- Weitere Informationen finden Sie auch in den ISO 27002:2022 Kontrolle 8.27 .
- Weitere Informationen finden Sie auch in den ISO 27001:2013 Anhang A 14.2.5 .
ISO 27001:2022 Control 8.27 – Stärkung der Systemsicherheit von Grund auf
ISO 27001:2022 Anhang A 8.27 legt fest, dass Organisationen eine sichere Systemarchitektur und technische Grundsätze implementieren müssen, um sicherzustellen, dass Design, Implementierung und Verwaltung des Informationssystems den Sicherheitsanforderungen der Organisation angemessen sind. Dazu gehört die Etablierung sicherer Systemarchitekturen, technischer Prinzipien und sicherer Designpraktiken.
Die komplizierten Strukturen moderner Informationssysteme in Kombination mit der sich ständig verändernden Cyber-Sicherheitsrisikoumgebung machen Informationssysteme anfälliger für bestehende und potenzielle Sicherheitsbedrohungen.
Anhang A 8.27 beschreibt, wie Organisationen können schützen Schützen Sie Ihre Informationssysteme vor Sicherheitsbedrohungen durch die Implementierung sicherer Systemtechnikprinzipien in allen Phasen des Lebenszyklus des Informationssystems.
Zweck von ISO 27001:2022 Anhang A 8.27
Anhang A 8.27 erleichtert Organisationen die Sicherung von Informationssystemen während der Entwurfs-, Bereitstellungs- und Betriebsphasen durch die Festlegung und Umsetzung sicherer Systemtechnikprinzipien, die Systemingenieure einhalten müssen.
Eigentum an Anlage A 8.27
Die Chief Information Security Officer ist für die Aufstellung, Aufrechterhaltung und Umsetzung der Regeln verantwortlich, die die sichere Entwicklung von Informationssystemen regeln.
ISO 27001 leicht gemacht
Ein Vorsprung von 81 % vom ersten Tag an
Wir haben die harte Arbeit für Sie erledigt und Ihnen vom Moment Ihrer Anmeldung an einen Vorsprung von 81 % verschafft. Sie müssen nur noch die Lücken ausfüllen.
Allgemeine Leitlinien zur Einhaltung von ISO 27001:2022 Anhang A 8.27
ISO 27001:2022 Anhang A 8.27 unterstreicht die Notwendigkeit für Unternehmen, Sicherheit in die Gesamtheit ihrer Informationssysteme, einschließlich Geschäftsprozesse, Anwendungen und Datenarchitektur, zu integrieren.
Für alle Aufgaben im Zusammenhang mit Informationssystemen sollten sichere Engineering-Praktiken implementiert und regelmäßig überprüft und aktualisiert werden, um aufkommenden Bedrohungen und Angriffsmustern Rechnung zu tragen.
Anhang A 8.27 gilt auch für Systeme, die von externen Anbietern erstellt wurden, zusätzlich zu den intern entwickelten und betriebenen Systemen.
Organisationen sollten garantieren, dass die Praktiken und Standards der Dienstanbieter mit ihren sicheren technischen Protokollen übereinstimmen.
ISO 27001:2022 Anhang A 8.27 erfordert sichere Systemtechnikprinzipien, um die folgenden acht Themen zu behandeln:
- Methoden zur Benutzerauthentifizierung.
- Anleitung zur sicheren Sitzungssteuerung.
- Verfahren zur Bereinigung und Validierung von Daten.
- Sicherheitsmaßnahmen zum Schutz von Informationsbeständen und Systemen vor bekannten Bedrohungen werden umfassend analysiert.
- Sicherheitsmaßnahmen werden auf ihre Fähigkeit hin analysiert, Sicherheitsbedrohungen zu erkennen, zu beseitigen und darauf zu reagieren.
- Analyse der Sicherheitsmaßnahmen, die auf bestimmte Geschäftsaktivitäten angewendet werden, beispielsweise die Informationsverschlüsselung.
- Wo und wie Sicherheitsmaßnahmen umgesetzt werden. Im Rahmen dieses Prozesses kann eine spezifische Sicherheitskontrolle nach Anhang A in die technische Infrastruktur integriert werden.
- Die Art und Weise, wie verschiedene Sicherheitsmaßnahmen zusammenarbeiten und als kombiniertes System funktionieren.
