 | Kennzeichnung von Informationen |
| Organisatorische Kontrollen | Anhang A 5.14 |
Anhang A 13.2.1 Anhang A 13.2.2 Anhang A 13.2.3 |
Informationsübertragung |
| Organisatorische Kontrollen | Anhang A 5.15 |
Anhang A 9.1.1 Anhang A 9.1.2 |
Zugangskontrolle |
| Organisatorische Kontrollen | Anhang A 5.16 | Anhang A 9.2.1 | Identitätsmanagement |
| Organisatorische Kontrollen | Anhang A 5.17 |
Anhang A 9.2.4 Anhang A 9.3.1 Anhang A 9.4.3 |
Authentifizierungsinformationen |
| Organisatorische Kontrollen | Anhang A 5.18 |
Anhang A 9.2.2 Anhang A 9.2.5 Anhang A 9.2.6 |
Zugangsrechte |
| Organisatorische Kontrollen | Anhang A 5.19 | Anhang A 15.1.1 | Informationssicherheit in Lieferantenbeziehungen |
| Organisatorische Kontrollen | Anhang A 5.20 | Anhang A 15.1.2 | Adressierung der Informationssicherheit in Lieferantenvereinbarungen |
| Organisatorische Kontrollen | Anhang A 5.21 | Anhang A 15.1.3 | Management der Informationssicherheit in der IKT-Lieferkette |
| Organisatorische Kontrollen | Anhang A 5.22 |
Anhang A 15.2.1 Anhang A 15.2.2 |
Überwachung, Überprüfung und Änderungsmanagement von Lieferantendienstleistungen |
| Organisatorische Kontrollen | Anhang A 5.23 | NEU | Informationssicherheit für die Nutzung von Cloud-Diensten |
| Organisatorische Kontrollen | Anhang A 5.24 | Anhang A 16.1.1 | Planung und Vorbereitung des Managements von Informationssicherheitsvorfällen |
| Organisatorische Kontrollen | Anhang A 5.25 | Anhang A 16.1.4 | Bewertung und Entscheidung zu Informationssicherheitsereignissen |
| Organisatorische Kontrollen | Anhang A 5.26 | Anhang A 16.1.5 | Reaktion auf Informationssicherheitsvorfälle |
| Organisatorische Kontrollen | Anhang A 5.27 | Anhang A 16.1.6 | Aus Informationssicherheitsvorfällen lernen |
| Organisatorische Kontrollen | Anhang A 5.28 | Anhang A 16.1.7 | Beweissammlung |
| Organisatorische Kontrollen | Anhang A 5.29 |
Anhang A 17.1.1 Anhang A 17.1.2 Anhang A 17.1.3 |
Informationssicherheit bei Störungen |
| Organisatorische Kontrollen | Anhang A 5.30 | NEU | IKT-Bereitschaft für Geschäftskontinuität |
| Organisatorische Kontrollen | Anhang A 5.31 |
Anhang A 18.1.1 Anhang A 18.1.5 |
Rechtliche, gesetzliche, behördliche und vertragliche Anforderungen |
| Organisatorische Kontrollen | Anhang A 5.32 | Anhang A 18.1.2 | Rechte an geistigem Eigentum |
| Organisatorische Kontrollen | Anhang A 5.33 | Anhang A 18.1.3 | Schutz von Aufzeichnungen |
| Organisatorische Kontrollen | Anhang A 5.34 | Anhang A 18.1.4 | Datenschutz und Schutz personenbezogener Daten |
| Organisatorische Kontrollen | Anhang A 5.35 | Anhang A 18.2.1 | Unabhängige Überprüfung der Informationssicherheit |
| Organisatorische Kontrollen | Anhang A 5.36 |
Anhang A 18.2.2 Anhang A 18.2.3 |
Einhaltung von Richtlinien, Regeln und Standards für die Informationssicherheit |
| Organisatorische Kontrollen | Anhang A 5.37 | Anhang A 12.1.1 | Dokumentierte Betriebsabläufe |
