- Weitere Informationen finden Sie auch in den ISO 27002:2022 Kontrolle 8.3 .
- Weitere Informationen finden Sie auch in den ISO 27001:2013 Anhang A 9.4.1 .
Zweck von ISO 27001:2022 Anhang A 8.3
Die Informationssicherheitsrichtlinie einer Organisation hängt stark vom internen und externen Zugriff auf Informationen ab.
ISO 27001:2022 Anlage A 8.3 ist a vorbeugende Maßnahme zu manage das Risiko durch die Festlegung von Regeln und Verfahren zur Verhinderung unbefugten Zugriffs/Missbrauchs der Informationen und IKT-Ressourcen einer Organisation.
Eigentum an Anlage A 8.3
ISO 27001:2022 Anhang A 8.3 befasst sich mit der Fähigkeit einer Organisation, den Zugang zu Informationen zu regulieren. Es stellt sicher, dass Informationen nur autorisiertem Personal zugänglich sind.
Das Eigentum an Informationen und Datensicherheitspraktiken sollte bei dem liegen Chief Information Security Officer (oder ihr organisatorisches Äquivalent). Diese Person übernimmt die volle Verantwortung für den gesamten Sicherheitsansatz der Organisation.
ISO 27001 leicht gemacht
Ein Vorsprung von 81 % vom ersten Tag an
Wir haben die harte Arbeit für Sie erledigt und Ihnen vom Moment Ihrer Anmeldung an einen Vorsprung von 81 % verschafft. Sie müssen nur noch die Lücken ausfüllen.
Allgemeine Leitlinien zu ISO 27001:2022 Anhang A 8.3
Um eine wirksame Kontrolle über Informationen und IKT-Ressourcen aufrechtzuerhalten, sollten Organisationen einen themenspezifischen Ansatz für den Informationszugang verfolgen und Maßnahmen zur Zugangsbeschränkung unterstützen, wie zum Beispiel:
- Blockieren Sie den anonymen Zugriff auf Informationen, einschließlich des breiten öffentlichen Zugriffs:
- Organisationen sollten sicherstellen, dass der Zugang der Öffentlichkeit gewährt wird bzw Dritte umfassen keine sensiblen oder geschäftskritischen Daten.
- Sorgen Sie für eine ordnungsgemäße Wartung der Systeme zur Regulierung des Zugriffs und aller damit verbundenen Geschäftsanwendungen oder -verfahren.
- Legen Sie den Datenzugriff auf individueller Ebene fest.
- Beschreiben Sie die Datenzugriffsrechte zwischen Gruppen, die Vorgänge wie Lesen, Schreiben, Löschen und Ausführen validieren.
- Behalten Sie die Fähigkeit bei, wichtige Prozesse und Anwendungen mit einer Vielzahl physischer und digitaler Zugriffsbeschränkungen abzutrennen.
Leitfaden zum dynamischen Zugriffsmanagement
ISO 27001:2022 Anhang A 8.3 empfiehlt einen dynamischen Ansatz für den Informationszugang.
Dynamisches Zugriffsmanagement hat viele positive Auswirkungen auf organisatorische Aktivitäten, bei denen interne Daten mit externen Benutzern geteilt oder genutzt werden, was zu einer schnelleren Lösung von Vorfällen führt.
Dynamische Zugriffsverwaltungstechniken schützen eine Vielzahl von Informationstypen, von gewöhnlichen Dokumenten bis hin zu E-Mails und Datenbankinformationen. Darüber hinaus können sie auf einzelne Dateien angewendet werden, sodass Unternehmen eine präzise Kontrolle über ihre Daten haben.
Organisationen sollten dies berücksichtigen, wenn:
- Es ist eine detaillierte Kontrolle erforderlich, um zu bestimmen, welche menschlichen und nichtmenschlichen Benutzer zu einem bestimmten Zeitpunkt auf die Informationen zugreifen können.
- Es besteht die Notwendigkeit, Daten mit externen Stellen (z. B. Lieferanten oder Regierungsbehörden) zu teilen.