Leitfaden zum Zero-Trust-Prinzip
Organisationen sollten diese Zero-Trust-Prinzipien berücksichtigen:
- Basierend auf der Annahme, dass die Systeme der Organisation bereits kompromittiert sind und die definierte Perimetersicherheit ihres Netzwerks keinen ausreichenden Schutz bieten kann.
- Bei der Gewährung des Zugangs zu Informationssystemen sollte die Politik „Verifizierung vor Vertrauen“ gelten. Dadurch wird sichergestellt, dass der Zugriff erst nach Prüfung gewährt wird und sichergestellt wird, dass die richtigen Personen ihn haben.
- Die Sicherstellung, dass an Informationssysteme gestellte Anfragen durch eine Ende-zu-Ende-Verschlüsselung geschützt werden, bietet Sicherheit.
- Verifizierungsmechanismen werden unter der Annahme von Zugriffsanfragen externer, offener Netzwerke auf Informationssysteme implementiert.
- Implementieren Sie Least Privilege und dynamische Zugriffskontrolle im Einklang mit ISO 27001:2022 Anhang A 5.15, 5.18 und 8.2. Dies muss die Authentifizierung und Autorisierung sensibler Informationen und Informationssysteme unter Berücksichtigung kontextueller Aspekte wie Benutzeridentitäten (ISO 27001:2022 Anhang A 5.16) umfassen Klassifizierung von Informationen (ISO 27001:2022 Anhang A 5.12).
- Authentifizieren Sie die Identität des Antragstellers und überprüfen Sie Autorisierungsanfragen für den Zugriff auf Informationssysteme gemäß den Authentifizierungsinformationen in ISO 27001:2022 Anhang A 5.17, 5.16 und 8.5.
Was sollten Secure System Engineering-Techniken abdecken?
Ihre Organisation sollte Folgendes beachten:
- Einbeziehung sicherer Architekturprinzipien wie „Security by Design“, „Defense in Depth“, „Fail Secure“, „Misstrauen gegenüber Eingaben von externen Anwendungen“, „Annahme eines Verstoßes“, „geringste Privilegien“, „Benutzerfreundlichkeit und Verwaltbarkeit“ und „geringste Funktionalität“. „ist von größter Bedeutung.
- Durchführung einer sicherheitsorientierten Designüberprüfung, um etwaige Informationssicherheitsprobleme zu erkennen und sicherzustellen, dass Sicherheitsmaßnahmen eingerichtet werden und den Sicherheitsanforderungen entsprechen.
- Die Dokumentation und Anerkennung von Sicherheitsmaßnahmen, die den Anforderungen nicht genügen, ist unerlässlich.
- Systemhärtung ist für die Sicherheit jedes Systems von entscheidender Bedeutung.
Verwalten Sie Ihre gesamte Compliance an einem Ort
ISMS.online unterstützt über 100 Standards und Vorschriften und bietet Ihnen eine einzige Plattform für alle Ihre Compliance-Anforderungen.
Welche Kriterien sind bei der Entwicklung sicherer Engineering-Prinzipien zu berücksichtigen?
Organisationen sollten bei der Einrichtung sicherer Systemtechnikprinzipien die folgenden Punkte berücksichtigen:
- Die Anforderung, die Annex-A-Kontrollen mit einer bestimmten Sicherheitsarchitektur zu koordinieren, ist unabdingbar.
- Die bestehende technische Sicherheitsinfrastruktur einer Organisation, einschließlich Public-Key-Infrastruktur, Identitätsmanagement und Verhinderung von Datenlecks.
- Kann die Organisation die gewählte Technologie aufbauen und aufrechterhalten?
- Die Kosten und der Zeitaufwand für die Erfüllung der Sicherheitsanforderungen müssen unter Berücksichtigung ihrer Komplexität berücksichtigt werden.
- Die Einhaltung aktueller Best Practices ist unerlässlich.
Leitfaden zur Anwendung sicherer Systemtechnikprinzipien
In ISO 27001:2022 Anhang A 8.27 heißt es, dass Organisationen bei der Einrichtung folgender Elemente sichere technische Grundsätze nutzen können:
- Fehlertoleranz und andere Resilienzstrategien sind unerlässlich. Sie tragen dazu bei, sicherzustellen, dass Systeme trotz des Auftretens unerwarteter Ereignisse betriebsbereit bleiben.
