- Weitere Informationen finden Sie auch in den ISO 27002:2022 Kontrolle 7.9 .
- Weitere Informationen finden Sie auch in den ISO 27001:2013 Anhang A 11.2.6 .
ISO 27001:2022 Kontrolle 7.9 – Sicherheit von Vermögenswerten außerhalb des Büros
Wenn Geräte, die wertvolle Informationsressourcen enthalten, vom physischen Standort des Unternehmens entfernt werden, sind sie anfälliger für Beschädigung, Diebstahl, Verlust, Zerstörung oder Sicherheitsverletzungen.
Die physischen Sicherheitskontrollen innerhalb der Einrichtungen einer Organisation sind nicht wirksam, sodass ihre Vermögenswerte außerhalb des Standorts Bedrohungen wie physischen Risiken und böswilligen Personen ausgesetzt sind, die versuchen, sich unbefugten Zugriff zu verschaffen.
Mitarbeiter Arbeiten aus der Ferne können Unternehmenscomputer mit vertraulichen Daten aus dem Unternehmen mitnehmen, in einem Café, in der Hotellobby usw. arbeiten, eine Verbindung zu ungesichertem öffentlichem WLAN herstellen und ihre Geräte unbeaufsichtigt lassen. Diese Aktionen stellen ein Risiko für die Sicherheit, Vertraulichkeit, Integrität und Verfügbarkeit der auf den Geräten gespeicherten Informationen dar.
Organisationen sollten sicherstellen, dass Geräte, die außerhalb des Betriebsgeländes mitgenommen werden, sicher bleiben.
ISO 27001:2022 Anhang A 7.9 beschreibt, wie Organisationen die Sicherheit von Geräten gewährleisten können, die sich außerhalb des Hauptstandorts befinden und Informationsressourcen hosten. Um dies zu erreichen, müssen sie geeignete Kontrollen und Verfahren einrichten.
Zweck von ISO 27001:2022 Anhang A 7.9
ISO 27001:2022 Anhang A 7.9 ermöglicht es Organisationen, die Sicherheit von in Hardware untergebrachten Informationsressourcen zu gewährleisten, indem sie zwei unterschiedliche Risiken verhindern:
- Minimierung des Risikos, dass Datenbestände in externen Geräten verloren gehen, beschädigt, zerstört oder offengelegt werden.
- Unterbrechung des Unternehmensbetriebs vermeiden Datenverarbeitung Operationen vor dem Verstoß gegen externe Geräte.
ISO 27001 leicht gemacht
Ein Vorsprung von 81 % vom ersten Tag an
Wir haben die harte Arbeit für Sie erledigt und Ihnen vom Moment Ihrer Anmeldung an einen Vorsprung von 81 % verschafft. Sie müssen nur noch die Lücken ausfüllen.
Eigentum an Anlage A 7.9
ISO 27001:2022 Anhang A 7.9 verlangt von Organisationen die Einrichtung und Umsetzung von Protokollen und Vorschriften, die alle Geräte abdecken, die sich im Besitz des Unternehmens befinden oder im Namen des Unternehmens verwendet werden. Darüber hinaus ist es für den wirksamen Schutz externer Geräte von entscheidender Bedeutung, dass ein Bestandsverzeichnis erstellt wird und das obere Management die Verwendung persönlicher Geräte genehmigt.
Das Informationssicherheits-Manager sollten sich mit dem Management und den Eigentümern von Vermögenswerten beraten und für die Entwicklung, Durchführung und Aufrechterhaltung von Verfahren und Maßnahmen verantwortlich sein, um die Sicherheit von Geräten zu gewährleisten, die aus dem Unternehmensgelände mitgenommen werden.
Allgemeine Leitlinien zur Einhaltung von ISO 27001:2022 Anhang A 7.9
Anhang A In Abschnitt 7.9 werden sechs Anforderungen aufgeführt, die Organisationen bei der Erstellung und Anwendung von Maßnahmen und Protokollen zum Schutz von aus dem Betriebsgelände entfernten Vermögenswerten beachten müssen:
- Vom Unternehmen mitgenommene Computer, USB-Geräte, Festplatten und Monitore sollten niemals unbeaufsichtigt in öffentlichen Bereichen wie Cafés oder an unsicheren Orten gelassen werden.