- Ein „Echtzeit“-Ansatz für die Datenverwaltung und -verteilung erfordert die Überwachung und Verwaltung der Datennutzung während des Vorgangs.
- Schutz der Daten vor unbefugter Änderung, Verbreitung oder Druck.
- Die Überwachung des Zugriffs auf und der Änderung von Informationen, insbesondere wenn es sich um sensible Informationen handelt, ist unerlässlich.
Dynamisches Zugriffsmanagement ist besonders vorteilhaft für Organisationen, die die Überwachung und Aufbewahrung von Daten von der Entstehung bis zur Zerstörung benötigen, darunter:
- Ein Anwendungsfall oder eine Reihe von Anwendungsfällen kann skizziert werden, um Datenzugriffsregeln basierend auf den folgenden Variablen anzuwenden:
- Standort
- Antragsprozess
- Identitätsschutz
- Gerät
- Skizzieren Sie einen Prozess einschließlich Daten Betrieb und Überwachungsowie den Aufbau eines umfassenden Berichtswesens auf Basis einer zuverlässigen technischen Infrastruktur.
Alle Versuche, ein wirksames Zugangskontrollsystem zu schaffen, sollten dazu führen, dass die Daten geschützt werden durch:
- Die Sicherstellung des Datenzugriffs ist das Ergebnis einer erfolgreichen Authentifizierung.
- Ein gewisser eingeschränkter Zugriff, abhängig von der Art der Daten und ihrer Einflussmöglichkeit Geschäftskontinuität, müssen eingerichtet werden.
- Druckberechtigungen.
- Verschlüsselung.
- Klubportal CMS Audit-Protokolle Es muss protokolliert werden, wer auf die Daten zugreift und zu welchem Zweck die Daten verwendet werden.
- Ein Verfahren für Benachrichtigungen, das jede missbräuchliche Nutzung von Daten anzeigt, einschließlich (aber nicht beschränkt auf) unbefugten Zugriff, unbefugte Verbreitung und Löschversuche.
Befreien Sie sich von einem Berg an Tabellenkalkulationen
Integrieren, erweitern und skalieren Sie Ihre Compliance, ohne dass es zu Problemen kommt. IO gibt Ihnen die Widerstandsfähigkeit und das Vertrauen, um sicher zu wachsen.
Änderungen und Unterschiede zu ISO 27001:2013
ISO 27001:2022 Anhang A 8.3 ersetzt ISO 27001:2013 Anhang A 9.4.1 (Beschränkung des Informationszugriffs), der eine wesentliche Änderung in der Art und Weise darstellt, wie ISO das Informationszugriffsmanagement betrachtet.
Dieser dynamische Ansatz, der in ISO 27001:2013 Anhang A 9.4.1 nicht erwähnt wurde, berücksichtigt die sich entwickelnde Natur der Informationssicherheit.
ISO 27001:2022 Anhang 8.3 enthält eine Fülle von Leitfäden zum dynamischen Zugriffsmanagement, die in der Ausgabe von ISO 27001:2013 nicht zu finden sind. Daher sollten Organisationen diese Vorschläge Thema für Thema prüfen, wenn sie eine Zertifizierung anstreben.
Tabelle aller ISO 27001:2022 Anhang A-Kontrollen
In der Tabelle unten finden Sie weitere Informationen zu den einzelnen Personen ISO 27001:2022 Anhang A Steuern.