- Segregation durch Virtualisierung ist eine Technik, die genutzt werden kann.
- Durch Manipulationssicherheit stellen Sie sicher, dass Systeme sicher und unempfindlich gegenüber böswilligen Eingriffen bleiben.
Sichere Virtualisierungstechnologie kann das Risiko des Abfangens zwischen Anwendungen, die auf demselben Gerät ausgeführt werden, verringern.
Es wird betont, dass Manipulationsschutzsysteme sowohl logische als auch physische Manipulationen an Informationssystemen erkennen und so den unbefugten Zugriff auf Daten verhindern können.
Änderungen und Unterschiede zu ISO 27001:2013
ISO 27001:2022 Anhang A 8.27 ersetzt ISO 27001:2013 Anhang A 14.2.5 in der überarbeiteten Norm von 2022.
Die Version 2022 enthält umfangreichere Forderungen als die Version 2013, wie zum Beispiel:
- Im Vergleich zu 2013 bietet die Version 2022 Hinweise darauf, was sichere technische Grundsätze umfassen sollten.
- Im Gegensatz zur Version von 2013 berücksichtigt die Version von 2022 die Kriterien, die Organisationen bei der Entwicklung sicherer Systemtechnikprinzipien berücksichtigen sollten.
- Die Version 2022 enthält Hinweise zum Zero-Trust-Prinzip, das in der Version 2013 nicht enthalten war.
- Die Ausgabe 2022 des Dokuments enthält Empfehlungen für sichere Engineering-Techniken, wie zum Beispiel „Security by Design“, was in der Version 2013 nicht enthalten war.
Tabelle aller ISO 27001:2022 Anhang A-Kontrollen
In der Tabelle unten finden Sie weitere Informationen zu den einzelnen Personen ISO 27001:2022 Anhang A Steuern.
| Anhang A Kontrolltyp | ISO/IEC 27001:2022 Anhang A Kennung | ISO/IEC 27001:2013 Anhang A Kennung | Anhang A Name |
|---|---|---|---|
| Organisatorische Kontrollen | Anhang A 5.1 |
Anhang A 5.1.1 Anhang A 5.1.2 |
Richtlinien zur Informationssicherheit |
| Organisatorische Kontrollen | Anhang A 5.2 | Anhang A 6.1.1 | Rollen und Verantwortlichkeiten im Bereich Informationssicherheit |
| Organisatorische Kontrollen | Anhang A 5.3 | Anhang A 6.1.2 | Aufgabentrennung |
| Organisatorische Kontrollen | Anhang A 5.4 | Anhang A 7.2.1 | Führungsaufgaben |
| Organisatorische Kontrollen | Anhang A 5.5 | Anhang A 6.1.3 | Kontakt mit Behörden |
| Organisatorische Kontrollen | Anhang A 5.6 | Anhang A 6.1.4 | Kontakt mit speziellen Interessengruppen |
| Organisatorische Kontrollen | Anhang A 5.7 | NEU | Threat Intelligence |
| Organisatorische Kontrollen | Anhang A 5.8 |
Anhang A 6.1.5 Anhang A 14.1.1 |
Informationssicherheit im Projektmanagement |
| Organisatorische Kontrollen | Anhang A 5.9 |
Anhang A 8.1.1 Anhang A 8.1.2 |
Inventar der Informationen und anderer damit verbundener Vermögenswerte |
| Organisatorische Kontrollen | Anhang A 5.10 |
Anhang A 8.1.3 Anhang A 8.2.3 |
Akzeptable Nutzung von Informationen und anderen damit verbundenen Vermögenswerten |
| Organisatorische Kontrollen | Anhang A 5.11 | Anhang A 8.1.4 | Rückgabe von Vermögenswerten |
| Organisatorische Kontrollen | Anhang A 5.12 | Anhang A 8.2.1 | Klassifizierung von Informationen |
| Organisatorische Kontrollen | Anhang A 5.13 | Anhang A 8.2.2 | Kennzeichnung von Informationen |
