- Weitere Informationen finden Sie auch in den ISO 27002:2022 Kontrolle 7.10 .
- Weitere Informationen finden Sie auch in den ISO 27001:2013 Anhang A 8.3.1 .
- Weitere Informationen finden Sie auch in den ISO 27001:2013 Anhang A 8.3.2 .
- Weitere Informationen finden Sie auch in den ISO 27001:2013 Anhang A 8.3.3 .
- Weitere Informationen finden Sie auch in den ISO 27001:2013 Anhang A 11.2.5 .
ISO 27001 Anhang A 7.10: Schutz vertraulicher Daten auf Speichermedien
Die Verwendung von Speichermedien wie SSDs, USBs, externen Laufwerken und Mobiltelefonen ist für zahlreiche wichtige Informationsverarbeitungsvorgänge, einschließlich Datensicherung, -speicherung und -übertragung, von entscheidender Bedeutung.
Die Speicherung sensibler und wichtiger Daten auf diesen Geräten birgt Risiken für die Genauigkeit, Geheimhaltung und Zugänglichkeit von Informationsressourcen. Zu diesen Risiken können das Verschwinden oder der Diebstahl von Speichermedien mit vertraulichen Informationen, die Übertragung von Malware über alle Computernetzwerke des Unternehmens über die Speichermedien sowie der Ausfall oder die Qualitätsminderung der für die Datensicherung verwendeten Speichermedien gehören.
ISO 27001:2022 Anhang A 7.10 beschreibt die Schritte, die Unternehmen unternehmen müssen, um die Sicherheit von Speichermedien während ihres gesamten Lebenszyklus, von der Anschaffung bis zur Entsorgung, zu gewährleisten. Es müssen Richtlinien und Kontrollen eingeführt werden, um die Sicherheit zu gewährleisten.
Zweck von ISO 27001:2022 Anhang A 7.10
ISO 27001:2022 Anhang A 7.10 erleichtert Organisationen die Minderung und Beseitigung von Risiken, die mit unbefugtem Zugriff, unbefugter Nutzung, Löschung, Änderung und Übertragung vertraulicher Daten auf Speichermediengeräten verbunden sind. Es legt Verfahren zur Verwaltung von Speichermedien während ihres gesamten Lebenszyklus fest.
ISO 27001 leicht gemacht
Ein Vorsprung von 81 % vom ersten Tag an
Wir haben die harte Arbeit für Sie erledigt und Ihnen vom Moment Ihrer Anmeldung an einen Vorsprung von 81 % verschafft. Sie müssen nur noch die Lücken ausfüllen.
Was deckt Anhang A 7.10 ab?
ISO 27001:2022 Anhang A 7.10 bezieht sich sowohl auf digitale als auch auf physische Speichermedien. Von dieser Kontrolle umfasst ist beispielsweise auch die Speicherung von Daten auf physischen Dokumenten.
Neben Wechselspeichermedien unterliegen auch Festplatten als fester Speicher der ISO 27001:2022 Anhang A 7.10.
Eigentum an Anlage A 7.10
ISO 27001:2022 Anhang A 7.10 verpflichtet Organisationen, geeignete Verfahren, technische Kontrollen und organisationsweite Richtlinien für die Verwendung von Speichermedien gemäß dem eigenen Klassifizierungsschema der Organisation und jeglichem Datenhandling zu erstellen und umzusetzen Anforderungen wie rechtliche und vertragliche Anforderungen Gesundheitsproblemen.
Informationssicherheitsmanager sollte den gesamten Compliance-Zyklus übernehmen.
Leitfaden zur Einhaltung von ISO 27001:2022 Anhang A 7.10
Wechselbare Speichermedien
Wechselmedien sind für viele Geschäftsabläufe unverzichtbar und werden von Mitarbeitern häufig eingesetzt. Allerdings stellen sie das größte Risiko für sensible Daten dar.
ISO 27001:2022 Anhang A 7.10 legt zehn Bedingungen fest, die Organisationen für die Verwaltung von Wechselspeichermedien während ihres Lebenszyklus beachten müssen:
- Organisationen sollten eine Richtlinie erstellen, die sich auf den Erwerb, die Genehmigung, die Verwendung und die Entsorgung von Wechselspeichermedien konzentriert und alle Mitarbeiter und betroffenen Parteien über deren Existenz informiert.
