Zum Inhalt

Was ist ISO 27001:2022 Anhang A 7.1?

ISO 27001:2022 Anhang A 7.1 verlangt von Organisationen, Sicherheitsperimeter einzurichten und diese zum Schutz von Informationen und zugehörigen Vermögenswerten zu nutzen.

Informationen und Informationssicherheitsressourcen erklärt

Informationen können als alle Daten, Kenntnisse oder Erkenntnisse beschrieben werden, die für eine Organisation oder ein Unternehmen von Wert sind. Dazu gehören alle Informationen über Einzelpersonen, Kunden, Partner, Mitarbeiter und andere Interessengruppen.

Informationssicherheitsressourcen können grob in folgende Kategorien eingeteilt werden:

Datum

Daten und Informationen werden oft miteinander verwechselt, es gibt jedoch einen deutlichen Unterschied. Daten sind roh, unverarbeitet und in ihrer jetzigen Form im Allgemeinen nutzlos. Andererseits handelt es sich bei Informationen um Daten, die in einem nutzbaren Format arrangiert wurden, beispielsweise eine E-Mail-Adresse oder eine Telefonnummer.

Infrastruktur

Die Infrastruktur umfasst alle Komponenten eines Netzwerks – Server, Drucker, Router und mehr – um ein zusammenhängendes System zu schaffen.

Software-Infrastruktur, wie z Betriebssysteme und Anwendungen müssen ebenso wie Hardware vor Cyber-Bedrohungen geschützt werden. Um eine Ausnutzung durch böswillige Hacker zu verhindern, die Zugriff auf sensible Daten suchen, müssen beide regelmäßig mit Patches und Korrekturen für alle von Hackern aufgedeckten Schwachstellen aktualisiert werden.

Physische Sicherheitsbereiche erklärt

Physische Sicherheit bezieht sich auf die physischen Maßnahmen, die die Ressourcen und Räumlichkeiten einer Organisation schützen. Es ist ein grundlegender und unverzichtbarer Bestandteil der Informationssicherheit. Dabei geht es um mehr als nur das Abschließen der Tür; Dazu gehört auch, dass man sich darüber im Klaren ist, wer wann, wo und wie Zugriff auf was hat.

Physische Sicherheitsperimeter identifizieren die physischen Grenzen eines Gebäudes oder Bereichs und kontrollieren den Zugang dazu. Zäune, Mauern, Tore und andere Absperrungen können eingesetzt werden, um das unbefugte Eindringen von Personen oder Fahrzeugen zu verhindern. Darüber hinaus können elektronische Überwachungsgeräte wie CCTV-Kameras zur Überwachung der Aktivitäten außerhalb der Einrichtung eingesetzt werden.

Physische Sicherheitsbereiche bieten den ersten Schutz vor Außenstehenden, die versuchen, über eine kabelgebundene oder kabellose Verbindung auf Ihr Computersystem in einem Unternehmen zuzugreifen. Sie werden häufig mit zusätzlichen Informationssicherheitskontrollen kombiniert, wie z. B. Identitätsmanagement, Zugangskontrolle und Einbruchmeldesystemen.




ISMS.online verschafft Ihnen einen Vorsprung von 81 % ab dem Moment Ihrer Anmeldung

ISO 27001 leicht gemacht

Wir haben die harte Arbeit für Sie erledigt und Ihnen vom Moment Ihrer Anmeldung an einen Vorsprung von 81 % verschafft. Sie müssen nur noch die Lücken ausfüllen.




Leitfaden zu ISO 27001:2022 Anhang A 7.1

ISO 27001:2022 Anhang A 7.1 garantiert, dass eine Organisation nachweisen kann, dass sie über geeignete physische Sicherheitsgrenzen verfügt, um den unbefugten physischen Zugriff auf Informationen und andere damit verbundene Vermögenswerte zu verhindern.

Dazu müssen Maßnahmen ergriffen werden, um Folgendes auszuschließen:

  • Das unbefugte Betreten von Gebäuden, Räumen oder Bereichen mit Informationswerten ist verboten.
  • Das Entfernen von Vermögenswerten ohne Genehmigung aus dem Betriebsgelände ist unzulässig.
  • Die unbefugte Nutzung von Räumlichkeiten, wie z. B. Computern und zugehörigen Geräten, ist nicht gestattet.
  • Unbefugte Manipulationen an elektronischen Kommunikationsgeräten wie Telefonen, Faxgeräten und Computerterminals sind nicht gestattet.