| Anhang A Kontrolltyp | ISO/IEC 27001:2022 Anhang A Kennung | ISO/IEC 27001:2013 Anhang A Kennung | Anhang A Name |
|---|---|---|---|
| Organisatorische Kontrollen | Anhang A 5.1 |
Anhang A 5.1.1 Anhang A 5.1.2 |
Richtlinien zur Informationssicherheit |
| Organisatorische Kontrollen | Anhang A 5.2 | Anhang A 6.1.1 | Rollen und Verantwortlichkeiten im Bereich Informationssicherheit |
| Organisatorische Kontrollen | Anhang A 5.3 | Anhang A 6.1.2 | Aufgabentrennung |
| Organisatorische Kontrollen | Anhang A 5.4 | Anhang A 7.2.1 | Führungsaufgaben |
| Organisatorische Kontrollen | Anhang A 5.5 | Anhang A 6.1.3 | Kontakt mit Behörden |
| Organisatorische Kontrollen | Anhang A 5.6 | Anhang A 6.1.4 | Kontakt mit speziellen Interessengruppen |
| Organisatorische Kontrollen | Anhang A 5.7 | NEU | Threat Intelligence |
| Organisatorische Kontrollen | Anhang A 5.8 |
Anhang A 6.1.5 Anhang A 14.1.1 |
Informationssicherheit im Projektmanagement |
| Organisatorische Kontrollen | Anhang A 5.9 |
Anhang A 8.1.1 Anhang A 8.1.2 |
Inventar der Informationen und anderer damit verbundener Vermögenswerte |
| Organisatorische Kontrollen | Anhang A 5.10 |
Anhang A 8.1.3 Anhang A 8.2.3 |
Akzeptable Nutzung von Informationen und anderen damit verbundenen Vermögenswerten |
| Organisatorische Kontrollen | Anhang A 5.11 | Anhang A 8.1.4 | Rückgabe von Vermögenswerten |
| Organisatorische Kontrollen | Anhang A 5.12 | Anhang A 8.2.1 | Klassifizierung von Informationen |
| Organisatorische Kontrollen | Anhang A 5.13 | Anhang A 8.2.2 | Kennzeichnung von Informationen |
| Organisatorische Kontrollen | Anhang A 5.14 |
Anhang A 13.2.1 Anhang A 13.2.2 Anhang A 13.2.3 |
Informationsübertragung |
| Organisatorische Kontrollen | Anhang A 5.15 |
Anhang A 9.1.1 Anhang A 9.1.2 |
Zugangskontrolle |
| Organisatorische Kontrollen | Anhang A 5.16 | Anhang A 9.2.1 | Identitätsmanagement |
| Organisatorische Kontrollen | Anhang A 5.17 |
Anhang A 9.2.4 Anhang A 9.3.1 Anhang A 9.4.3 |
Authentifizierungsinformationen |
| Organisatorische Kontrollen | Anhang A 5.18 |
Anhang A 9.2.2 Anhang A 9.2.5 Anhang A 9.2.6 |
Zugangsrechte |
| Organisatorische Kontrollen | Anhang A 5.19 | Anhang A 15.1.1 | Informationssicherheit in Lieferantenbeziehungen |
| Organisatorische Kontrollen | Anhang A 5.20 | Anhang A 15.1.2 | Adressierung der Informationssicherheit in Lieferantenvereinbarungen |
| Organisatorische Kontrollen | Anhang A 5.21 | Anhang A 15.1.3 | Management der Informationssicherheit in der IKT-Lieferkette |
| Organisatorische Kontrollen | Anhang A 5.22 |
Anhang A 15.2.1 Anhang A 15.2.2 |
Überwachung, Überprüfung und Änderungsmanagement von Lieferantendienstleistungen |
| Organisatorische Kontrollen | Anhang A 5.23 | NEU | Informationssicherheit für die Nutzung von Cloud-Diensten |
| Organisatorische Kontrollen | Anhang A 5.24 | Anhang A 16.1.1 | Planung und Vorbereitung des Managements von Informationssicherheitsvorfällen |
| Organisatorische Kontrollen | Anhang A 5.25 | Anhang A 16.1.4 | Bewertung und Entscheidung zu Informationssicherheitsereignissen |