| Anhang A Kontrolltyp | ISO/IEC 27001:2022 Anhang A Kennung | ISO/IEC 27001:2013 Anhang A Kennung | Anhang A Name |
|---|---|---|---|
| Menschenkontrollen | Anhang A 6.1 | Anhang A 7.1.1 | Rekrutierung |
| Menschenkontrollen | Anhang A 6.2 | Anhang A 7.1.2 | Allgemeine Geschäftsbedingungen |
| Menschenkontrollen | Anhang A 6.3 | Anhang A 7.2.2 | Informationssicherheitsbewusstsein, Bildung und Schulung |
| Menschenkontrollen | Anhang A 6.4 | Anhang A 7.2.3 | Disziplinarverfahren |
| Menschenkontrollen | Anhang A 6.5 | Anhang A 7.3.1 | Verantwortlichkeiten nach Beendigung oder Wechsel des Arbeitsverhältnisses |
| Menschenkontrollen | Anhang A 6.6 | Anhang A 13.2.4 | Vertraulichkeits- oder Geheimhaltungsvereinbarungen |
| Menschenkontrollen | Anhang A 6.7 | Anhang A 6.2.2 | Fernarbeit |
| Menschenkontrollen | Anhang A 6.8 |
Anhang A 16.1.2 Anhang A 16.1.3 |
Berichterstattung über Informationssicherheitsereignisse |
| Anhang A Kontrolltyp | ISO/IEC 27001:2022 Anhang A Kennung | ISO/IEC 27001:2013 Anhang A Kennung | Anhang A Name |
|---|---|---|---|
| Physikalische Kontrollen | Anhang A 7.1 | Anhang A 11.1.1 | Physische Sicherheitsbereiche |
| Physikalische Kontrollen | Anhang A 7.2 |
Anhang A 11.1.2 Anhang A 11.1.6 |
Physischer Eintritt |
| Physikalische Kontrollen | Anhang A 7.3 | Anhang A 11.1.3 | Sicherung von Büros, Räumen und Einrichtungen |
| Physikalische Kontrollen | Anhang A 7.4 | NEU | Physische Sicherheitsüberwachung |
| Physikalische Kontrollen | Anhang A 7.5 | Anhang A 11.1.4 | Schutz vor physischen und umweltbedingten Bedrohungen |
| Physikalische Kontrollen | Anhang A 7.6 | Anhang A 11.1.5 | Arbeiten in sicheren Bereichen |
| Physikalische Kontrollen | Anhang A 7.7 | Anhang A 11.2.9 | Klarer Schreibtisch und klarer Bildschirm |
| Physikalische Kontrollen | Anhang A 7.8 | Anhang A 11.2.1 | Standort und Schutz der Ausrüstung |
| Physikalische Kontrollen | Anhang A 7.9 | Anhang A 11.2.6 | Sicherheit von Vermögenswerten außerhalb des Betriebsgeländes |
| Physikalische Kontrollen | Anhang A 7.10 |
Anhang A 8.3.1 Anhang A 8.3.2 Anhang A 8.3.3 Anhang A 11.2.5 |
Speichermedien |
| Physikalische Kontrollen | Anhang A 7.11 | Anhang A 11.2.2 | Unterstützende Dienstprogramme |
| Physikalische Kontrollen | Anhang A 7.12 | Anhang A 11.2.3 | Verkabelungssicherheit |
| Physikalische Kontrollen | Anhang A 7.13 | Anhang A 11.2.4 | Wartung der Ausrüstung |
| Physikalische Kontrollen | Anhang A 7.14 | Anhang A 11.2.7 | Sichere Entsorgung oder Wiederverwendung von Geräten |
| Anhang A Kontrolltyp | ISO/IEC 27001:2022 Anhang A Kennung | ISO/IEC 27001:2013 Anhang A Kennung | Anhang A Name |
|---|---|---|---|
| Technologische Kontrollen | Anhang A 8.1 |
Anhang A 6.2.1 Anhang A 11.2.8 |
Benutzer-Endpunktgeräte |
| Technologische Kontrollen | Anhang A 8.2 | Anhang A 9.2.3 | Privilegierte Zugriffsrechte |