| Organisatorische Kontrollen | Anhang A 5.14 |
Anhang A 13.2.1 Anhang A 13.2.2 Anhang A 13.2.3 |
Informationsübertragung |
| Organisatorische Kontrollen | Anhang A 5.15 |
Anhang A 9.1.1 Anhang A 9.1.2 |
Zugangskontrolle |
| Organisatorische Kontrollen | Anhang A 5.16 | Anhang A 9.2.1 | Identitätsmanagement |
| Organisatorische Kontrollen | Anhang A 5.17 |
Anhang A 9.2.4 Anhang A 9.3.1 Anhang A 9.4.3 |
Authentifizierungsinformationen |
| Organisatorische Kontrollen | Anhang A 5.18 |
Anhang A 9.2.2 Anhang A 9.2.5 Anhang A 9.2.6 |
Zugangsrechte |
| Organisatorische Kontrollen | Anhang A 5.19 | Anhang A 15.1.1 | Informationssicherheit in Lieferantenbeziehungen |
| Organisatorische Kontrollen | Anhang A 5.20 | Anhang A 15.1.2 | Adressierung der Informationssicherheit in Lieferantenvereinbarungen |
| Organisatorische Kontrollen | Anhang A 5.21 | Anhang A 15.1.3 | Management der Informationssicherheit in der IKT-Lieferkette |
| Organisatorische Kontrollen | Anhang A 5.22 |
Anhang A 15.2.1 Anhang A 15.2.2 |
Überwachung, Überprüfung und Änderungsmanagement von Lieferantendienstleistungen |
| Organisatorische Kontrollen | Anhang A 5.23 | NEU | Informationssicherheit für die Nutzung von Cloud-Diensten |
| Organisatorische Kontrollen | Anhang A 5.24 | Anhang A 16.1.1 | Planung und Vorbereitung des Managements von Informationssicherheitsvorfällen |
| Organisatorische Kontrollen | Anhang A 5.25 | Anhang A 16.1.4 | Bewertung und Entscheidung zu Informationssicherheitsereignissen |
| Organisatorische Kontrollen | Anhang A 5.26 | Anhang A 16.1.5 | Reaktion auf Informationssicherheitsvorfälle |
| Organisatorische Kontrollen | Anhang A 5.27 | Anhang A 16.1.6 | Aus Informationssicherheitsvorfällen lernen |
| Organisatorische Kontrollen | Anhang A 5.28 | Anhang A 16.1.7 | Beweissammlung |
| Organisatorische Kontrollen | Anhang A 5.29 |
Anhang A 17.1.1 Anhang A 17.1.2 Anhang A 17.1.3 |
Informationssicherheit bei Störungen |
| Organisatorische Kontrollen | Anhang A 5.30 | NEU | IKT-Bereitschaft für Geschäftskontinuität |
| Organisatorische Kontrollen | Anhang A 5.31 |
Anhang A 18.1.1 Anhang A 18.1.5 |
Rechtliche, gesetzliche, behördliche und vertragliche Anforderungen |
| Organisatorische Kontrollen | Anhang A 5.32 | Anhang A 18.1.2 | Rechte an geistigem Eigentum |
| Organisatorische Kontrollen | Anhang A 5.33 | Anhang A 18.1.3 | Schutz von Aufzeichnungen |
| Organisatorische Kontrollen | Anhang A 5.34 | Anhang A 18.1.4 | Datenschutz und Schutz personenbezogener Daten |
| Organisatorische Kontrollen | Anhang A 5.35 | Anhang A 18.2.1 | Unabhängige Überprüfung der Informationssicherheit |
| Organisatorische Kontrollen | Anhang A 5.36 |
Anhang A 18.2.2 Anhang A 18.2.3 |
Einhaltung von Richtlinien, Regeln und Standards für die Informationssicherheit |
| Organisatorische Kontrollen | Anhang A 5.37 | Anhang A 12.1.1 | Dokumentierte Betriebsabläufe |
| Anhang A Kontrolltyp | ISO/IEC 27001:2022 Anhang A Kennung | ISO/IEC 27001:2013 Anhang A Kennung | Anhang A Name |
|---|---|---|---|
| Menschenkontrollen | Anhang A 6.1 | Anhang A 7.1.1 | Rekrutierung |