Es gibt zwei Möglichkeiten, physische Sicherheitsperimeter zu implementieren:

Physische Zugangskontrolle – sichert den Zugang zu Einrichtungen und Gebäuden sowie die Bewegung darin. Dazu gehört das Verriegeln von Türen, Alarmanlagen, Zäunen und Absperrungen.

Hardware-Sicherheit – ermöglicht die Kontrolle über physische Geräte wie Computer, Drucker und Scanner, die Daten verarbeiten, die vertrauliche Informationen enthalten.

Diese Kontrolle hilft Informationen und andere damit verbundene Vermögenswerte schützenB. vertrauliche Dokumente, Aufzeichnungen und Geräte, indem die unbefugte Nutzung von Räumlichkeiten, Geräten und Materialien der Einrichtung verhindert wird.

Was dazugehört und wie man die Anforderungen erfüllt

Wo möglich, sollten Richtlinien übernommen werden, die für physische Sicherheitsbereiche zu berücksichtigen sind:

  • Errichtung von Sicherheitsbarrieren und Bestimmung der genauen Lage und Stärke jeder Barriere im Einklang mit den Informationssicherheitsvorschriften für die Ressourcen innerhalb der Grenze.
  • Die Gewährleistung der physischen Sicherheit eines Gebäudes oder Standorts, an dem sich Informationsverarbeitungssysteme befinden, ist von entscheidender Bedeutung. Es dürfen keine Lücken oder Schwachstellen im Umkreis vorhanden sein, an denen ein Einbruch begünstigt werden könnte.
  • Die Außenflächen des Geländes, einschließlich Dächer, Wände, Decken und Fußböden, müssen stabil gebaut sein und alle Außentüren sollten mit Kontrollmechanismen wie Riegeln, Alarmanlagen und Schlössern ausgestattet sein, um unbefugten Zutritt zu verhindern.
  • Stellen Sie sicher, dass Fenster und Türen verschlossen sind, wenn sie nicht genutzt werden, und berücksichtigen Sie die äußere Sicherung der Fenster, insbesondere im Erdgeschoss. Auch die Belüftung muss berücksichtigt werden.

Weitere Informationen darüber, was von der Einhaltung der Norm ISO 27001:2022 erwartet wird, finden Sie in der zugehörigen Dokumentation.




Klettern

Integrieren, erweitern und skalieren Sie Ihre Compliance, ohne dass es zu Problemen kommt. IO gibt Ihnen die Widerstandsfähigkeit und das Vertrauen, um sicher zu wachsen.




Änderungen und Unterschiede zu ISO 27001:2013

ISO 27001:2022 Anhang A 7.1 ersetzt ISO 27001:2013 Anhang A 11.1.1; Der Kontext und die Bedeutung bleiben weitgehend ähnlich, wenn auch unterschiedlich formuliert.

In der Version 2022 wurden die Implementierungsanforderungen im Vergleich zur vorherigen Kontrolle reduziert.

In Anhang A 7.1 fehlen die in Anhang A 11.1.1 aufgeführten Anforderungen, die wie folgt lauten:

  • Es sollte einen besetzten Empfangsbereich oder eine andere Verwaltungsmöglichkeit geben physischer Eintritt zum Standort oder Gebäude.
  • Nur autorisiertem Personal sollte der Zutritt zu Standorten und Gebäuden gestattet werden.
  • Errichten Sie gegebenenfalls physische Barrieren, um unbefugten physischen Zugang zu verhindern und eine Kontamination der Umwelt zu verhindern.
  • Um alle Außentüren und zugänglichen Fenster zu sichern, müssen Einbruchmeldesysteme installiert werden, die nationalen, regionalen oder internationalen Standards entsprechen, und diese regelmäßig getestet werden.
  • Alle unbewohnten Bereiche sollten jederzeit mit einer Alarmanlage ausgestattet sein.
  • Wir sollten die Abdeckung anderer Bereiche sicherstellen, beispielsweise von Computer- und Kommunikationsräumen.
  • Die Organisation sollte ihre Informationsverarbeitungseinrichtungen physisch von denen trennen, die von externen Quellen verwaltet werden.