- Beachten Sie stets die Anweisungen und Vorgaben des Geräteherstellers zum physischen Schutz des Geräts. Befolgen Sie beispielsweise deren Anweisungen zum Schutz des Geräts vor Wasser, Hitze, elektromagnetischen Feldern und Staub.
- Mitarbeiter und andere Organisationen, die Computergeräte außerhalb des Unternehmensgeländes mitnehmen, sollten ein Protokoll mit detaillierten Angaben zur Aufbewahrungskette führen. Dieses Protokoll sollte mindestens die Namen der für das Gerät verantwortlichen Personen und deren Organisation enthalten.
- Wenn eine Organisation feststellt, dass eine Genehmigung für die Entfernung von Geräten aus dem Firmengelände notwendig und praktisch ist, sollte sie ein Verfahren festlegen. Dieses Verfahren sollte die Mitnahme bestimmter Geräte außerhalb des Standorts abdecken und alle Entfernungsmaßnahmen protokollieren, um der Organisation einen Überblick zu geben Prüfpfad.
- Es müssen unbedingt die notwendigen Maßnahmen ergriffen werden, um die Gefahr einer unbefugten Einsichtnahme von Daten auf Bildschirmen im öffentlichen Verkehr abzuwenden.
- Die Organisation sollte Standortverfolgungstools installieren und den Fernzugriff ermöglichen, damit der Standort des Geräts überwacht und bei Bedarf alle auf dem Gerät gespeicherten Daten aus der Ferne gelöscht werden können.
Befreien Sie sich von einem Berg an Tabellenkalkulationen
Integrieren, erweitern und skalieren Sie Ihre Compliance, ohne dass es zu Problemen kommt. IO gibt Ihnen die Widerstandsfähigkeit und das Vertrauen, um sicher zu wachsen.
Ergänzende Hinweise zu Anhang A 7.9
ISO 27001:2022 Anhang A 7.9 legt Anforderungen zum Schutz von Geräten fest, die dauerhaft außerhalb des Firmengeländes installiert sind.
Diese Ausrüstung könnte aus Antennen und Geldautomaten bestehen.
Angesichts des erhöhten Risikos der Beschädigung und des Verlusts dieser Ausrüstung müssen Organisationen gemäß Anhang A 7.9 Folgendes berücksichtigen, wenn sie diese Ausrüstung außerhalb des Standorts schützen:
- ISO 27001:2022 Anhang A 7.4, Physische Sicherheitsüberwachung, sollte berücksichtigt werden.
- Stellen Sie sicher, dass ISO 27001:2022 Anhang A 7.5 berücksichtigt wird, was den Schutz vor Umwelt- und physischen Bedrohungen betrifft.
- Es sollten Zugangskontrollen geschaffen und geeignete Maßnahmen ergriffen werden, um Störungen zu verhindern.
- Erstellen Sie logische Zugriffskontrollen und wenden Sie sie an.
Anhang A 7.9 empfiehlt Organisationen, Anhang A 6.7 und Anhang A 8.1 zu berücksichtigen, wenn sie Maßnahmen zum Schutz von Geräten und Ausrüstung formulieren und umsetzen.
Änderungen und Unterschiede zu ISO 27001:2013
ISO 27001:2022 Anhang A 7.9 ersetzt ISO 27001:2013 Anhang A 11.2.6.
Es gibt drei Hauptunterschiede, die beachtet werden sollten:
ISO 27001:2022 Annex A Control 7.9 erfordert einen umfangreichen Satz an Anweisungen.
Anhang A 7.9 führt im Vergleich zur ISO 27001:2013-Version zwei neue Anforderungen ein:
- Es sollten geeignete Maßnahmen ergriffen werden, um zu verhindern, dass Unbefugte die in öffentlichen Verkehrsmitteln angezeigten Informationen sehen können.
- Standortüberwachung und Fernzugriff sollten aktiviert sein, um die Verfolgung des Geräts zu ermöglichen und bei Bedarf die Möglichkeit zu haben, auf dem Gerät gespeicherte Informationen aus der Ferne zu löschen.