| Menschenkontrollen | Anhang A 6.2 | Anhang A 7.1.2 | Allgemeine Geschäftsbedingungen |
| Menschenkontrollen | Anhang A 6.3 | Anhang A 7.2.2 | Informationssicherheitsbewusstsein, Bildung und Schulung |
| Menschenkontrollen | Anhang A 6.4 | Anhang A 7.2.3 | Disziplinarverfahren |
| Menschenkontrollen | Anhang A 6.5 | Anhang A 7.3.1 | Verantwortlichkeiten nach Beendigung oder Wechsel des Arbeitsverhältnisses |
| Menschenkontrollen | Anhang A 6.6 | Anhang A 13.2.4 | Vertraulichkeits- oder Geheimhaltungsvereinbarungen |
| Menschenkontrollen | Anhang A 6.7 | Anhang A 6.2.2 | Fernarbeit |
| Menschenkontrollen | Anhang A 6.8 |
Anhang A 16.1.2 Anhang A 16.1.3 |
Berichterstattung über Informationssicherheitsereignisse |
| Anhang A Kontrolltyp | ISO/IEC 27001:2022 Anhang A Kennung | ISO/IEC 27001:2013 Anhang A Kennung | Anhang A Name |
|---|---|---|---|
| Physikalische Kontrollen | Anhang A 7.1 | Anhang A 11.1.1 | Physische Sicherheitsbereiche |
| Physikalische Kontrollen | Anhang A 7.2 |
Anhang A 11.1.2 Anhang A 11.1.6 |
Physischer Eintritt |
| Physikalische Kontrollen | Anhang A 7.3 | Anhang A 11.1.3 | Sicherung von Büros, Räumen und Einrichtungen |
| Physikalische Kontrollen | Anhang A 7.4 | NEU | Physische Sicherheitsüberwachung |
| Physikalische Kontrollen | Anhang A 7.5 | Anhang A 11.1.4 | Schutz vor physischen und umweltbedingten Bedrohungen |
| Physikalische Kontrollen | Anhang A 7.6 | Anhang A 11.1.5 | Arbeiten in sicheren Bereichen |
| Physikalische Kontrollen | Anhang A 7.7 | Anhang A 11.2.9 | Klarer Schreibtisch und klarer Bildschirm |
| Physikalische Kontrollen | Anhang A 7.8 | Anhang A 11.2.1 | Standort und Schutz der Ausrüstung |
| Physikalische Kontrollen | Anhang A 7.9 | Anhang A 11.2.6 | Sicherheit von Vermögenswerten außerhalb des Betriebsgeländes |
| Physikalische Kontrollen | Anhang A 7.10 |
Anhang A 8.3.1 Anhang A 8.3.2 Anhang A 8.3.3 Anhang A 11.2.5 |
Speichermedien |
| Physikalische Kontrollen | Anhang A 7.11 | Anhang A 11.2.2 | Unterstützende Dienstprogramme |
| Physikalische Kontrollen | Anhang A 7.12 | Anhang A 11.2.3 | Verkabelungssicherheit |
| Physikalische Kontrollen | Anhang A 7.13 | Anhang A 11.2.4 | Wartung der Ausrüstung |
| Physikalische Kontrollen | Anhang A 7.14 | Anhang A 11.2.7 | Sichere Entsorgung oder Wiederverwendung von Geräten |
| Anhang A Kontrolltyp | ISO/IEC 27001:2022 Anhang A Kennung | ISO/IEC 27001:2013 Anhang A Kennung | Anhang A Name |
|---|---|---|---|
| Technologische Kontrollen | Anhang A 8.1 |
Anhang A 6.2.1 Anhang A 11.2.8 |
Benutzer-Endpunktgeräte |
| Technologische Kontrollen | Anhang A 8.2 | Anhang A 9.2.3 | Privilegierte Zugriffsrechte |
| Technologische Kontrollen | Anhang A 8.3 | Anhang A 9.4.1 | Beschränkung des Informationszugriffs |
| Technologische Kontrollen | Anhang A 8.4 | Anhang A 9.4.5 | Zugang zum Quellcode |
| Technologische Kontrollen | Anhang A 8.5 | Anhang A 9.4.2 | Sichere Authentifizierung |
| Technologische Kontrollen | Anhang A 8.6 | Anhang A 12.1.3 | Kapazitätsmanagement |
| Technologische Kontrollen | Anhang A 8.7 | Anhang A 12.2.1 | Schutz vor Malware |
| Technologische Kontrollen | Anhang A 8.8 |
