- Weitere Informationen finden Sie auch in den ISO 27002:2022 Kontrolle 7.7 .
- Weitere Informationen finden Sie auch in den ISO 27001:2013 Anhang A 11.2.9 .
ISO 27001 Anhang A 7.7: Schutz vertraulicher Informationen mit Clear Desk- und Clear Screen-Richtlinien
ISO 27001:2022 In Anhang A 7.7 wird erörtert, wie Organisationen die Vertraulichkeit sensibler Informationen auf digitalen Bildschirmen und auf Papier schützen und aufrechterhalten können, indem sie klare Schreibtisch- und klare Bildschirmregeln implementieren.
Ein Mitarbeiter, der seinen Arbeitsplatz unbeaufsichtigt verlässt, riskiert unbefugten Zugriff, den Verlust der Vertraulichkeit und die Beschädigung der vertraulichen Informationen in digitalen und physischen Materialien.
Beispielsweise können böswillige Parteien die Möglichkeit ausnutzen, sensible Gesundheitsdaten zu stehlen und zu missbrauchen, wenn ein Mitarbeiter während der Mittagspause seinen Computer unbeaufsichtigt lässt, während er ein Tool für das Kundenbeziehungsmanagement nutzt.
Was ist der Zweck von ISO 27001:2022 Anhang A 7.7?
ISO 27001:2022 Anhang A 7.7 bietet Organisationen eine Methode zur Beseitigung und/oder Minderung der Risiken eines unbefugten Zugriffs, einer unbefugten Nutzung, einer Beschädigung oder eines Verlusts sensibler Informationen auf den Bildschirmen der Mitarbeiterarbeitsplätze und Dokumente, wenn diese nicht vorhanden sind.
ISO 27001 leicht gemacht
Ein Vorsprung von 81 % vom ersten Tag an
Wir haben die harte Arbeit für Sie erledigt und Ihnen vom Moment Ihrer Anmeldung an einen Vorsprung von 81 % verschafft. Sie müssen nur noch die Lücken ausfüllen.
Eigentum an ISO 27001:2022 Anhang A 7.7
In Anerkennung von Anhang 7.7 müssen Organisationen eine organisationsweite Richtlinie für freie Schreibtische und Bildschirme einführen und umsetzen. Informationssicherheitsbeauftragte sollten für die Erstellung, Aufrechterhaltung und Durchsetzung von Clear-Desk- und Clear-Screen-Richtlinien im gesamten Unternehmen verantwortlich sein.
Allgemeine Leitlinien zu ISO 27001:2022 Anhang A 7.7
Anhang A 7.7 empfiehlt die Erstellung und Durchsetzung einer themenspezifischen Richtlinie, die Regeln für freie Schreibtische und freie Bildschirme festlegt.
Darüber hinaus spezifiziert Anhang A 7.7 sieben spezifische Anforderungen, die Organisationen bei der Einrichtung und Durchsetzung von Richtlinien für freie Schreibtische und freie Bildschirme berücksichtigen sollten:
- Digitale und physische Vermögenswerte, die vertrauliche oder kritische Informationen enthalten, sollten sicher verschlossen werden, wenn sie nicht verwendet werden oder wenn die Workstation, auf der sie gehostet werden, leer ist. Beispielsweise sollten Papierakten, Laptops und Drucker in sicheren Möbeln wie Schubladen oder Schränken mit Schlössern aufbewahrt werden.
- Von Mitarbeitern genutzte Geräte wie Laptops, Scanner, Drucker und Notebooks sollten mit Tastenschlössern geschützt werden, wenn sie nicht verwendet oder unbeaufsichtigt gelassen werden.
- Mitarbeiter sollten ihre Geräte ausgeschaltet lassen, wenn sie ihren Arbeitsplatz verlassen und sie unbeaufsichtigt lassen. Eine Reaktivierung des Geräts sollte nur mit Benutzerauthentifizierung möglich sein. Alle Endpunktgeräte der Mitarbeiter, wie z. B. Computer, sollten über automatische Timeout- und Abmeldefunktionen verfügen.