Keine Auslassung verringert die Wirksamkeit der neuen Norm ISO 27001:2022; Stattdessen wurden sie entfernt, um die Steuerung einfacher zu verwenden und zu verstehen.

Tabelle aller ISO 27001:2022 Anhang A-Kontrollen

In der Tabelle unten finden Sie weitere Informationen zu den einzelnen Personen ISO 27001:2022 Anhang A Steuern.

ISO 27001:2022 Organisationskontrollen
Anhang A Kontrolltyp ISO/IEC 27001:2022 Anhang A Kennung ISO/IEC 27001:2013 Anhang A Kennung Anhang A Name
Organisatorische Kontrollen Anhang A 5.1 Anhang A 5.1.1
Anhang A 5.1.2
Richtlinien zur Informationssicherheit
Organisatorische Kontrollen Anhang A 5.2 Anhang A 6.1.1 Rollen und Verantwortlichkeiten im Bereich Informationssicherheit
Organisatorische Kontrollen Anhang A 5.3 Anhang A 6.1.2 Aufgabentrennung
Organisatorische Kontrollen Anhang A 5.4 Anhang A 7.2.1 Führungsaufgaben
Organisatorische Kontrollen Anhang A 5.5 Anhang A 6.1.3 Kontakt mit Behörden
Organisatorische Kontrollen Anhang A 5.6 Anhang A 6.1.4 Kontakt mit speziellen Interessengruppen
Organisatorische Kontrollen Anhang A 5.7 NEU Threat Intelligence
Organisatorische Kontrollen Anhang A 5.8 Anhang A 6.1.5
Anhang A 14.1.1
Informationssicherheit im Projektmanagement
Organisatorische Kontrollen Anhang A 5.9 Anhang A 8.1.1
Anhang A 8.1.2
Inventar der Informationen und anderer damit verbundener Vermögenswerte
Organisatorische Kontrollen Anhang A 5.10 Anhang A 8.1.3
Anhang A 8.2.3
Akzeptable Nutzung von Informationen und anderen damit verbundenen Vermögenswerten
Organisatorische Kontrollen Anhang A 5.11 Anhang A 8.1.4 Rückgabe von Vermögenswerten
Organisatorische Kontrollen Anhang A 5.12 Anhang A 8.2.1 Klassifizierung von Informationen
Organisatorische Kontrollen Anhang A 5.13 Anhang A 8.2.2 Kennzeichnung von Informationen
Organisatorische Kontrollen Anhang A 5.14 Anhang A 13.2.1
Anhang A 13.2.2
Anhang A 13.2.3
Informationsübertragung
Organisatorische Kontrollen Anhang A 5.15 Anhang A 9.1.1
Anhang A 9.1.2
Zugangskontrolle
Organisatorische Kontrollen Anhang A 5.16 Anhang A 9.2.1 Identitätsmanagement
Organisatorische Kontrollen Anhang A 5.17 Anhang A 9.2.4
Anhang A 9.3.1
Anhang A 9.4.3
Authentifizierungsinformationen
Organisatorische Kontrollen Anhang A 5.18 Anhang A 9.2.2
Anhang A 9.2.5
Anhang A 9.2.6
Zugangsrechte
Organisatorische Kontrollen Anhang A 5.19 Anhang A 15.1.1 Informationssicherheit in Lieferantenbeziehungen
Organisatorische Kontrollen Anhang A 5.20 Anhang A 15.1.2 Adressierung der Informationssicherheit in Lieferantenvereinbarungen
Organisatorische Kontrollen Anhang A 5.21 Anhang A 15.1.3 Management der Informationssicherheit in der IKT-Lieferkette
Organisatorische Kontrollen Anhang A 5.22 Anhang A 15.2.1
Anhang A 15.2.2
Überwachung, Überprüfung und Änderungsmanagement von Lieferantendienstleistungen
Organisatorische Kontrollen Anhang A 5.23 NEU Informationssicherheit für die Nutzung von Cloud-Diensten
Organisatorische Kontrollen Anhang A 5.24 Anhang A 16.1.1 Planung und Vorbereitung des Managements von Informationssicherheitsvorfällen
Organisatorische Kontrollen Anhang A 5.25 Anhang A 16.1.4 Bewertung und Entscheidung zu Informationssicherheitsereignissen
Organisatorische Kontrollen Anhang A 5.26 Anhang A 16.1.5 Reaktion auf Informationssicherheitsvorfälle
Organisatorische Kontrollen Anhang A 5.27 Anhang A 16.1.6 Aus Informationssicherheitsvorfällen lernen
