- Weitere Informationen finden Sie auch in den ISO 27002:2022 Kontrolle 8.22 .
- Weitere Informationen finden Sie auch in den ISO 27001:2013 Anhang A 13.1.3 .
ISO 27001 Anhang A 8.22: Stärkung der Sicherheit durch Netzwerktrennung
Wenn Cyberkriminelle Computersysteme, Dienste oder Geräte infiltrieren, beschränken sie sich nicht nur auf diese Vermögenswerte.
Sie nutzen die erste Infiltration, um in das gesamte Netzwerk eines Unternehmens einzudringen, sich Zugang zu sensiblen Daten zu verschaffen oder Ransomware-Angriffe durchzuführen.
Cyber-Gauner könnten nach einem erfolgreichen Phishing-Angriff die Anmeldedaten von HR-Mitarbeitern in einem Krankenhaus stehlen und ihnen so Zugang zu HR-Systemen verschaffen.
Über ihren Zugangspunkt können die Angreifer das Netzwerk durchqueren und Netzwerke mit vertraulichen Patientendaten aufdecken. Dieser Eingriff könnte zum Verlust von Daten führen, Betriebsstörungen verursachen oder sogar einem Ransomware-Angriff Tür und Tor öffnen.
Durch den Einsatz von Netzwerksegmentierungstechniken wie Firewalls, virtuellen Netzwerken oder Serverisolation könnte das Krankenhaus den unbefugten Zugriff auf vertrauliche Daten verhindern und die Folgen eines Verstoßes verringern.
ISO 27001:2022 Anhang A 8.22 beschreibt, wie Unternehmen geeignete Netzwerksegregationsmethoden anwenden und aufrechterhalten können, um Risiken für die Verfügbarkeit, Integrität und Vertraulichkeit von Informationsressourcen abzuwenden.
Zweck von ISO 27001:2022 Anhang A 8.22
ISO 27001:2022 Anhang A 8.22 ermöglicht es Organisationen, ihre IT-Netzwerke abhängig vom Grad der Sensibilität und Wichtigkeit in Subnetzwerke zu unterteilen und die Übertragung von Informationen zwischen diesen verschiedenen Subnetzwerken zu begrenzen.
Damit können Unternehmen verhindern, dass Malware und Viren von infizierten Netzwerken in Netzwerke mit sensiblen Daten gelangen.
Dies garantiert, dass Organisationen sicher die Vertraulichkeit, Integrität und Zugänglichkeit von Datenbeständen, die in wesentlichen Teilnetzen gespeichert sind.
ISO 27001 leicht gemacht
Ein Vorsprung von 81 % vom ersten Tag an
Wir haben die harte Arbeit für Sie erledigt und Ihnen vom Moment Ihrer Anmeldung an einen Vorsprung von 81 % verschafft. Sie müssen nur noch die Lücken ausfüllen.
Eigentum an Anlage A 8.22
Die Information Security Officer sollten für die Einhaltung von ISO 27001:2022 Anhang A 8.22 zur Verantwortung gezogen werden, der die Segmentierung von Netzwerken, Geräten und Systemen nach Risiken und die Anwendung von Netzwerksegregationstechniken und -verfahren erfordert.
Allgemeine Leitlinien zur Einhaltung von ISO 27001:2022 Anhang A 8.22
Organisationen sollten danach streben, bei der Einführung von Vorschriften zur Netzwerktrennung ein Gleichgewicht zwischen betrieblichen Notwendigkeiten und Sicherheitsbedenken zu erreichen.
ISO 27001:2022 Anhang A Control 8.22 bietet drei Empfehlungen, die beim Einrichten der Netzwerktrennung berücksichtigt werden sollten.
So unterteilen Sie das Netzwerk in kleinere Teilnetzwerke
Bei der Aufteilung des Netzwerks in kleinere Unterdomänen sollten Unternehmen die Sensibilität und Bedeutung jeder Netzwerkdomäne berücksichtigen. Abhängig von dieser Bewertung können Netzwerk-Subdomänen als „öffentliche Domänen“, „Desktop-Domänen“, „Server-Domänen“ oder „Systeme mit hohem Risiko“ gekennzeichnet werden.