- Der Drucker sollte so ausgelegt sein, dass die Ausdrucke sofort von der Person abgeholt werden können, die sie gedruckt hat (Ersteller). Darüber hinaus sollte es nur dem Absender gestattet sein, die Ausdrucke über einen robusten Authentifizierungsmechanismus abzuholen.
- Materialien, die vertrauliche Informationen enthalten, einschließlich Wechselmedien, sollten jederzeit sicher aufbewahrt werden. Wenn sie nicht mehr benötigt werden, sollten sie auf sichere Weise entsorgt werden.
- Für Unternehmen ist es wichtig, Regeln für die Anzeige von Pop-ups auf Bildschirmen zu erstellen und diese Regeln allen relevanten Mitarbeitern mitzuteilen. Beispielsweise können Popups (z. B. E-Mail-Benachrichtigungen), die vertrauliche Informationen enthalten, die Vertraulichkeit vertraulicher Informationen gefährden, wenn sie während einer Präsentation oder in einem öffentlichen Raum angezeigt werden.
- Whiteboards sollten gelöscht werden, wenn sensible oder kritische Informationen nicht mehr benötigt werden.
Ergänzende Hinweise zu Anhang A 7.7
ISO 27001 Anhang A 7.7 warnt Organisationen vor Risiken, die sich aus verlassenen Einrichtungen ergeben. Physische und digitale Materialien, die zuvor in einer Einrichtung aufbewahrt wurden, sollten beim Auszug einer Organisation sicher entfernt werden, um den Verlust sensibler Informationen zu verhindern.
Daher legt Anhang A 7.7 fest, dass Organisationen Verfahren für die Räumung von Einrichtungen einrichten sollten, um sicherzustellen, dass sensible Informationswerte sicher entsorgt werden. Es kann eine abschließende Überprüfung durchgeführt werden, um sicherzustellen, dass keine vertraulichen Informationen ungeschützt bleiben.
Befreien Sie sich von einem Berg an Tabellenkalkulationen
Integrieren, erweitern und skalieren Sie Ihre Compliance, ohne dass es zu Problemen kommt. IO gibt Ihnen die Widerstandsfähigkeit und das Vertrauen, um sicher zu wachsen.
Was sind die Änderungen und Unterschiede zur ISO 27001:2013?
ISO 27001:2022 Anhang A 7.7 ersetzt ISO 27001:2013 Anhang A 11.2.9 ('Klare Schreibtisch- und Bildschirmrichtlinien').
Es gibt zwei bemerkenswerte Unterschiede zwischen den Versionen ISO 27001:2022 und ISO 27001:2013:
- Die Version ISO 27001:2022 enthält keine Kriterien, die bei der Festlegung und Umsetzung von Richtlinien für klare Schreibtische und klare Bildschirme zu berücksichtigen sind.
Während die Version von 2013 festlegt, dass Organisationen organisationsweit berücksichtigen sollten Klassifizierung von Informationen Ebenen, rechtliche und vertragliche Anforderungen sowie die Art der Risiken, denen sie bei der Einführung einer Clear Desk- und Clear Screen-Richtlinie ausgesetzt sind.
In der Version ISO 27001:2022 werden diese Elemente jedoch nicht erwähnt. Die Norm ISO 27001:2022 führt neue und umfassendere Anforderungen für klare Schreibtische und klare Bildschirme ein.
Die Version ISO 27001:2022 spezifiziert die folgenden Anforderungen, die Organisationen bei der Festlegung von Richtlinien für freie Schreibtische und freie Bildschirme berücksichtigen sollten:
- Organisationen sollten die Vertraulichkeit sensibler Informationen wahren, indem sie spezifische Richtlinien für Popup-Bildschirme erstellen.
- Entfernen Sie die auf einem Whiteboard geschriebenen vertraulichen Informationen, wenn Sie sie nicht mehr benötigen.