- Organisationen sollten, wo es praktisch und notwendig ist, Genehmigungsverfahren für die Mitnahme von Wechselspeichermedien aus dem Firmengelände einführen. Darüber hinaus sollte ein Protokoll über die Entnahmen geführt werden Audit-Tracking.
- Bewahren Sie alle Wechselspeichermedien an einem sicheren Ort wie einem Tresor auf Klassifizierung von Informationen der den Informationen zugewiesenen Ebene und etwaiger Umwelt- und physischer Bedrohungen für die Medien.
- Wenn die Wahrung der Vertraulichkeit und Vertrauenswürdigkeit der Informationen auf Wechselmedien von größter Bedeutung ist, sollten kryptografische Methoden eingesetzt werden, um die Medien vor unbefugtem Zugriff zu schützen.
- Um eine Verschlechterung der Wechselspeichermedien und einen Datenverlust zu verhindern, sollten die Informationen auf ein neues Speichermedium verschoben werden, bevor das Risiko entsteht.
- Es ist von entscheidender Bedeutung, sensible Daten auf mehreren Speichermedien zu kopieren und zu speichern, um das Risiko des Verlusts wichtiger Informationen zu verringern.
- Um die Möglichkeit eines vollständigen Datenverlusts zu verringern, kann die Registrierung von Wechselspeichermedien eine praktikable Lösung sein.
- Sofern keine geschäftliche Notwendigkeit besteht, sollten USB-Anschlüsse und SD-Kartensteckplätze nicht verwendet werden.
- Es ist notwendig, die Übertragung von Informationen auf alle Wechselspeichermediengeräte zu überwachen.
- Bei der Übermittlung von in physischen Dokumenten enthaltenen Informationen per Post oder Kurier besteht ein hohes Risiko eines unbefugten Zugriffs. Um dem entgegenzuwirken, sollten geeignete Maßnahmen ergriffen werden.
Leitfaden zur sicheren Wiederverwendung und Entsorgung von Speichermedien
ISO 27001:2022 Anhang A 7.10 bietet Hinweise zur sicheren Wiederverwendung und Entsorgung von Speichermedien, um Organisationen dabei zu helfen, die Gefahr einer Verletzung der Vertraulichkeit von Informationen zu verringern und zu beseitigen.
Anhang A 7.10 besagt, dass Organisationen Pläne für das Recycling und die Entsorgung von Speichermedien erstellen und durchführen sollten, wobei die Sensibilität der auf den Speichermedien gespeicherten Daten zu berücksichtigen ist.
Organisationen sollten bei der Einrichtung dieser Maßnahmen Folgendes berücksichtigen:
- Wenn die interne Partei einer Organisation ein Speichermedium wiederverwenden soll, sollten die darauf gehosteten sensiblen Informationen vor der Genehmigung unwiderruflich gelöscht oder neu formatiert werden.
- Die sichere Vernichtung von Speichermedien, auf denen sensible Informationen gespeichert sind, ist erforderlich, sobald diese nicht mehr benötigt werden. Papierdokumente können geschreddert und digitale Geräte physisch zerstört werden.
- Es sollte ein System entwickelt werden, um Speichermedien zu identifizieren, die entsorgt werden müssen.
- Organisationen sollten bei der Auswahl einer externen Partei für die Sammlung und Entsorgung von Speichermedien die gebotene Sorgfalt walten lassen und sicherstellen, dass der ausgewählte Anbieter kompetent ist und über die entsprechenden Kontrollen verfügt.
- Dokumentation aller entsorgten Gegenstände für einen Prüfpfad.
- Bei der gemeinsamen Entsorgung mehrerer Speichermedien sollte der kumulative Effekt berücksichtigt werden: Die Kombination verschiedener Datenelemente von jedem Speichermedium könnte zur Umwandlung nicht sensibler Informationen in sensibles Material führen.
Schließlich verpflichtet ISO 27001:2022 Anhang A 7.10 Organisationen, das Risiko vertraulicher Daten, die auf beschädigten Geräten gespeichert sind, zu bewerten, um festzustellen, ob die Geräte zerstört oder repariert werden sollten.
Verwalten Sie Ihre gesamte Compliance an einem Ort
ISMS.online unterstützt über 100 Standards und Vorschriften und bietet Ihnen eine einzige Plattform für alle Ihre Compliance-Anforderungen.