Unternehmen sollten bei der Segmentierung ihres Netzwerks Geschäftsbereiche wie Personalwesen, Marketing und Finanzen berücksichtigen.
Unternehmen können diese beiden Kriterien auch zusammenführen und Netzwerk-Subdomänen Kategorien wie „Serverdomäne, die mit der Vertriebsabteilung verknüpft ist“ zuordnen.
Sicherheitsperimeter und Zugangskontrolle
Organisationen müssen die Grenzen jeder Netzwerk-Subdomäne explizit abgrenzen. Wenn zwischen zwei verschiedenen Netzwerkdomänen ein Zugriff erfolgen soll, sollte diese Verbindung auf der perimetrischen Ebene durch den Einsatz von Gateways wie Firewalls oder Filterroutern eingeschränkt werden.
Organisationen sollten die Sicherheitsanforderungen für jede Domäne bewerten, wenn sie eine Netzwerktrennung einrichten und Zugriff über Gateways gewähren.
Diese Bewertung muss im Einklang mit der in ISO 27001:2022 Anhang A 5.15 vorgeschriebenen Zugangskontrollrichtlinie durchgeführt werden, wobei Folgendes zu berücksichtigen ist:
- Die den Info-Assets zugewiesene Klassifizierung erfolgt auf welcher Ebene.
- Die Bedeutung der Informationen ist von größter Bedeutung.
- Kosten und Praktikabilität sind wichtige Faktoren bei der Entscheidung, welche Gateway-Technologie verwendet werden soll.
Drahtlose Netzwerke
ISO 27001:2022 In Anhang A 8.22 wird empfohlen, dass Organisationen bei der Erstellung von Netzwerksicherheitsparametern für drahtlose Netzwerke die folgenden Vorgehensweisen beachten:
- Bewerten Sie den Einsatz von Methoden zur Anpassung der Funkabdeckung zur Aufteilung drahtloser Netzwerke.
- Bei empfindlichen Netzwerken können Unternehmen alle WLAN-Zugriffsversuche als externe Verbindungen betrachten und den Zugriff auf interne Netzwerke verbieten, bis die Gateway-Steuerung die Genehmigung erteilt.
- Das Personal sollte seine eigenen Geräte nur im Einklang mit den Richtlinien der Organisation verwenden; Der Netzwerkzugang für Personal und Gäste sollte getrennt erfolgen.
- Für Besucher gelten hinsichtlich der WLAN-Nutzung die gleichen Regeln wie für Teammitglieder.
Befreien Sie sich von einem Berg an Tabellenkalkulationen
Integrieren, erweitern und skalieren Sie Ihre Compliance, ohne dass es zu Problemen kommt. IO gibt Ihnen die Widerstandsfähigkeit und das Vertrauen, um sicher zu wachsen.
Ergänzende Leitlinien zu ISO 27001:2022 Anhang A 8.22
Organisationen sollten sicherstellen, dass alle Geschäftspartnerschaften angemessenen Sicherheitsmaßnahmen unterliegen. Anhang A 8.22 empfiehlt Organisationen, bei der Zusammenarbeit mit Geschäftspartnern Maßnahmen zum Schutz ihres Netzwerks, ihrer IT-Geräte und anderer Informationseinrichtungen zu ergreifen.
Sensible Netzwerke können einem erhöhten Risiko unbefugten Zugriffs ausgesetzt sein. Um sich davor zu schützen, sollten Organisationen die entsprechenden Maßnahmen ergreifen.
Änderungen und Unterschiede zu ISO 27001:2013
ISO 27001:2022 Anhang A 8.22 ersetzt ISO 27001:2013 Anhang A 13.1.3 in der neuesten ISO-Revision.
Im Vergleich zu ISO 27001:2013 erfordert die ISO 27001:2022-Revision Folgendes für drahtlose Netzwerke:
- Wenn sich die Mitarbeiter an die Richtlinien der Organisation halten und nur ihre eigenen Geräte verwenden, sollte der drahtlose Netzwerkzugang für Mitarbeiter und Besucher getrennt gehalten werden.