- Computer und andere von Mitarbeitern verwendete Endgeräte sollten mit Tastenschlössern geschützt werden, wenn sie nicht verwendet oder unbeaufsichtigt werden.
Tabelle aller ISO 27001:2022 Anhang A-Kontrollen
In der folgenden Tabelle finden Sie weitere Informationen zu jeder einzelnen ISO 27001:2022 Anhang A-Kontrolle.
| Anhang A Kontrolltyp | ISO/IEC 27001:2022 Anhang A Kennung | ISO/IEC 27001:2013 Anhang A Kennung | Anhang A Name |
|---|---|---|---|
| Organisatorische Kontrollen | Anhang A 5.1 |
Anhang A 5.1.1 Anhang A 5.1.2 |
Richtlinien zur Informationssicherheit |
| Organisatorische Kontrollen | Anhang A 5.2 | Anhang A 6.1.1 | Rollen und Verantwortlichkeiten im Bereich Informationssicherheit |
| Organisatorische Kontrollen | Anhang A 5.3 | Anhang A 6.1.2 | Aufgabentrennung |
| Organisatorische Kontrollen | Anhang A 5.4 | Anhang A 7.2.1 | Führungsaufgaben |
| Organisatorische Kontrollen | Anhang A 5.5 | Anhang A 6.1.3 | Kontakt mit Behörden |
| Organisatorische Kontrollen | Anhang A 5.6 | Anhang A 6.1.4 | Kontakt mit speziellen Interessengruppen |
| Organisatorische Kontrollen | Anhang A 5.7 | NEU | Threat Intelligence |
| Organisatorische Kontrollen | Anhang A 5.8 |
Anhang A 6.1.5 Anhang A 14.1.1 |
Informationssicherheit im Projektmanagement |
| Organisatorische Kontrollen | Anhang A 5.9 |
Anhang A 8.1.1 Anhang A 8.1.2 |
Inventar der Informationen und anderer damit verbundener Vermögenswerte |
| Organisatorische Kontrollen | Anhang A 5.10 |
Anhang A 8.1.3 Anhang A 8.2.3 |
Akzeptable Nutzung von Informationen und anderen damit verbundenen Vermögenswerten |
| Organisatorische Kontrollen | Anhang A 5.11 | Anhang A 8.1.4 | Rückgabe von Vermögenswerten |
| Organisatorische Kontrollen | Anhang A 5.12 | Anhang A 8.2.1 | Klassifizierung von Informationen |
| Organisatorische Kontrollen | Anhang A 5.13 | Anhang A 8.2.2 | Kennzeichnung von Informationen |
| Organisatorische Kontrollen | Anhang A 5.14 |
Anhang A 13.2.1 Anhang A 13.2.2 Anhang A 13.2.3 |
Informationsübertragung |
| Organisatorische Kontrollen | Anhang A 5.15 |
Anhang A 9.1.1 Anhang A 9.1.2 |
Zugangskontrolle |
| Organisatorische Kontrollen | Anhang A 5.16 | Anhang A 9.2.1 | Identitätsmanagement |
| Organisatorische Kontrollen | Anhang A 5.17 |
Anhang A 9.2.4 Anhang A 9.3.1 Anhang A 9.4.3 |
Authentifizierungsinformationen |
| Organisatorische Kontrollen | Anhang A 5.18 |
Anhang A 9.2.2 Anhang A 9.2.5 Anhang A 9.2.6 |
Zugangsrechte |
| Organisatorische Kontrollen | Anhang A 5.19 | Anhang A 15.1.1 | Informationssicherheit in Lieferantenbeziehungen |
| Organisatorische Kontrollen | Anhang A 5.20 | Anhang A 15.1.2 | Adressierung der Informationssicherheit in Lieferantenvereinbarungen |
| Organisatorische Kontrollen | Anhang A 5.21 | Anhang A 15.1.3 | Management der Informationssicherheit in der IKT-Lieferkette |