Änderungen und Unterschiede zu ISO 27001:2013
ISO 27001:2022 Anhang A 7.10 ersetzt ISO 27001:2013 Anhang A 08.3.1, 08.3.2, 08.3.3 und 11.2.5.
Es gibt vier bemerkenswerte Unterschiede.
Veränderungen in der Struktur
Im Gegensatz zur Version 2013, die über drei separate Kontrollen für Medienmanagement, Medienentsorgung und physische Medienübertragung verfügte, werden diese in der Version 2022 in Anhang A 7.10 zusammengefasst.
Anforderungen für die Wiederverwendung von Speichermedien zur Version 2022 hinzugefügt
Im Gegensatz zur Version 2013, die nur die sichere Medienentsorgung abdeckte, enthält die Version 2022 auch Anforderungen an die sichere Medienwiederverwendung.
Die Anforderungen an den physischen Transfer sind in der Version 2013 umfassender
Die Version von 2013 enthielt umfangreichere Anforderungen für die physische Übertragung von Speichermedien, einschließlich der Identitätsprüfung für Kuriere und Verpackungsstandards. Im Gegensatz dazu empfiehlt Anhang A 7 7.10 in der Fassung 2022 Organisationen nur, bei der Auswahl von Kurieren mit Vorsicht vorzugehen.
Themenspezifische Richtlinie für Wechselspeichermedien in der Version 2022 erforderlich
Während die Versionen 2022 und 2013 hinsichtlich der Anforderungen an Wechselspeichermedien ähnlich sind, schreibt die Version 2022 eine themenspezifische Richtlinie für Wechselspeichermedien vor. Die Version 2013 deckte diese Anforderung nicht ab.
Tabelle aller ISO 27001:2022 Anhang A-Kontrollen
In der folgenden Tabelle finden Sie weitere Informationen zu jeder einzelnen ISO 27001:2022 Anhang A-Kontrolle.
| Anhang A Kontrolltyp | ISO/IEC 27001:2022 Anhang A Kennung | ISO/IEC 27001:2013 Anhang A Kennung | Anhang A Name |
|---|---|---|---|
| Organisatorische Kontrollen | Anhang A 5.1 |
Anhang A 5.1.1 Anhang A 5.1.2 |
Richtlinien zur Informationssicherheit |
| Organisatorische Kontrollen | Anhang A 5.2 | Anhang A 6.1.1 | Rollen und Verantwortlichkeiten im Bereich Informationssicherheit |
| Organisatorische Kontrollen | Anhang A 5.3 | Anhang A 6.1.2 | Aufgabentrennung |
| Organisatorische Kontrollen | Anhang A 5.4 | Anhang A 7.2.1 | Führungsaufgaben |
| Organisatorische Kontrollen | Anhang A 5.5 | Anhang A 6.1.3 | Kontakt mit Behörden |
| Organisatorische Kontrollen | Anhang A 5.6 | Anhang A 6.1.4 | Kontakt mit speziellen Interessengruppen |
| Organisatorische Kontrollen | Anhang A 5.7 | NEU | Threat Intelligence |
| Organisatorische Kontrollen | Anhang A 5.8 |
Anhang A 6.1.5 Anhang A 14.1.1 |
Informationssicherheit im Projektmanagement |
| Organisatorische Kontrollen | Anhang A 5.9 |
Anhang A 8.1.1 Anhang A 8.1.2 |
Inventar der Informationen und anderer damit verbundener Vermögenswerte |
| Organisatorische Kontrollen | Anhang A 5.10 |
Anhang A 8.1.3 Anhang A 8.2.3 |
Akzeptable Nutzung von Informationen und anderen damit verbundenen Vermögenswerten |
| Organisatorische Kontrollen | Anhang A 5.11 | Anhang A 8.1.4 | Rückgabe von Vermögenswerten |
| Organisatorische Kontrollen | Anhang A 5.12 | Anhang A 8.2.1 | Klassifizierung von Informationen |
| Organisatorische Kontrollen | Anhang A 5.13 | Anhang A 8.2.2 | Kennzeichnung von Informationen |