Anhang A 7.9 führt neue Kriterien für Geräte ein, die dauerhaft außerhalb des Betriebsgeländes aufgestellt sind.
Im Vergleich zur Version ISO 27001:2013 bietet ISO 27001:2022 Anhang A 7.9 eindeutige Hinweise zum Schutz von Geräten, die an einem externen Standort befestigt werden.
Dabei kann es sich um Antennen und Geldautomaten handeln.
Um Risiken zu reduzieren, wird das Verbot der Fernarbeit eingeführt.
In der Version ISO 27001:2013 wurde klargestellt, dass Unternehmen ihren Mitarbeitern die Fernarbeit verbieten können, wenn dies mit den ermittelten Risikostufen vereinbar ist. In der Version ISO 27001:2022 wird dies hingegen nicht erwähnt.
Tabelle aller ISO 27001:2022 Anhang A-Kontrollen
In der folgenden Tabelle finden Sie weitere Informationen zu jeder einzelnen ISO 27001:2022 Anhang A-Kontrolle.
| Anhang A Kontrolltyp | ISO/IEC 27001:2022 Anhang A Kennung | ISO/IEC 27001:2013 Anhang A Kennung | Anhang A Name |
|---|---|---|---|
| Organisatorische Kontrollen | Anhang A 5.1 |
Anhang A 5.1.1 Anhang A 5.1.2 |
Richtlinien zur Informationssicherheit |
| Organisatorische Kontrollen | Anhang A 5.2 | Anhang A 6.1.1 | Rollen und Verantwortlichkeiten im Bereich Informationssicherheit |
| Organisatorische Kontrollen | Anhang A 5.3 | Anhang A 6.1.2 | Aufgabentrennung |
| Organisatorische Kontrollen | Anhang A 5.4 | Anhang A 7.2.1 | Führungsaufgaben |
| Organisatorische Kontrollen | Anhang A 5.5 | Anhang A 6.1.3 | Kontakt mit Behörden |
| Organisatorische Kontrollen | Anhang A 5.6 | Anhang A 6.1.4 | Kontakt mit speziellen Interessengruppen |
| Organisatorische Kontrollen | Anhang A 5.7 | NEU | Threat Intelligence |
| Organisatorische Kontrollen | Anhang A 5.8 |
Anhang A 6.1.5 Anhang A 14.1.1 |
Informationssicherheit im Projektmanagement |
| Organisatorische Kontrollen | Anhang A 5.9 |
Anhang A 8.1.1 Anhang A 8.1.2 |
Inventar der Informationen und anderer damit verbundener Vermögenswerte |
| Organisatorische Kontrollen | Anhang A 5.10 |
Anhang A 8.1.3 Anhang A 8.2.3 |
Akzeptable Nutzung von Informationen und anderen damit verbundenen Vermögenswerten |
| Organisatorische Kontrollen | Anhang A 5.11 | Anhang A 8.1.4 | Rückgabe von Vermögenswerten |
| Organisatorische Kontrollen | Anhang A 5.12 | Anhang A 8.2.1 | Klassifizierung von Informationen |
| Organisatorische Kontrollen | Anhang A 5.13 | Anhang A 8.2.2 | Kennzeichnung von Informationen |
| Organisatorische Kontrollen | Anhang A 5.14 |
Anhang A 13.2.1 Anhang A 13.2.2 Anhang A 13.2.3 |
Informationsübertragung |
| Organisatorische Kontrollen | Anhang A 5.15 |
Anhang A 9.1.1 Anhang A 9.1.2 |
Zugangskontrolle |
| Organisatorische Kontrollen | Anhang A 5.16 | Anhang A 9.2.1 | Identitätsmanagement |
| Organisatorische Kontrollen | Anhang A 5.17 |
Anhang A 9.2.4 Anhang A 9.3.1 Anhang A 9.4.3 |
Authentifizierungsinformationen |
| Organisatorische Kontrollen | Anhang A 5.18 |
Anhang A 9.2.2 Anhang A 9.2.5 Anhang A 9.2.6 |
Zugangsrechte |
| Organisatorische Kontrollen | Anhang A 5.19 | Anhang A 15.1.1 | Informationssicherheit in Lieferantenbeziehungen |