| Organisatorische Kontrollen | Anhang A 5.22 |
Anhang A 15.2.1 Anhang A 15.2.2 |
Überwachung, Überprüfung und Änderungsmanagement von Lieferantendienstleistungen |
| Organisatorische Kontrollen | Anhang A 5.23 | NEU | Informationssicherheit für die Nutzung von Cloud-Diensten |
| Organisatorische Kontrollen | Anhang A 5.24 | Anhang A 16.1.1 | Planung und Vorbereitung des Managements von Informationssicherheitsvorfällen |
| Organisatorische Kontrollen | Anhang A 5.25 | Anhang A 16.1.4 | Bewertung und Entscheidung zu Informationssicherheitsereignissen |
| Organisatorische Kontrollen | Anhang A 5.26 | Anhang A 16.1.5 | Reaktion auf Informationssicherheitsvorfälle |
| Organisatorische Kontrollen | Anhang A 5.27 | Anhang A 16.1.6 | Aus Informationssicherheitsvorfällen lernen |
| Organisatorische Kontrollen | Anhang A 5.28 | Anhang A 16.1.7 | Beweissammlung |
| Organisatorische Kontrollen | Anhang A 5.29 |
Anhang A 17.1.1 Anhang A 17.1.2 Anhang A 17.1.3 |
Informationssicherheit bei Störungen |
| Organisatorische Kontrollen | Anhang A 5.30 | NEU | IKT-Bereitschaft für Geschäftskontinuität |
| Organisatorische Kontrollen | Anhang A 5.31 |
Anhang A 18.1.1 Anhang A 18.1.5 |
Rechtliche, gesetzliche, behördliche und vertragliche Anforderungen |
| Organisatorische Kontrollen | Anhang A 5.32 | Anhang A 18.1.2 | Rechte an geistigem Eigentum |
| Organisatorische Kontrollen | Anhang A 5.33 | Anhang A 18.1.3 | Schutz von Aufzeichnungen |
| Organisatorische Kontrollen | Anhang A 5.34 | Anhang A 18.1.4 | Datenschutz und Schutz personenbezogener Daten |
| Organisatorische Kontrollen | Anhang A 5.35 | Anhang A 18.2.1 | Unabhängige Überprüfung der Informationssicherheit |
| Organisatorische Kontrollen | Anhang A 5.36 |
Anhang A 18.2.2 Anhang A 18.2.3 |
Einhaltung von Richtlinien, Regeln und Standards für die Informationssicherheit |
| Organisatorische Kontrollen | Anhang A 5.37 | Anhang A 12.1.1 | Dokumentierte Betriebsabläufe |
| Anhang A Kontrolltyp | ISO/IEC 27001:2022 Anhang A Kennung | ISO/IEC 27001:2013 Anhang A Kennung | Anhang A Name |
|---|---|---|---|
| Menschenkontrollen | Anhang A 6.1 | Anhang A 7.1.1 | Rekrutierung |
| Menschenkontrollen | Anhang A 6.2 | Anhang A 7.1.2 | Allgemeine Geschäftsbedingungen |
| Menschenkontrollen | Anhang A 6.3 | Anhang A 7.2.2 | Informationssicherheitsbewusstsein, Bildung und Schulung |
| Menschenkontrollen | Anhang A 6.4 | Anhang A 7.2.3 | Disziplinarverfahren |
| Menschenkontrollen | Anhang A 6.5 | Anhang A 7.3.1 | Verantwortlichkeiten nach Beendigung oder Wechsel des Arbeitsverhältnisses |
| Menschenkontrollen | Anhang A 6.6 | Anhang A 13.2.4 | Vertraulichkeits- oder Geheimhaltungsvereinbarungen |
| Menschenkontrollen | Anhang A 6.7 | Anhang A 6.2.2 | Fernarbeit |
| Menschenkontrollen | Anhang A 6.8 |
Anhang A 16.1.2 Anhang A 16.1.3 |