| Organisatorische Kontrollen | Anhang A 5.26 | Anhang A 16.1.5 | Reaktion auf Informationssicherheitsvorfälle |
| Organisatorische Kontrollen | Anhang A 5.27 | Anhang A 16.1.6 | Aus Informationssicherheitsvorfällen lernen |
| Organisatorische Kontrollen | Anhang A 5.28 | Anhang A 16.1.7 | Beweissammlung |
| Organisatorische Kontrollen | Anhang A 5.29 |
Anhang A 17.1.1 Anhang A 17.1.2 Anhang A 17.1.3 |
Informationssicherheit bei Störungen |
| Organisatorische Kontrollen | Anhang A 5.30 | NEU | IKT-Bereitschaft für Geschäftskontinuität |
| Organisatorische Kontrollen | Anhang A 5.31 |
Anhang A 18.1.1 Anhang A 18.1.5 |
Rechtliche, gesetzliche, behördliche und vertragliche Anforderungen |
| Organisatorische Kontrollen | Anhang A 5.32 | Anhang A 18.1.2 | Rechte an geistigem Eigentum |
| Organisatorische Kontrollen | Anhang A 5.33 | Anhang A 18.1.3 | Schutz von Aufzeichnungen |
| Organisatorische Kontrollen | Anhang A 5.34 | Anhang A 18.1.4 | Datenschutz und Schutz personenbezogener Daten |
| Organisatorische Kontrollen | Anhang A 5.35 | Anhang A 18.2.1 | Unabhängige Überprüfung der Informationssicherheit |
| Organisatorische Kontrollen | Anhang A 5.36 |
Anhang A 18.2.2 Anhang A 18.2.3 |
Einhaltung von Richtlinien, Regeln und Standards für die Informationssicherheit |
| Organisatorische Kontrollen | Anhang A 5.37 | Anhang A 12.1.1 | Dokumentierte Betriebsabläufe |
| Anhang A Kontrolltyp | ISO/IEC 27001:2022 Anhang A Kennung | ISO/IEC 27001:2013 Anhang A Kennung | Anhang A Name |
|---|---|---|---|
| Menschenkontrollen | Anhang A 6.1 | Anhang A 7.1.1 | Rekrutierung |
| Menschenkontrollen | Anhang A 6.2 | Anhang A 7.1.2 | Allgemeine Geschäftsbedingungen |
| Menschenkontrollen | Anhang A 6.3 | Anhang A 7.2.2 | Informationssicherheitsbewusstsein, Bildung und Schulung |
| Menschenkontrollen | Anhang A 6.4 | Anhang A 7.2.3 | Disziplinarverfahren |
| Menschenkontrollen | Anhang A 6.5 | Anhang A 7.3.1 | Verantwortlichkeiten nach Beendigung oder Wechsel des Arbeitsverhältnisses |
| Menschenkontrollen | Anhang A 6.6 | Anhang A 13.2.4 | Vertraulichkeits- oder Geheimhaltungsvereinbarungen |
| Menschenkontrollen | Anhang A 6.7 | Anhang A 6.2.2 | Fernarbeit |
| Menschenkontrollen | Anhang A 6.8 |
Anhang A 16.1.2 Anhang A 16.1.3 |
Berichterstattung über Informationssicherheitsereignisse |
| Anhang A Kontrolltyp | ISO/IEC 27001:2022 Anhang A Kennung | ISO/IEC 27001:2013 Anhang A Kennung | Anhang A Name |
|---|---|---|---|
| Physikalische Kontrollen | Anhang A 7.1 | Anhang A 11.1.1 | Physische Sicherheitsbereiche |
| Physikalische Kontrollen | Anhang A 7.2 |
Anhang A 11.1.2 Anhang A 11.1.6 |
Physischer Eintritt |
| Physikalische Kontrollen | Anhang A 7.3 | Anhang A 11.1.3 | Sicherung von Büros, Räumen und Einrichtungen |
| Physikalische Kontrollen | Anhang A 7.4 | NEU | Physische Sicherheitsüberwachung |
| Physikalische Kontrollen | Anhang A 7.5 | Anhang A 11.1.4 | Schutz vor physischen und umweltbedingten Bedrohungen |