- Gäste sollten den gleichen Einschränkungen und Kontrollen in Bezug auf WLAN unterliegen wie das Personal.
Tabelle aller ISO 27001:2022 Anhang A-Kontrollen
In der folgenden Tabelle finden Sie weitere Informationen zu jeder einzelnen ISO 27001:2022 Anhang A-Kontrolle.
| Anhang A Kontrolltyp | ISO/IEC 27001:2022 Anhang A Kennung | ISO/IEC 27001:2013 Anhang A Kennung | Anhang A Name |
|---|---|---|---|
| Organisatorische Kontrollen | Anhang A 5.1 |
Anhang A 5.1.1 Anhang A 5.1.2 |
Richtlinien zur Informationssicherheit |
| Organisatorische Kontrollen | Anhang A 5.2 | Anhang A 6.1.1 | Rollen und Verantwortlichkeiten im Bereich Informationssicherheit |
| Organisatorische Kontrollen | Anhang A 5.3 | Anhang A 6.1.2 | Aufgabentrennung |
| Organisatorische Kontrollen | Anhang A 5.4 | Anhang A 7.2.1 | Führungsaufgaben |
| Organisatorische Kontrollen | Anhang A 5.5 | Anhang A 6.1.3 | Kontakt mit Behörden |
| Organisatorische Kontrollen | Anhang A 5.6 | Anhang A 6.1.4 | Kontakt mit speziellen Interessengruppen |
| Organisatorische Kontrollen | Anhang A 5.7 | NEU | Threat Intelligence |
| Organisatorische Kontrollen | Anhang A 5.8 |
Anhang A 6.1.5 Anhang A 14.1.1 |
Informationssicherheit im Projektmanagement |
| Organisatorische Kontrollen | Anhang A 5.9 |
Anhang A 8.1.1 Anhang A 8.1.2 |
Inventar der Informationen und anderer damit verbundener Vermögenswerte |
| Organisatorische Kontrollen | Anhang A 5.10 |
Anhang A 8.1.3 Anhang A 8.2.3 |
Akzeptable Nutzung von Informationen und anderen damit verbundenen Vermögenswerten |
| Organisatorische Kontrollen | Anhang A 5.11 | Anhang A 8.1.4 | Rückgabe von Vermögenswerten |
| Organisatorische Kontrollen | Anhang A 5.12 | Anhang A 8.2.1 | Klassifizierung von Informationen |
| Organisatorische Kontrollen | Anhang A 5.13 | Anhang A 8.2.2 | Kennzeichnung von Informationen |
| Organisatorische Kontrollen | Anhang A 5.14 |
Anhang A 13.2.1 Anhang A 13.2.2 Anhang A 13.2.3 |
Informationsübertragung |
| Organisatorische Kontrollen | Anhang A 5.15 |
Anhang A 9.1.1 Anhang A 9.1.2 |
Zugangskontrolle |
| Organisatorische Kontrollen | Anhang A 5.16 | Anhang A 9.2.1 | Identitätsmanagement |
| Organisatorische Kontrollen | Anhang A 5.17 |
Anhang A 9.2.4 Anhang A 9.3.1 Anhang A 9.4.3 |
Authentifizierungsinformationen |
| Organisatorische Kontrollen | Anhang A 5.18 |
Anhang A 9.2.2 Anhang A 9.2.5 Anhang A 9.2.6 |
Zugangsrechte |
| Organisatorische Kontrollen | Anhang A 5.19 | Anhang A 15.1.1 | Informationssicherheit in Lieferantenbeziehungen |
| Organisatorische Kontrollen | Anhang A 5.20 | Anhang A 15.1.2 | Adressierung der Informationssicherheit in Lieferantenvereinbarungen |
| Organisatorische Kontrollen | Anhang A 5.21 | Anhang A 15.1.3 | Management der Informationssicherheit in der IKT-Lieferkette |
| Organisatorische Kontrollen | Anhang A 5.22 |
Anhang A 15.2.1 Anhang A 15.2.2 |