| Organisatorische Kontrollen | Anhang A 5.14 |
Anhang A 13.2.1 Anhang A 13.2.2 Anhang A 13.2.3 |
Informationsübertragung |
| Organisatorische Kontrollen | Anhang A 5.15 |
Anhang A 9.1.1 Anhang A 9.1.2 |
Zugangskontrolle |
| Organisatorische Kontrollen | Anhang A 5.16 | Anhang A 9.2.1 | Identitätsmanagement |
| Organisatorische Kontrollen | Anhang A 5.17 |
Anhang A 9.2.4 Anhang A 9.3.1 Anhang A 9.4.3 |
Authentifizierungsinformationen |
| Organisatorische Kontrollen | Anhang A 5.18 |
Anhang A 9.2.2 Anhang A 9.2.5 Anhang A 9.2.6 |
Zugangsrechte |
| Organisatorische Kontrollen | Anhang A 5.19 | Anhang A 15.1.1 | Informationssicherheit in Lieferantenbeziehungen |
| Organisatorische Kontrollen | Anhang A 5.20 | Anhang A 15.1.2 | Adressierung der Informationssicherheit in Lieferantenvereinbarungen |
| Organisatorische Kontrollen | Anhang A 5.21 | Anhang A 15.1.3 | Management der Informationssicherheit in der IKT-Lieferkette |
| Organisatorische Kontrollen | Anhang A 5.22 |
Anhang A 15.2.1 Anhang A 15.2.2 |
Überwachung, Überprüfung und Änderungsmanagement von Lieferantendienstleistungen |
| Organisatorische Kontrollen | Anhang A 5.23 | NEU | Informationssicherheit für die Nutzung von Cloud-Diensten |
| Organisatorische Kontrollen | Anhang A 5.24 | Anhang A 16.1.1 | Planung und Vorbereitung des Managements von Informationssicherheitsvorfällen |
| Organisatorische Kontrollen | Anhang A 5.25 | Anhang A 16.1.4 | Bewertung und Entscheidung zu Informationssicherheitsereignissen |
| Organisatorische Kontrollen | Anhang A 5.26 | Anhang A 16.1.5 | Reaktion auf Informationssicherheitsvorfälle |
| Organisatorische Kontrollen | Anhang A 5.27 | Anhang A 16.1.6 | Aus Informationssicherheitsvorfällen lernen |
| Organisatorische Kontrollen | Anhang A 5.28 | Anhang A 16.1.7 | Beweissammlung |
| Organisatorische Kontrollen | Anhang A 5.29 |
Anhang A 17.1.1 Anhang A 17.1.2 Anhang A 17.1.3 |
Informationssicherheit bei Störungen |
| Organisatorische Kontrollen | Anhang A 5.30 | NEU | IKT-Bereitschaft für Geschäftskontinuität |
| Organisatorische Kontrollen | Anhang A 5.31 |
Anhang A 18.1.1 Anhang A 18.1.5 |
Rechtliche, gesetzliche, behördliche und vertragliche Anforderungen |
| Organisatorische Kontrollen | Anhang A 5.32 | Anhang A 18.1.2 | Rechte an geistigem Eigentum |
| Organisatorische Kontrollen | Anhang A 5.33 | Anhang A 18.1.3 | Schutz von Aufzeichnungen |
| Organisatorische Kontrollen | Anhang A 5.34 | Anhang A 18.1.4 | Datenschutz und Schutz personenbezogener Daten |
| Organisatorische Kontrollen | Anhang A 5.35 | Anhang A 18.2.1 | Unabhängige Überprüfung der Informationssicherheit |
| Organisatorische Kontrollen | Anhang A 5.36 |
Anhang A 18.2.2 Anhang A 18.2.3 |
Einhaltung von Richtlinien, Regeln und Standards für die Informationssicherheit |
| Organisatorische Kontrollen | Anhang A 5.37 | Anhang A 12.1.1 | Dokumentierte Betriebsabläufe |
| Anhang A Kontrolltyp | ISO/IEC 27001:2022 Anhang A Kennung | ISO/IEC 27001:2013 Anhang A Kennung | Anhang A Name |
|---|---|---|---|
| Menschenkontrollen | Anhang A 6.1 | Anhang A 7.1.1 | Rekrutierung |