Berichterstattung über Informationssicherheitsereignisse |
| Anhang A Kontrolltyp | ISO/IEC 27001:2022 Anhang A Kennung | ISO/IEC 27001:2013 Anhang A Kennung | Anhang A Name |
|---|---|---|---|
| Physikalische Kontrollen | Anhang A 7.1 | Anhang A 11.1.1 | Physische Sicherheitsbereiche |
| Physikalische Kontrollen | Anhang A 7.2 |
Anhang A 11.1.2 Anhang A 11.1.6 |
Physischer Eintritt |
| Physikalische Kontrollen | Anhang A 7.3 | Anhang A 11.1.3 | Sicherung von Büros, Räumen und Einrichtungen |
| Physikalische Kontrollen | Anhang A 7.4 | NEU | Physische Sicherheitsüberwachung |
| Physikalische Kontrollen | Anhang A 7.5 | Anhang A 11.1.4 | Schutz vor physischen und umweltbedingten Bedrohungen |
| Physikalische Kontrollen | Anhang A 7.6 | Anhang A 11.1.5 | Arbeiten in sicheren Bereichen |
| Physikalische Kontrollen | Anhang A 7.7 | Anhang A 11.2.9 | Klarer Schreibtisch und klarer Bildschirm |
| Physikalische Kontrollen | Anhang A 7.8 | Anhang A 11.2.1 | Standort und Schutz der Ausrüstung |
| Physikalische Kontrollen | Anhang A 7.9 | Anhang A 11.2.6 | Sicherheit von Vermögenswerten außerhalb des Betriebsgeländes |
| Physikalische Kontrollen | Anhang A 7.10 |
Anhang A 8.3.1 Anhang A 8.3.2 Anhang A 8.3.3 Anhang A 11.2.5 |
Speichermedien |
| Physikalische Kontrollen | Anhang A 7.11 | Anhang A 11.2.2 | Unterstützende Dienstprogramme |
| Physikalische Kontrollen | Anhang A 7.12 | Anhang A 11.2.3 | Verkabelungssicherheit |
| Physikalische Kontrollen | Anhang A 7.13 | Anhang A 11.2.4 | Wartung der Ausrüstung |
| Physikalische Kontrollen | Anhang A 7.14 | Anhang A 11.2.7 | Sichere Entsorgung oder Wiederverwendung von Geräten |
| Anhang A Kontrolltyp | ISO/IEC 27001:2022 Anhang A Kennung | ISO/IEC 27001:2013 Anhang A Kennung | Anhang A Name |
|---|---|---|---|
| Technologische Kontrollen | Anhang A 8.1 |
Anhang A 6.2.1 Anhang A 11.2.8 |
Benutzer-Endpunktgeräte |
| Technologische Kontrollen | Anhang A 8.2 | Anhang A 9.2.3 | Privilegierte Zugriffsrechte |
| Technologische Kontrollen | Anhang A 8.3 | Anhang A 9.4.1 | Beschränkung des Informationszugriffs |
| Technologische Kontrollen | Anhang A 8.4 | Anhang A 9.4.5 | Zugang zum Quellcode |
| Technologische Kontrollen | Anhang A 8.5 | Anhang A 9.4.2 | Sichere Authentifizierung |
| Technologische Kontrollen | Anhang A 8.6 | Anhang A 12.1.3 | Kapazitätsmanagement |
| Technologische Kontrollen | Anhang A 8.7 | Anhang A 12.2.1 | Schutz vor Malware |
| Technologische Kontrollen | Anhang A 8.8 |
Anhang A 12.6.1 Anhang A 18.2.3 |
Management technischer Schwachstellen |
| Technologische Kontrollen | Anhang A 8.9 | NEU | Configuration Management |
| Technologische Kontrollen | Anhang A 8.10 | NEU | Löschen von Informationen |
| Technologische Kontrollen | Anhang A 8.11 | NEU | Datenmaskierung |