Überwachung, Überprüfung und Änderungsmanagement von Lieferantendienstleistungen |
| Organisatorische Kontrollen | Anhang A 5.23 | NEU | Informationssicherheit für die Nutzung von Cloud-Diensten |
| Organisatorische Kontrollen | Anhang A 5.24 | Anhang A 16.1.1 | Planung und Vorbereitung des Managements von Informationssicherheitsvorfällen |
| Organisatorische Kontrollen | Anhang A 5.25 | Anhang A 16.1.4 | Bewertung und Entscheidung zu Informationssicherheitsereignissen |
| Organisatorische Kontrollen | Anhang A 5.26 | Anhang A 16.1.5 | Reaktion auf Informationssicherheitsvorfälle |
| Organisatorische Kontrollen | Anhang A 5.27 | Anhang A 16.1.6 | Aus Informationssicherheitsvorfällen lernen |
| Organisatorische Kontrollen | Anhang A 5.28 | Anhang A 16.1.7 | Beweissammlung |
| Organisatorische Kontrollen | Anhang A 5.29 |
Anhang A 17.1.1 Anhang A 17.1.2 Anhang A 17.1.3 |
Informationssicherheit bei Störungen |
| Organisatorische Kontrollen | Anhang A 5.30 | NEU | IKT-Bereitschaft für Geschäftskontinuität |
| Organisatorische Kontrollen | Anhang A 5.31 |
Anhang A 18.1.1 Anhang A 18.1.5 |
Rechtliche, gesetzliche, behördliche und vertragliche Anforderungen |
| Organisatorische Kontrollen | Anhang A 5.32 | Anhang A 18.1.2 | Rechte an geistigem Eigentum |
| Organisatorische Kontrollen | Anhang A 5.33 | Anhang A 18.1.3 | Schutz von Aufzeichnungen |
| Organisatorische Kontrollen | Anhang A 5.34 | Anhang A 18.1.4 | Datenschutz und Schutz personenbezogener Daten |
| Organisatorische Kontrollen | Anhang A 5.35 | Anhang A 18.2.1 | Unabhängige Überprüfung der Informationssicherheit |
| Organisatorische Kontrollen | Anhang A 5.36 |
Anhang A 18.2.2 Anhang A 18.2.3 |
Einhaltung von Richtlinien, Regeln und Standards für die Informationssicherheit |
| Organisatorische Kontrollen | Anhang A 5.37 | Anhang A 12.1.1 | Dokumentierte Betriebsabläufe |
| Anhang A Kontrolltyp | ISO/IEC 27001:2022 Anhang A Kennung | ISO/IEC 27001:2013 Anhang A Kennung | Anhang A Name |
|---|---|---|---|
| Menschenkontrollen | Anhang A 6.1 | Anhang A 7.1.1 | Rekrutierung |
| Menschenkontrollen | Anhang A 6.2 | Anhang A 7.1.2 | Allgemeine Geschäftsbedingungen |
| Menschenkontrollen | Anhang A 6.3 | Anhang A 7.2.2 | Informationssicherheitsbewusstsein, Bildung und Schulung |
| Menschenkontrollen | Anhang A 6.4 | Anhang A 7.2.3 | Disziplinarverfahren |
| Menschenkontrollen | Anhang A 6.5 | Anhang A 7.3.1 | Verantwortlichkeiten nach Beendigung oder Wechsel des Arbeitsverhältnisses |
| Menschenkontrollen | Anhang A 6.6 | Anhang A 13.2.4 | Vertraulichkeits- oder Geheimhaltungsvereinbarungen |
| Menschenkontrollen | Anhang A 6.7 | Anhang A 6.2.2 | Fernarbeit |
| Menschenkontrollen | Anhang A 6.8 |
Anhang A 16.1.2 Anhang A 16.1.3 |
Berichterstattung über Informationssicherheitsereignisse |
| Anhang A Kontrolltyp | ISO/IEC 27001:2022 Anhang A Kennung | ISO/IEC 27001:2013 Anhang A Kennung | Anhang A Name |