| Menschenkontrollen | Anhang A 6.2 | Anhang A 7.1.2 | Allgemeine Geschäftsbedingungen |
| Menschenkontrollen | Anhang A 6.3 | Anhang A 7.2.2 | Informationssicherheitsbewusstsein, Bildung und Schulung |
| Menschenkontrollen | Anhang A 6.4 | Anhang A 7.2.3 | Disziplinarverfahren |
| Menschenkontrollen | Anhang A 6.5 | Anhang A 7.3.1 | Verantwortlichkeiten nach Beendigung oder Wechsel des Arbeitsverhältnisses |
| Menschenkontrollen | Anhang A 6.6 | Anhang A 13.2.4 | Vertraulichkeits- oder Geheimhaltungsvereinbarungen |
| Menschenkontrollen | Anhang A 6.7 | Anhang A 6.2.2 | Fernarbeit |
| Menschenkontrollen | Anhang A 6.8 |
Anhang A 16.1.2 Anhang A 16.1.3 |
Berichterstattung über Informationssicherheitsereignisse |
| Anhang A Kontrolltyp | ISO/IEC 27001:2022 Anhang A Kennung | ISO/IEC 27001:2013 Anhang A Kennung | Anhang A Name |
|---|---|---|---|
| Physikalische Kontrollen | Anhang A 7.1 | Anhang A 11.1.1 | Physische Sicherheitsbereiche |
| Physikalische Kontrollen | Anhang A 7.2 |
Anhang A 11.1.2 Anhang A 11.1.6 |
Physischer Eintritt |
| Physikalische Kontrollen | Anhang A 7.3 | Anhang A 11.1.3 | Sicherung von Büros, Räumen und Einrichtungen |
| Physikalische Kontrollen | Anhang A 7.4 | NEU | Physische Sicherheitsüberwachung |
| Physikalische Kontrollen | Anhang A 7.5 | Anhang A 11.1.4 | Schutz vor physischen und umweltbedingten Bedrohungen |
| Physikalische Kontrollen | Anhang A 7.6 | Anhang A 11.1.5 | Arbeiten in sicheren Bereichen |
| Physikalische Kontrollen | Anhang A 7.7 | Anhang A 11.2.9 | Klarer Schreibtisch und klarer Bildschirm |
| Physikalische Kontrollen | Anhang A 7.8 | Anhang A 11.2.1 | Standort und Schutz der Ausrüstung |
| Physikalische Kontrollen | Anhang A 7.9 | Anhang A 11.2.6 | Sicherheit von Vermögenswerten außerhalb des Betriebsgeländes |
| Physikalische Kontrollen | Anhang A 7.10 |
Anhang A 8.3.1 Anhang A 8.3.2 Anhang A 8.3.3 Anhang A 11.2.5 |
Speichermedien |
| Physikalische Kontrollen | Anhang A 7.11 | Anhang A 11.2.2 | Unterstützende Dienstprogramme |
| Physikalische Kontrollen | Anhang A 7.12 | Anhang A 11.2.3 | Verkabelungssicherheit |
| Physikalische Kontrollen | Anhang A 7.13 | Anhang A 11.2.4 | Wartung der Ausrüstung |
| Physikalische Kontrollen | Anhang A 7.14 | Anhang A 11.2.7 | Sichere Entsorgung oder Wiederverwendung von Geräten |
| Anhang A Kontrolltyp | ISO/IEC 27001:2022 Anhang A Kennung | ISO/IEC 27001:2013 Anhang A Kennung | Anhang A Name |
|---|---|---|---|
| Technologische Kontrollen | Anhang A 8.1 |
Anhang A 6.2.1 Anhang A 11.2.8 |
Benutzer-Endpunktgeräte |
| Technologische Kontrollen | Anhang A 8.2 | Anhang A 9.2.3 | Privilegierte Zugriffsrechte |
| Technologische Kontrollen | Anhang A 8.3 | Anhang A 9.4.1 | Beschränkung des Informationszugriffs |
| Technologische Kontrollen | Anhang A 8.4 | Anhang A 9.4.5 | Zugang zum Quellcode |
| Technologische Kontrollen | Anhang A 8.5 | Anhang A 9.4.2 | Sichere Authentifizierung |
| Technologische Kontrollen | Anhang A 8.6 | Anhang A 12.1.3 | Kapazitätsmanagement |
| Technologische Kontrollen | Anhang A 8.7 | Anhang A 12.2.1 | Schutz vor Malware |
| Technologische Kontrollen | Anhang A 8.8 |