Anhang A 12.6.1 Anhang A 18.2.3 |
Management technischer Schwachstellen |
| Technologische Kontrollen | Anhang A 8.9 | NEU | Configuration Management |
| Technologische Kontrollen | Anhang A 8.10 | NEU | Löschen von Informationen |
| Technologische Kontrollen | Anhang A 8.11 | NEU | Datenmaskierung |
| Technologische Kontrollen | Anhang A 8.12 | NEU | Verhinderung von Datenlecks |
| Technologische Kontrollen | Anhang A 8.13 | Anhang A 12.3.1 | Informationssicherung |
| Technologische Kontrollen | Anhang A 8.14 | Anhang A 17.2.1 | Redundanz von Informationsverarbeitungseinrichtungen |
| Technologische Kontrollen | Anhang A 8.15 |
Anhang A 12.4.1 Anhang A 12.4.2 Anhang A 12.4.3 |
Protokollierung |
| Technologische Kontrollen | Anhang A 8.16 | NEU | Überwachungsaktivitäten |
| Technologische Kontrollen | Anhang A 8.17 | Anhang A 12.4.4 | Uhrensynchronisation |
| Technologische Kontrollen | Anhang A 8.18 | Anhang A 9.4.4 | Nutzung privilegierter DienstprogrammeZugriffsrechte |
| Technologische Kontrollen | Anhang A 8.19 |
Anhang A 12.5.1 Anhang A 12.6.2 |
Installation von Software auf Betriebssystemen |
| Technologische Kontrollen | Anhang A 8.20 | Anhang A 13.1.1 | Netzwerksicherheit |
| Technologische Kontrollen | Anhang A 8.21 | Anhang A 13.1.2 | Sicherheit von Netzwerkdiensten |
| Technologische Kontrollen | Anhang A 8.22 | Anhang A 13.1.3 | Trennung von Netzwerken |
| Technologische Kontrollen | Anhang A 8.23 | NEU | Web-Filter |
| Technologische Kontrollen | Anhang A 8.24 |
Anhang A 10.1.1 Anhang A 10.1.2 |
Verwendung von Kryptographie |
| Technologische Kontrollen | Anhang A 8.25 | Anhang A 14.2.1 | Sicherer Entwicklungslebenszyklus |
| Technologische Kontrollen | Anhang A 8.26 |
Anhang A 14.1.2 Anhang A 14.1.3 |
Anforderungen an die Anwendungssicherheit |
| Technologische Kontrollen | Anhang A 8.27 | Anhang A 14.2.5 | Sichere Systemarchitektur und technische Prinzipien. Lernen aus Informationssicherheitsvorfällen. |
| Technologische Kontrollen | Anhang A 8.28 | NEU | Sichere Codierung |
| Technologische Kontrollen | Anhang A 8.29 |
Anhang A 14.2.8 Anhang A 14.2.9 |
Sicherheitstests in Entwicklung und Akzeptanz |
| Technologische Kontrollen | Anhang A 8.30 | Anhang A 14.2.7 | Ausgelagerte Entwicklung |
| Technologische Kontrollen | Anhang A 8.31 |
Anhang A 12.1.4 Anhang A 14.2.6 |
Trennung von Entwicklungs-, Test- und Produktionsumgebungen |
| Technologische Kontrollen | Anhang A 8.32 |
Anhang A 12.1.2 Anhang A 14.2.2 Anhang A 14.2.3 Anhang A 14.2.4 |
Change Control |
| Technologische Kontrollen | Anhang A 8.33 | Anhang A 14.3.1 | Testinformationen |
| Technologische Kontrollen | Anhang A 8.34 | Anhang A 12.7.1 | Schutz von Informationssystemen während Audittests |
Wie ISMS.online hilft
Unsere Schritt-für-Schritt-Checkliste macht die Implementierung von ISO 27001 zum Kinderspiel. Unser komplette Compliance-Lösung für ISO/IEC 27001:2022 führt Sie von Anfang bis Ende durch den Prozess.
Beim Einloggen können Sie mit einem Fortschritt von bis zu 81 % rechnen.
Diese Lösung ist absolut umfassend und unkompliziert.
Kontaktieren Sie uns jetzt Buchen Sie eine Vorführung.