| Technologische Kontrollen | Anhang A 8.3 | Anhang A 9.4.1 | Beschränkung des Informationszugriffs |
| Technologische Kontrollen | Anhang A 8.4 | Anhang A 9.4.5 | Zugang zum Quellcode |
| Technologische Kontrollen | Anhang A 8.5 | Anhang A 9.4.2 | Sichere Authentifizierung |
| Technologische Kontrollen | Anhang A 8.6 | Anhang A 12.1.3 | Kapazitätsmanagement |
| Technologische Kontrollen | Anhang A 8.7 | Anhang A 12.2.1 | Schutz vor Malware |
| Technologische Kontrollen | Anhang A 8.8 |
Anhang A 12.6.1 Anhang A 18.2.3 |
Management technischer Schwachstellen |
| Technologische Kontrollen | Anhang A 8.9 | NEU | Configuration Management |
| Technologische Kontrollen | Anhang A 8.10 | NEU | Löschen von Informationen |
| Technologische Kontrollen | Anhang A 8.11 | NEU | Datenmaskierung |
| Technologische Kontrollen | Anhang A 8.12 | NEU | Verhinderung von Datenlecks |
| Technologische Kontrollen | Anhang A 8.13 | Anhang A 12.3.1 | Informationssicherung |
| Technologische Kontrollen | Anhang A 8.14 | Anhang A 17.2.1 | Redundanz von Informationsverarbeitungseinrichtungen |
| Technologische Kontrollen | Anhang A 8.15 |
Anhang A 12.4.1 Anhang A 12.4.2 Anhang A 12.4.3 |
Protokollierung |
| Technologische Kontrollen | Anhang A 8.16 | NEU | Überwachungsaktivitäten |
| Technologische Kontrollen | Anhang A 8.17 | Anhang A 12.4.4 | Uhrensynchronisation |
| Technologische Kontrollen | Anhang A 8.18 | Anhang A 9.4.4 | Nutzung privilegierter DienstprogrammeZugriffsrechte |
| Technologische Kontrollen | Anhang A 8.19 |
Anhang A 12.5.1 Anhang A 12.6.2 |
Installation von Software auf Betriebssystemen |
| Technologische Kontrollen | Anhang A 8.20 | Anhang A 13.1.1 | Netzwerksicherheit |
| Technologische Kontrollen | Anhang A 8.21 | Anhang A 13.1.2 | Sicherheit von Netzwerkdiensten |
| Technologische Kontrollen | Anhang A 8.22 | Anhang A 13.1.3 | Trennung von Netzwerken |
| Technologische Kontrollen | Anhang A 8.23 | NEU | Web-Filter |
| Technologische Kontrollen | Anhang A 8.24 |
Anhang A 10.1.1 Anhang A 10.1.2 |
Verwendung von Kryptographie |
| Technologische Kontrollen | Anhang A 8.25 | Anhang A 14.2.1 | Sicherer Entwicklungslebenszyklus |
| Technologische Kontrollen | Anhang A 8.26 |
Anhang A 14.1.2 Anhang A 14.1.3 |
Anforderungen an die Anwendungssicherheit |
| Technologische Kontrollen | Anhang A 8.27 | Anhang A 14.2.5 | Sichere Systemarchitektur und technische Prinzipien. Lernen aus Informationssicherheitsvorfällen. |
| Technologische Kontrollen | Anhang A 8.28 | NEU | Sichere Codierung |
| Technologische Kontrollen | Anhang A 8.29 |
Anhang A 14.2.8 Anhang A 14.2.9 |
Sicherheitstests in Entwicklung und Akzeptanz |
| Technologische Kontrollen | Anhang A 8.30 | Anhang A 14.2.7 | Ausgelagerte Entwicklung |
| Technologische Kontrollen | Anhang A 8.31 |
Anhang A 12.1.4 Anhang A 14.2.6 |
Trennung von Entwicklungs-, Test- und Produktionsumgebungen |