|---|---|---|---|
| Physikalische Kontrollen | Anhang A 7.1 | Anhang A 11.1.1 | Physische Sicherheitsbereiche |
| Physikalische Kontrollen | Anhang A 7.2 |
Anhang A 11.1.2 Anhang A 11.1.6 |
Physischer Eintritt |
| Physikalische Kontrollen | Anhang A 7.3 | Anhang A 11.1.3 | Sicherung von Büros, Räumen und Einrichtungen |
| Physikalische Kontrollen | Anhang A 7.4 | NEU | Physische Sicherheitsüberwachung |
| Physikalische Kontrollen | Anhang A 7.5 | Anhang A 11.1.4 | Schutz vor physischen und umweltbedingten Bedrohungen |
| Physikalische Kontrollen | Anhang A 7.6 | Anhang A 11.1.5 | Arbeiten in sicheren Bereichen |
| Physikalische Kontrollen | Anhang A 7.7 | Anhang A 11.2.9 | Klarer Schreibtisch und klarer Bildschirm |
| Physikalische Kontrollen | Anhang A 7.8 | Anhang A 11.2.1 | Standort und Schutz der Ausrüstung |
| Physikalische Kontrollen | Anhang A 7.9 | Anhang A 11.2.6 | Sicherheit von Vermögenswerten außerhalb des Betriebsgeländes |
| Physikalische Kontrollen | Anhang A 7.10 |
Anhang A 8.3.1 Anhang A 8.3.2 Anhang A 8.3.3 Anhang A 11.2.5 |
Speichermedien |
| Physikalische Kontrollen | Anhang A 7.11 | Anhang A 11.2.2 | Unterstützende Dienstprogramme |
| Physikalische Kontrollen | Anhang A 7.12 | Anhang A 11.2.3 | Verkabelungssicherheit |
| Physikalische Kontrollen | Anhang A 7.13 | Anhang A 11.2.4 | Wartung der Ausrüstung |
| Physikalische Kontrollen | Anhang A 7.14 | Anhang A 11.2.7 | Sichere Entsorgung oder Wiederverwendung von Geräten |
| Anhang A Kontrolltyp | ISO/IEC 27001:2022 Anhang A Kennung | ISO/IEC 27001:2013 Anhang A Kennung | Anhang A Name |
|---|---|---|---|
| Technologische Kontrollen | Anhang A 8.1 |
Anhang A 6.2.1 Anhang A 11.2.8 |
Benutzer-Endpunktgeräte |
| Technologische Kontrollen | Anhang A 8.2 | Anhang A 9.2.3 | Privilegierte Zugriffsrechte |
| Technologische Kontrollen | Anhang A 8.3 | Anhang A 9.4.1 | Beschränkung des Informationszugriffs |
| Technologische Kontrollen | Anhang A 8.4 | Anhang A 9.4.5 | Zugang zum Quellcode |
| Technologische Kontrollen | Anhang A 8.5 | Anhang A 9.4.2 | Sichere Authentifizierung |
| Technologische Kontrollen | Anhang A 8.6 | Anhang A 12.1.3 | Kapazitätsmanagement |
| Technologische Kontrollen | Anhang A 8.7 | Anhang A 12.2.1 | Schutz vor Malware |
| Technologische Kontrollen | Anhang A 8.8 |
Anhang A 12.6.1 Anhang A 18.2.3 |
Management technischer Schwachstellen |
| Technologische Kontrollen | Anhang A 8.9 | NEU | Configuration Management |
| Technologische Kontrollen | Anhang A 8.10 | NEU | Löschen von Informationen |
| Technologische Kontrollen | Anhang A 8.11 | NEU | Datenmaskierung |
| Technologische Kontrollen | Anhang A 8.12 | NEU | Verhinderung von Datenlecks |
| Technologische Kontrollen | Anhang A 8.13 | Anhang A 12.3.1 | Informationssicherung |
| Technologische Kontrollen | Anhang A 8.14 | Anhang A 17.2.1 | Redundanz von Informationsverarbeitungseinrichtungen |