| Organisatorische Kontrollen | Anhang A 5.20 | Anhang A 15.1.2 | Adressierung der Informationssicherheit in Lieferantenvereinbarungen |
| Organisatorische Kontrollen | Anhang A 5.21 | Anhang A 15.1.3 | Management der Informationssicherheit in der IKT-Lieferkette |
| Organisatorische Kontrollen | Anhang A 5.22 |
Anhang A 15.2.1 Anhang A 15.2.2 |
Überwachung, Überprüfung und Änderungsmanagement von Lieferantendienstleistungen |
| Organisatorische Kontrollen | Anhang A 5.23 | NEU | Informationssicherheit für die Nutzung von Cloud-Diensten |
| Organisatorische Kontrollen | Anhang A 5.24 | Anhang A 16.1.1 | Planung und Vorbereitung des Managements von Informationssicherheitsvorfällen |
| Organisatorische Kontrollen | Anhang A 5.25 | Anhang A 16.1.4 | Bewertung und Entscheidung zu Informationssicherheitsereignissen |
| Organisatorische Kontrollen | Anhang A 5.26 | Anhang A 16.1.5 | Reaktion auf Informationssicherheitsvorfälle |
| Organisatorische Kontrollen | Anhang A 5.27 | Anhang A 16.1.6 | Aus Informationssicherheitsvorfällen lernen |
| Organisatorische Kontrollen | Anhang A 5.28 | Anhang A 16.1.7 | Beweissammlung |
| Organisatorische Kontrollen | Anhang A 5.29 |
Anhang A 17.1.1 Anhang A 17.1.2 Anhang A 17.1.3 |
Informationssicherheit bei Störungen |
| Organisatorische Kontrollen | Anhang A 5.30 | NEU | IKT-Bereitschaft für Geschäftskontinuität |
| Organisatorische Kontrollen | Anhang A 5.31 |
Anhang A 18.1.1 Anhang A 18.1.5 |
Rechtliche, gesetzliche, behördliche und vertragliche Anforderungen |
| Organisatorische Kontrollen | Anhang A 5.32 | Anhang A 18.1.2 | Rechte an geistigem Eigentum |
| Organisatorische Kontrollen | Anhang A 5.33 | Anhang A 18.1.3 | Schutz von Aufzeichnungen |
| Organisatorische Kontrollen | Anhang A 5.34 | Anhang A 18.1.4 | Datenschutz und Schutz personenbezogener Daten |
| Organisatorische Kontrollen | Anhang A 5.35 | Anhang A 18.2.1 | Unabhängige Überprüfung der Informationssicherheit |
| Organisatorische Kontrollen | Anhang A 5.36 |
Anhang A 18.2.2 Anhang A 18.2.3 |
Einhaltung von Richtlinien, Regeln und Standards für die Informationssicherheit |
| Organisatorische Kontrollen | Anhang A 5.37 | Anhang A 12.1.1 | Dokumentierte Betriebsabläufe |
| Anhang A Kontrolltyp | ISO/IEC 27001:2022 Anhang A Kennung | ISO/IEC 27001:2013 Anhang A Kennung | Anhang A Name |
|---|---|---|---|
| Menschenkontrollen | Anhang A 6.1 | Anhang A 7.1.1 | Rekrutierung |
| Menschenkontrollen | Anhang A 6.2 | Anhang A 7.1.2 | Allgemeine Geschäftsbedingungen |
| Menschenkontrollen | Anhang A 6.3 | Anhang A 7.2.2 | Informationssicherheitsbewusstsein, Bildung und Schulung |
| Menschenkontrollen | Anhang A 6.4 | Anhang A 7.2.3 | Disziplinarverfahren |
| Menschenkontrollen | Anhang A 6.5 | Anhang A 7.3.1 | Verantwortlichkeiten nach Beendigung oder Wechsel des Arbeitsverhältnisses |
| Menschenkontrollen | Anhang A 6.6 | Anhang A 13.2.4 | Vertraulichkeits- oder Geheimhaltungsvereinbarungen |