| Technologische Kontrollen | Anhang A 8.32 |
Anhang A 12.1.2 Anhang A 14.2.2 Anhang A 14.2.3 Anhang A 14.2.4 |
Change Control |
| Technologische Kontrollen | Anhang A 8.33 | Anhang A 14.3.1 | Testinformationen |
| Technologische Kontrollen | Anhang A 8.34 | Anhang A 12.7.1 | Schutz von Informationssystemen während Audittests |
NHS Professionals erhält die ISO 27001-Zertifizierung und verbessert ihr Informationssicherheitsmanagement
Angesichts einer knappen Frist von sechs Monaten und der Notwendigkeit, mehrere bestehende Rahmenwerke zu integrieren, benötigte NHS Professionals eine Plattform, die ISO 27001 einbeziehen konnte, ohne Richtlinien zu duplizieren oder das Risiko für ihre ohnehin schon komplexe Compliance-Landschaft zu erhöhen.
Xergy-Tool Proteus generiert Wachstum durch ISO 27001-Konformität mit ISMS.online
Als Start-up-Unternehmen, das Software für stark regulierte Ingenieurbranchen entwickelt, benötigte Xergy die ISO 27001-Zertifizierung, um durch Vertrauen Wachstum zu generieren – und einen bewährten externen Partner, der die strengen Anforderungen erfüllen konnte, ohne das Entwicklerteam abzulenken.
Wie Blue Services die dreifache ISO-Zertifizierung erreichte
Blue Services benötigte externe Unterstützung, um bei der Implementierung von ISO 27001, ISO 9001 und ISO 14001 sowie bei der Anwendung bewährter Verfahren unterstützt zu werden, und eine Plattform zur Zentralisierung ihres gesamten Compliance-Managements.
Wie Evolution Funding den erfolgreichen Weg zur ISO 27001-Zertifizierung beschritt.
Die Erlangung der ISO 27001-Zertifizierung war ein zentrales Ziel für Evolution Funding. Das Team benötigte eine zentrale Plattform, mit der es den ISO 27001-Standard implementieren und den Konformitätsprozess durchlaufen konnte.
Wie 4way Consulting den Weg zum Erfolg nach ISO 27001 ebnete
Da 4way sensible Kundendaten nach verschiedenen Standards verarbeiten muss, benötigte das Unternehmen eine kosten- und zeiteffiziente Methode, um die ISO 27001-Zertifizierung zu erreichen – ohne ein ISMS von Grund auf neu aufzubauen oder auf teure externe Berater angewiesen zu sein.
nesevos Erfolg bei der Erfüllung mehrerer Zertifizierungsanforderungen mit IO
Da nesevo Schwierigkeiten hatte, die Einhaltung der ISO 27001-Normen anhand verstreuter Dokumente und Tabellenkalkulationen zu gewährleisten, benötigte das Unternehmen eine zentrale Plattform, die es durch den Standard führen konnte, ohne die laufenden Kosten externer Berater.
Wie ISMS.online hilft
ISMS.online vereinfacht den Implementierungsprozess der ISO 27001:2022 durch die Bereitstellung eines ausgeklügelten Cloud-basierten Frameworks zur Dokumentation von Verfahren und Checklisten für Informationssicherheitsmanagementsysteme, um die Einhaltung anerkannter Standards zu gewährleisten.
Nehmen Sie noch heute Kontakt mit uns auf, um eine kurze Demo zu buchen.