| Technologische Kontrollen | Anhang A 8.15 |
Anhang A 12.4.1 Anhang A 12.4.2 Anhang A 12.4.3 |
Protokollierung |
| Technologische Kontrollen | Anhang A 8.16 | NEU | Überwachungsaktivitäten |
| Technologische Kontrollen | Anhang A 8.17 | Anhang A 12.4.4 | Uhrensynchronisation |
| Technologische Kontrollen | Anhang A 8.18 | Anhang A 9.4.4 | Nutzung privilegierter DienstprogrammeZugriffsrechte |
| Technologische Kontrollen | Anhang A 8.19 |
Anhang A 12.5.1 Anhang A 12.6.2 |
Installation von Software auf Betriebssystemen |
| Technologische Kontrollen | Anhang A 8.20 | Anhang A 13.1.1 | Netzwerksicherheit |
| Technologische Kontrollen | Anhang A 8.21 | Anhang A 13.1.2 | Sicherheit von Netzwerkdiensten |
| Technologische Kontrollen | Anhang A 8.22 | Anhang A 13.1.3 | Trennung von Netzwerken |
| Technologische Kontrollen | Anhang A 8.23 | NEU | Web-Filter |
| Technologische Kontrollen | Anhang A 8.24 |
Anhang A 10.1.1 Anhang A 10.1.2 |
Verwendung von Kryptographie |
| Technologische Kontrollen | Anhang A 8.25 | Anhang A 14.2.1 | Sicherer Entwicklungslebenszyklus |
| Technologische Kontrollen | Anhang A 8.26 |
Anhang A 14.1.2 Anhang A 14.1.3 |
Anforderungen an die Anwendungssicherheit |
| Technologische Kontrollen | Anhang A 8.27 | Anhang A 14.2.5 | Sichere Systemarchitektur und technische Prinzipien. Lernen aus Informationssicherheitsvorfällen. |
| Technologische Kontrollen | Anhang A 8.28 | NEU | Sichere Codierung |
| Technologische Kontrollen | Anhang A 8.29 |
Anhang A 14.2.8 Anhang A 14.2.9 |
Sicherheitstests in Entwicklung und Akzeptanz |
| Technologische Kontrollen | Anhang A 8.30 | Anhang A 14.2.7 | Ausgelagerte Entwicklung |
| Technologische Kontrollen | Anhang A 8.31 |
Anhang A 12.1.4 Anhang A 14.2.6 |
Trennung von Entwicklungs-, Test- und Produktionsumgebungen |
| Technologische Kontrollen | Anhang A 8.32 |
Anhang A 12.1.2 Anhang A 14.2.2 Anhang A 14.2.3 Anhang A 14.2.4 |
Change Control |
| Technologische Kontrollen | Anhang A 8.33 | Anhang A 14.3.1 | Testinformationen |
| Technologische Kontrollen | Anhang A 8.34 | Anhang A 12.7.1 | Schutz von Informationssystemen während Audittests |
Wie ISMS.online hilft
ISMS.Online ermöglicht Ihnen:
- Dokumentieren Sie Prozesse einfach mit dieser benutzerfreundlichen Oberfläche. Es ist keine Softwareinstallation auf Ihrem Computer oder Netzwerk erforderlich.
- Optimieren Sie Ihr Risikobewertungsverfahren, indem Sie es automatisieren.
- Erreichen Sie Compliance ganz einfach mithilfe von Online-Berichten und Checklisten.
- Halten Sie Ihre Fortschritte auf dem Weg zur Zertifizierung fest.
ISMS.online bietet eine umfassende Reihe von Funktionen, die Organisationen und Unternehmen dabei unterstützen, der Branche gerecht zu werden ISO 27002 und/oder ISO 27001:2022 ISMS-Standard.
Nehmen Sie Kontakt mit uns auf eine Demonstration organisieren.