| Menschenkontrollen | Anhang A 6.7 | Anhang A 6.2.2 | Fernarbeit |
| Menschenkontrollen | Anhang A 6.8 |
Anhang A 16.1.2 Anhang A 16.1.3 |
Berichterstattung über Informationssicherheitsereignisse |
| Anhang A Kontrolltyp | ISO/IEC 27001:2022 Anhang A Kennung | ISO/IEC 27001:2013 Anhang A Kennung | Anhang A Name |
|---|---|---|---|
| Physikalische Kontrollen | Anhang A 7.1 | Anhang A 11.1.1 | Physische Sicherheitsbereiche |
| Physikalische Kontrollen | Anhang A 7.2 |
Anhang A 11.1.2 Anhang A 11.1.6 |
Physischer Eintritt |
| Physikalische Kontrollen | Anhang A 7.3 | Anhang A 11.1.3 | Sicherung von Büros, Räumen und Einrichtungen |
| Physikalische Kontrollen | Anhang A 7.4 | NEU | Physische Sicherheitsüberwachung |
| Physikalische Kontrollen | Anhang A 7.5 | Anhang A 11.1.4 | Schutz vor physischen und umweltbedingten Bedrohungen |
| Physikalische Kontrollen | Anhang A 7.6 | Anhang A 11.1.5 | Arbeiten in sicheren Bereichen |
| Physikalische Kontrollen | Anhang A 7.7 | Anhang A 11.2.9 | Klarer Schreibtisch und klarer Bildschirm |
| Physikalische Kontrollen | Anhang A 7.8 | Anhang A 11.2.1 | Standort und Schutz der Ausrüstung |
| Physikalische Kontrollen | Anhang A 7.9 | Anhang A 11.2.6 | Sicherheit von Vermögenswerten außerhalb des Betriebsgeländes |
| Physikalische Kontrollen | Anhang A 7.10 |
Anhang A 8.3.1 Anhang A 8.3.2 Anhang A 8.3.3 Anhang A 11.2.5 |
Speichermedien |
| Physikalische Kontrollen | Anhang A 7.11 | Anhang A 11.2.2 | Unterstützende Dienstprogramme |
| Physikalische Kontrollen | Anhang A 7.12 | Anhang A 11.2.3 | Verkabelungssicherheit |
| Physikalische Kontrollen | Anhang A 7.13 | Anhang A 11.2.4 | Wartung der Ausrüstung |
| Physikalische Kontrollen | Anhang A 7.14 | Anhang A 11.2.7 | Sichere Entsorgung oder Wiederverwendung von Geräten |
| Anhang A Kontrolltyp | ISO/IEC 27001:2022 Anhang A Kennung | ISO/IEC 27001:2013 Anhang A Kennung | Anhang A Name |
|---|---|---|---|
| Technologische Kontrollen | Anhang A 8.1 |
Anhang A 6.2.1 Anhang A 11.2.8 |
Benutzer-Endpunktgeräte |
| Technologische Kontrollen | Anhang A 8.2 | Anhang A 9.2.3 | Privilegierte Zugriffsrechte |
| Technologische Kontrollen | Anhang A 8.3 | Anhang A 9.4.1 | Beschränkung des Informationszugriffs |
| Technologische Kontrollen | Anhang A 8.4 | Anhang A 9.4.5 | Zugang zum Quellcode |
| Technologische Kontrollen | Anhang A 8.5 | Anhang A 9.4.2 | Sichere Authentifizierung |
| Technologische Kontrollen | Anhang A 8.6 | Anhang A 12.1.3 | Kapazitätsmanagement |
| Technologische Kontrollen | Anhang A 8.7 | Anhang A 12.2.1 | Schutz vor Malware |
| Technologische Kontrollen | Anhang A 8.8 |
Anhang A 12.6.1 Anhang A 18.2.3 |
Management technischer Schwachstellen |
| Technologische Kontrollen | Anhang A 8.9 | NEU | Configuration Management |
| Technologische Kontrollen | Anhang A 8.10 | NEU | Löschen von Informationen |
| Technologische Kontrollen | Anhang A 8.11 | NEU | Datenmaskierung |
| Technologische Kontrollen | Anhang A 8.12 | NEU | Verhinderung von Datenlecks |