Organisatorische Kontrollen Anhang A 5.28 Anhang A 16.1.7 Beweissammlung
Organisatorische Kontrollen Anhang A 5.29 Anhang A 17.1.1
Anhang A 17.1.2
Anhang A 17.1.3
Informationssicherheit bei Störungen
Organisatorische Kontrollen Anhang A 5.30 NEU IKT-Bereitschaft für Geschäftskontinuität
Organisatorische Kontrollen Anhang A 5.31 Anhang A 18.1.1
Anhang A 18.1.5
Rechtliche, gesetzliche, behördliche und vertragliche Anforderungen
Organisatorische Kontrollen Anhang A 5.32 Anhang A 18.1.2 Rechte an geistigem Eigentum
Organisatorische Kontrollen Anhang A 5.33 Anhang A 18.1.3 Schutz von Aufzeichnungen
Organisatorische Kontrollen Anhang A 5.34 Anhang A 18.1.4 Datenschutz und Schutz personenbezogener Daten
Organisatorische Kontrollen Anhang A 5.35 Anhang A 18.2.1 Unabhängige Überprüfung der Informationssicherheit
Organisatorische Kontrollen Anhang A 5.36 Anhang A 18.2.2
Anhang A 18.2.3
Einhaltung von Richtlinien, Regeln und Standards für die Informationssicherheit
Organisatorische Kontrollen Anhang A 5.37 Anhang A 12.1.1 Dokumentierte Betriebsabläufe
ISO 27001:2022 Personenkontrollen
Anhang A Kontrolltyp ISO/IEC 27001:2022 Anhang A Kennung ISO/IEC 27001:2013 Anhang A Kennung Anhang A Name
Menschenkontrollen Anhang A 6.1 Anhang A 7.1.1 Rekrutierung
Menschenkontrollen Anhang A 6.2 Anhang A 7.1.2 Allgemeine Geschäftsbedingungen
Menschenkontrollen Anhang A 6.3 Anhang A 7.2.2 Informationssicherheitsbewusstsein, Bildung und Schulung
Menschenkontrollen Anhang A 6.4 Anhang A 7.2.3 Disziplinarverfahren
Menschenkontrollen Anhang A 6.5 Anhang A 7.3.1 Verantwortlichkeiten nach Beendigung oder Wechsel des Arbeitsverhältnisses
Menschenkontrollen Anhang A 6.6 Anhang A 13.2.4 Vertraulichkeits- oder Geheimhaltungsvereinbarungen
Menschenkontrollen Anhang A 6.7 Anhang A 6.2.2 Fernarbeit
Menschenkontrollen Anhang A 6.8 Anhang A 16.1.2
Anhang A 16.1.3
Berichterstattung über Informationssicherheitsereignisse
Physische Kontrollen nach ISO 27001:2022
Anhang A Kontrolltyp ISO/IEC 27001:2022 Anhang A Kennung ISO/IEC 27001:2013 Anhang A Kennung Anhang A Name
Physikalische Kontrollen Anhang A 7.1 Anhang A 11.1.1 Physische Sicherheitsbereiche
Physikalische Kontrollen Anhang A 7.2 Anhang A 11.1.2
Anhang A 11.1.6
Physischer Eintritt
Physikalische Kontrollen Anhang A 7.3 Anhang A 11.1.3 Sicherung von Büros, Räumen und Einrichtungen
Physikalische Kontrollen Anhang A 7.4 NEU Physische Sicherheitsüberwachung
Physikalische Kontrollen Anhang A 7.5 Anhang A 11.1.4 Schutz vor physischen und umweltbedingten Bedrohungen
Physikalische Kontrollen Anhang A 7.6 Anhang A 11.1.5 Arbeiten in sicheren Bereichen
Physikalische Kontrollen Anhang A 7.7 Anhang A 11.2.9 Klarer Schreibtisch und klarer Bildschirm
Physikalische Kontrollen Anhang A 7.8 Anhang A 11.2.1 Standort und Schutz der Ausrüstung
Physikalische Kontrollen Anhang A 7.9 Anhang A 11.2.6 Sicherheit von Vermögenswerten außerhalb des Betriebsgeländes
Physikalische Kontrollen Anhang A 7.10 Anhang A 8.3.1
Anhang A 8.3.2
Anhang A 8.3.3
Anhang A 11.2.5
Speichermedien
Physikalische Kontrollen Anhang A 7.11 Anhang A 11.2.2 Unterstützende Dienstprogramme
Physikalische Kontrollen Anhang A 7.12 Anhang A 11.2.3 Verkabelungssicherheit
Physikalische Kontrollen Anhang A 7.13 Anhang A 11.2.4 Wartung der Ausrüstung