Anhang A 12.6.1 Anhang A 18.2.3 |
Management technischer Schwachstellen |
| Technologische Kontrollen | Anhang A 8.9 | NEU | Configuration Management |
| Technologische Kontrollen | Anhang A 8.10 | NEU | Löschen von Informationen |
| Technologische Kontrollen | Anhang A 8.11 | NEU | Datenmaskierung |
| Technologische Kontrollen | Anhang A 8.12 | NEU | Verhinderung von Datenlecks |
| Technologische Kontrollen | Anhang A 8.13 | Anhang A 12.3.1 | Informationssicherung |
| Technologische Kontrollen | Anhang A 8.14 | Anhang A 17.2.1 | Redundanz von Informationsverarbeitungseinrichtungen |
| Technologische Kontrollen | Anhang A 8.15 |
Anhang A 12.4.1 Anhang A 12.4.2 Anhang A 12.4.3 |
Protokollierung |
| Technologische Kontrollen | Anhang A 8.16 | NEU | Überwachungsaktivitäten |
| Technologische Kontrollen | Anhang A 8.17 | Anhang A 12.4.4 | Uhrensynchronisation |
| Technologische Kontrollen | Anhang A 8.18 | Anhang A 9.4.4 | Nutzung privilegierter DienstprogrammeZugriffsrechte |
| Technologische Kontrollen | Anhang A 8.19 |
Anhang A 12.5.1 Anhang A 12.6.2 |
Installation von Software auf Betriebssystemen |
| Technologische Kontrollen | Anhang A 8.20 | Anhang A 13.1.1 | Netzwerksicherheit |
| Technologische Kontrollen | Anhang A 8.21 | Anhang A 13.1.2 | Sicherheit von Netzwerkdiensten |
| Technologische Kontrollen | Anhang A 8.22 | Anhang A 13.1.3 | Trennung von Netzwerken |
| Technologische Kontrollen | Anhang A 8.23 | NEU | Web-Filter |
| Technologische Kontrollen | Anhang A 8.24 |
Anhang A 10.1.1 Anhang A 10.1.2 |
Verwendung von Kryptographie |
| Technologische Kontrollen | Anhang A 8.25 | Anhang A 14.2.1 | Sicherer Entwicklungslebenszyklus |
| Technologische Kontrollen | Anhang A 8.26 |
Anhang A 14.1.2 Anhang A 14.1.3 |
Anforderungen an die Anwendungssicherheit |
| Technologische Kontrollen | Anhang A 8.27 | Anhang A 14.2.5 | Sichere Systemarchitektur und technische Prinzipien. Lernen aus Informationssicherheitsvorfällen. |
| Technologische Kontrollen | Anhang A 8.28 | NEU | Sichere Codierung |
| Technologische Kontrollen | Anhang A 8.29 |
Anhang A 14.2.8 Anhang A 14.2.9 |
Sicherheitstests in Entwicklung und Akzeptanz |
| Technologische Kontrollen | Anhang A 8.30 | Anhang A 14.2.7 | Ausgelagerte Entwicklung |
| Technologische Kontrollen | Anhang A 8.31 |
Anhang A 12.1.4 Anhang A 14.2.6 |
Trennung von Entwicklungs-, Test- und Produktionsumgebungen |
| Technologische Kontrollen | Anhang A 8.32 |
Anhang A 12.1.2 Anhang A 14.2.2 Anhang A 14.2.3 Anhang A 14.2.4 |
Change Control |
| Technologische Kontrollen | Anhang A 8.33 | Anhang A 14.3.1 | Testinformationen |
| Technologische Kontrollen | Anhang A 8.34 | Anhang A 12.7.1 | Schutz von Informationssystemen während Audittests |
Wie ISMS.online hilft
ISMS.online verfolgt einen risikobasierten AnsatzMithilfe branchenführender Best Practices und Vorlagen können Sie die Risiken erkennen, denen Ihr Unternehmen ausgesetzt ist, und die zu deren Bewältigung erforderlichen Kontrollen durchführen. Dies trägt dazu bei, sowohl das Risiko als auch die Compliance-Kosten zu reduzieren.
Kontaktieren Sie uns jetzt, um Vereinbaren Sie eine Vorführung.