| Technologische Kontrollen | Anhang A 8.13 | Anhang A 12.3.1 | Informationssicherung |
| Technologische Kontrollen | Anhang A 8.14 | Anhang A 17.2.1 | Redundanz von Informationsverarbeitungseinrichtungen |
| Technologische Kontrollen | Anhang A 8.15 |
Anhang A 12.4.1 Anhang A 12.4.2 Anhang A 12.4.3 |
Protokollierung |
| Technologische Kontrollen | Anhang A 8.16 | NEU | Überwachungsaktivitäten |
| Technologische Kontrollen | Anhang A 8.17 | Anhang A 12.4.4 | Uhrensynchronisation |
| Technologische Kontrollen | Anhang A 8.18 | Anhang A 9.4.4 | Nutzung privilegierter DienstprogrammeZugriffsrechte |
| Technologische Kontrollen | Anhang A 8.19 |
Anhang A 12.5.1 Anhang A 12.6.2 |
Installation von Software auf Betriebssystemen |
| Technologische Kontrollen | Anhang A 8.20 | Anhang A 13.1.1 | Netzwerksicherheit |
| Technologische Kontrollen | Anhang A 8.21 | Anhang A 13.1.2 | Sicherheit von Netzwerkdiensten |
| Technologische Kontrollen | Anhang A 8.22 | Anhang A 13.1.3 | Trennung von Netzwerken |
| Technologische Kontrollen | Anhang A 8.23 | NEU | Web-Filter |
| Technologische Kontrollen | Anhang A 8.24 |
Anhang A 10.1.1 Anhang A 10.1.2 |
Verwendung von Kryptographie |
| Technologische Kontrollen | Anhang A 8.25 | Anhang A 14.2.1 | Sicherer Entwicklungslebenszyklus |
| Technologische Kontrollen | Anhang A 8.26 |
Anhang A 14.1.2 Anhang A 14.1.3 |
Anforderungen an die Anwendungssicherheit |
| Technologische Kontrollen | Anhang A 8.27 | Anhang A 14.2.5 | Sichere Systemarchitektur und technische Prinzipien. Lernen aus Informationssicherheitsvorfällen. |
| Technologische Kontrollen | Anhang A 8.28 | NEU | Sichere Codierung |
| Technologische Kontrollen | Anhang A 8.29 |
Anhang A 14.2.8 Anhang A 14.2.9 |
Sicherheitstests in Entwicklung und Akzeptanz |
| Technologische Kontrollen | Anhang A 8.30 | Anhang A 14.2.7 | Ausgelagerte Entwicklung |
| Technologische Kontrollen | Anhang A 8.31 |
Anhang A 12.1.4 Anhang A 14.2.6 |
Trennung von Entwicklungs-, Test- und Produktionsumgebungen |
| Technologische Kontrollen | Anhang A 8.32 |
Anhang A 12.1.2 Anhang A 14.2.2 Anhang A 14.2.3 Anhang A 14.2.4 |
Change Control |
| Technologische Kontrollen | Anhang A 8.33 | Anhang A 14.3.1 | Testinformationen |
| Technologische Kontrollen | Anhang A 8.34 | Anhang A 12.7.1 | Schutz von Informationssystemen während Audittests |
Wie ISMS.online hilft
ISMS.online ist das perfekte Tool für die Verwaltung einer ISO 27001:2022-Implementierung. Es ist darauf zugeschnitten, Unternehmen bei der Implementierung eines zu unterstützen Informationssicherheits-Managementsystem (ISMS) das den Standards der ISO 27001:2022 entspricht.
Die Plattform nutzt einen risikobasierten Ansatz sowie erstklassige Best Practices und Vorlagen, um dabei zu helfen, die Risiken zu erkennen, mit denen Ihr Unternehmen konfrontiert ist, und die notwendigen Kontrollen zu deren Bewältigung durchzuführen. Auf diese Weise können Sie sowohl Ihr Risiko als auch die Compliance-Kosten effektiv minimieren.
Kontaktieren Sie uns jetzt, um Vereinbaren Sie eine Vorführung.