Physikalische Kontrollen Anhang A 7.14 Anhang A 11.2.7 Sichere Entsorgung oder Wiederverwendung von Geräten
ISO 27001:2022 Technologische Kontrollen
Anhang A Kontrolltyp ISO/IEC 27001:2022 Anhang A Kennung ISO/IEC 27001:2013 Anhang A Kennung Anhang A Name
Technologische Kontrollen Anhang A 8.1 Anhang A 6.2.1
Anhang A 11.2.8
Benutzer-Endpunktgeräte
Technologische Kontrollen Anhang A 8.2 Anhang A 9.2.3 Privilegierte Zugriffsrechte
Technologische Kontrollen Anhang A 8.3 Anhang A 9.4.1 Beschränkung des Informationszugriffs
Technologische Kontrollen Anhang A 8.4 Anhang A 9.4.5 Zugang zum Quellcode
Technologische Kontrollen Anhang A 8.5 Anhang A 9.4.2 Sichere Authentifizierung
Technologische Kontrollen Anhang A 8.6 Anhang A 12.1.3 Kapazitätsmanagement
Technologische Kontrollen Anhang A 8.7 Anhang A 12.2.1 Schutz vor Malware
Technologische Kontrollen Anhang A 8.8 Anhang A 12.6.1
Anhang A 18.2.3
Management technischer Schwachstellen
Technologische Kontrollen Anhang A 8.9 NEU Configuration Management
Technologische Kontrollen Anhang A 8.10 NEU Löschen von Informationen
Technologische Kontrollen Anhang A 8.11 NEU Datenmaskierung
Technologische Kontrollen Anhang A 8.12 NEU Verhinderung von Datenlecks
Technologische Kontrollen Anhang A 8.13 Anhang A 12.3.1 Informationssicherung
Technologische Kontrollen Anhang A 8.14 Anhang A 17.2.1 Redundanz von Informationsverarbeitungseinrichtungen
Technologische Kontrollen Anhang A 8.15 Anhang A 12.4.1
Anhang A 12.4.2
Anhang A 12.4.3
Protokollierung
Technologische Kontrollen Anhang A 8.16 NEU Überwachungsaktivitäten
Technologische Kontrollen Anhang A 8.17 Anhang A 12.4.4 Uhrensynchronisation
Technologische Kontrollen Anhang A 8.18 Anhang A 9.4.4 Nutzung privilegierter DienstprogrammeZugriffsrechte
Technologische Kontrollen Anhang A 8.19 Anhang A 12.5.1
Anhang A 12.6.2
Installation von Software auf Betriebssystemen
Technologische Kontrollen Anhang A 8.20 Anhang A 13.1.1 Netzwerksicherheit
Technologische Kontrollen Anhang A 8.21 Anhang A 13.1.2 Sicherheit von Netzwerkdiensten
Technologische Kontrollen Anhang A 8.22 Anhang A 13.1.3 Trennung von Netzwerken
Technologische Kontrollen Anhang A 8.23 NEU Web-Filter
Technologische Kontrollen Anhang A 8.24 Anhang A 10.1.1
Anhang A 10.1.2
Verwendung von Kryptographie
Technologische Kontrollen Anhang A 8.25 Anhang A 14.2.1 Sicherer Entwicklungslebenszyklus
Technologische Kontrollen Anhang A 8.26 Anhang A 14.1.2
Anhang A 14.1.3
Anforderungen an die Anwendungssicherheit
Technologische Kontrollen Anhang A 8.27 Anhang A 14.2.5 Sichere Systemarchitektur und technische Prinzipien. Lernen aus Informationssicherheitsvorfällen.
Technologische Kontrollen Anhang A 8.28 NEU Sichere Codierung
Technologische Kontrollen Anhang A 8.29 Anhang A 14.2.8
Anhang A 14.2.9
Sicherheitstests in Entwicklung und Akzeptanz
Technologische Kontrollen Anhang A 8.30 Anhang A 14.2.7 Ausgelagerte Entwicklung
Technologische Kontrollen Anhang A 8.31 Anhang A 12.1.4
Anhang A 14.2.6
Trennung von Entwicklungs-, Test- und Produktionsumgebungen
Technologische Kontrollen Anhang A 8.32 Anhang A 12.1.2
Anhang A 14.2.2
Anhang A 14.2.3
Anhang A 14.2.4
Change Control
Technologische Kontrollen Anhang A 8.33 Anhang A 14.3.1 Testinformationen
Technologische Kontrollen Anhang A 8.34 Anhang A 12.7.1 Schutz von Informationssystemen während Audittests