| Technologische Kontrollen | Anhang A 8.12 | NEU | Verhinderung von Datenlecks |
| Technologische Kontrollen | Anhang A 8.13 | Anhang A 12.3.1 | Informationssicherung |
| Technologische Kontrollen | Anhang A 8.14 | Anhang A 17.2.1 | Redundanz von Informationsverarbeitungseinrichtungen |
| Technologische Kontrollen | Anhang A 8.15 |
Anhang A 12.4.1 Anhang A 12.4.2 Anhang A 12.4.3 |
Protokollierung |
| Technologische Kontrollen | Anhang A 8.16 | NEU | Überwachungsaktivitäten |
| Technologische Kontrollen | Anhang A 8.17 | Anhang A 12.4.4 | Uhrensynchronisation |
| Technologische Kontrollen | Anhang A 8.18 | Anhang A 9.4.4 | Nutzung privilegierter DienstprogrammeZugriffsrechte |
| Technologische Kontrollen | Anhang A 8.19 |
Anhang A 12.5.1 Anhang A 12.6.2 |
Installation von Software auf Betriebssystemen |
| Technologische Kontrollen | Anhang A 8.20 | Anhang A 13.1.1 | Netzwerksicherheit |
| Technologische Kontrollen | Anhang A 8.21 | Anhang A 13.1.2 | Sicherheit von Netzwerkdiensten |
| Technologische Kontrollen | Anhang A 8.22 | Anhang A 13.1.3 | Trennung von Netzwerken |
| Technologische Kontrollen | Anhang A 8.23 | NEU | Web-Filter |
| Technologische Kontrollen | Anhang A 8.24 |
Anhang A 10.1.1 Anhang A 10.1.2 |
Verwendung von Kryptographie |
| Technologische Kontrollen | Anhang A 8.25 | Anhang A 14.2.1 | Sicherer Entwicklungslebenszyklus |
| Technologische Kontrollen | Anhang A 8.26 |
Anhang A 14.1.2 Anhang A 14.1.3 |
Anforderungen an die Anwendungssicherheit |
| Technologische Kontrollen | Anhang A 8.27 | Anhang A 14.2.5 | Sichere Systemarchitektur und technische Prinzipien. Lernen aus Informationssicherheitsvorfällen. |
| Technologische Kontrollen | Anhang A 8.28 | NEU | Sichere Codierung |
| Technologische Kontrollen | Anhang A 8.29 |
Anhang A 14.2.8 Anhang A 14.2.9 |
Sicherheitstests in Entwicklung und Akzeptanz |
| Technologische Kontrollen | Anhang A 8.30 | Anhang A 14.2.7 | Ausgelagerte Entwicklung |
| Technologische Kontrollen | Anhang A 8.31 |
Anhang A 12.1.4 Anhang A 14.2.6 |
Trennung von Entwicklungs-, Test- und Produktionsumgebungen |
| Technologische Kontrollen | Anhang A 8.32 |
Anhang A 12.1.2 Anhang A 14.2.2 Anhang A 14.2.3 Anhang A 14.2.4 |
Change Control |
| Technologische Kontrollen | Anhang A 8.33 | Anhang A 14.3.1 | Testinformationen |
| Technologische Kontrollen | Anhang A 8.34 | Anhang A 12.7.1 | Schutz von Informationssystemen während Audittests |
Wie ISMS.online hilft
Die Implementierung und Einhaltung von ISO 27001:2022 ist mit unserer Schritt-für-Schritt-Checkliste, die Sie durch den gesamten Prozess führt, ganz einfach.
Ihr komplette Compliance-Lösung für ISO/IEC 27001:2022:
- Bis zu 81 % Fortschritt ab dem Moment der Anmeldung.
- Einfache und vollständige Compliance-Lösung für ISO 27001:2022.
Zu Demo anfordern, nehmen Sie noch heute Kontakt mit uns auf.