Wer ist für diesen Prozess verantwortlich?

Die Chief Information Officer (CIO) ist federführend für den Schutz von Unternehmensdaten und -systemen verantwortlich. Sie arbeiten mit anderen Führungskräften zusammen, um die Sicherheit bei Geschäftsentscheidungen zu berücksichtigen, beispielsweise mit dem Finanzvorstand und dem Vorstandsvorsitzenden. Die Implementierung von Richtlinien und Verfahren zum Schutz der Unternehmensinformationen ist ein wichtiger Teil der Rolle des CIO.

Der Finanzvorstand spielt eine Rolle bei der Entscheidung über physische Sicherheitsbereiche. In Zusammenarbeit mit anderen Führungskräften der obersten Führungsebene, einschließlich des CIO, entscheiden sie, wie viel in physische Sicherheitsmaßnahmen wie Überwachungskameras, Zugangskontrollen und Alarme investiert werden soll.




[case_study_slider ids=”88859,101932,92016″ autoplay=”true” autoplay_speed=”5000″]


Was bedeuten diese Veränderungen für Sie?

Bei ISO 27001:2022 handelt es sich nicht um eine umfassende Überarbeitung, daher sind für die Konformität keine wesentlichen Änderungen erforderlich.

Es lohnt sich, Ihre aktuelle Implementierung zu prüfen, um sicherzustellen, dass sie den neuen Anforderungen entspricht. Insbesondere wenn seit der Version von 2013 Änderungen vorgenommen wurden. Es lohnt sich, diese Änderungen erneut zu bewerten, um festzustellen, ob sie weiterhin gültig sind oder geändert werden müssen.

Wie ISMS.Online hilft

ISMS.online kann beim Nachweis der ISO 27001-Konformität helfen, indem es ein Online-System bereitstellt, das die Speicherung von Dokumenten an einem einzigen, zugänglichen Ort ermöglicht. Es erleichtert auch die Entwicklung von Checklisten für jedes Dokument und erleichtert so die Überprüfung und Änderung von Dokumenten.

Möchten Sie erleben, wie es funktioniert?

Kontaktieren Sie uns noch heute zu Reservieren Sie eine Vorführung.


Mike Jennings

Mike ist der Manager des Integrierten Managementsystems (IMS) hier bei ISMS.online. Zusätzlich zu seiner täglichen Verantwortung, dafür zu sorgen, dass das IMS-Sicherheitsvorfallsmanagement, Bedrohungsinformationen, Korrekturmaßnahmen, Risikobewertungen und Audits effektiv verwaltet und auf dem neuesten Stand gehalten werden, ist Mike ein zertifizierter leitender Auditor für ISO 27001 und ist dies auch weiterhin Er vertieft seine weiteren Fähigkeiten in den Bereichen Informationssicherheit und Datenschutzmanagement-Standards und -Frameworks, darunter Cyber ​​Essentials, ISO 27001 und viele mehr.

ISO 27001:2022 Anhang A Kontrollen

Organisatorische Kontrollen