| Physikalische Kontrollen | Anhang A 7.6 | Anhang A 11.1.5 | Arbeiten in sicheren Bereichen |
| Physikalische Kontrollen | Anhang A 7.7 | Anhang A 11.2.9 | Klarer Schreibtisch und klarer Bildschirm |
| Physikalische Kontrollen | Anhang A 7.8 | Anhang A 11.2.1 | Standort und Schutz der Ausrüstung |
| Physikalische Kontrollen | Anhang A 7.9 | Anhang A 11.2.6 | Sicherheit von Vermögenswerten außerhalb des Betriebsgeländes |
| Physikalische Kontrollen | Anhang A 7.10 |
Anhang A 8.3.1 Anhang A 8.3.2 Anhang A 8.3.3 Anhang A 11.2.5 |
Speichermedien |
| Physikalische Kontrollen | Anhang A 7.11 | Anhang A 11.2.2 | Unterstützende Dienstprogramme |
| Physikalische Kontrollen | Anhang A 7.12 | Anhang A 11.2.3 | Verkabelungssicherheit |
| Physikalische Kontrollen | Anhang A 7.13 | Anhang A 11.2.4 | Wartung der Ausrüstung |
| Physikalische Kontrollen | Anhang A 7.14 | Anhang A 11.2.7 | Sichere Entsorgung oder Wiederverwendung von Geräten |
| Anhang A Kontrolltyp | ISO/IEC 27001:2022 Anhang A Kennung | ISO/IEC 27001:2013 Anhang A Kennung | Anhang A Name |
|---|---|---|---|
| Technologische Kontrollen | Anhang A 8.1 |
Anhang A 6.2.1 Anhang A 11.2.8 |
Benutzer-Endpunktgeräte |
| Technologische Kontrollen | Anhang A 8.2 | Anhang A 9.2.3 | Privilegierte Zugriffsrechte |
| Technologische Kontrollen | Anhang A 8.3 | Anhang A 9.4.1 | Beschränkung des Informationszugriffs |
| Technologische Kontrollen | Anhang A 8.4 | Anhang A 9.4.5 | Zugang zum Quellcode |
| Technologische Kontrollen | Anhang A 8.5 | Anhang A 9.4.2 | Sichere Authentifizierung |
| Technologische Kontrollen | Anhang A 8.6 | Anhang A 12.1.3 | Kapazitätsmanagement |
| Technologische Kontrollen | Anhang A 8.7 | Anhang A 12.2.1 | Schutz vor Malware |
| Technologische Kontrollen | Anhang A 8.8 |
Anhang A 12.6.1 Anhang A 18.2.3 |
Management technischer Schwachstellen |
| Technologische Kontrollen | Anhang A 8.9 | NEU | Configuration Management |
| Technologische Kontrollen | Anhang A 8.10 | NEU | Löschen von Informationen |
| Technologische Kontrollen | Anhang A 8.11 | NEU | Datenmaskierung |
| Technologische Kontrollen | Anhang A 8.12 | NEU | Verhinderung von Datenlecks |
| Technologische Kontrollen | Anhang A 8.13 | Anhang A 12.3.1 | Informationssicherung |
| Technologische Kontrollen | Anhang A 8.14 | Anhang A 17.2.1 | Redundanz von Informationsverarbeitungseinrichtungen |
| Technologische Kontrollen | Anhang A 8.15 |
Anhang A 12.4.1 Anhang A 12.4.2 Anhang A 12.4.3 |
Protokollierung |
| Technologische Kontrollen | Anhang A 8.16 | NEU | Überwachungsaktivitäten |
| Technologische Kontrollen | Anhang A 8.17 | Anhang A 12.4.4 | Uhrensynchronisation |
| Technologische Kontrollen | Anhang A 8.18 | Anhang A 9.4.4 | Nutzung privilegierter DienstprogrammeZugriffsrechte |
| Technologische Kontrollen | Anhang A 8.19 |
Anhang A 12.5.1 Anhang A 12.6.2 |
Installation von Software auf Betriebssystemen |
| Technologische Kontrollen | Anhang A 8.20 | Anhang A 13.1.1 | Netzwerksicherheit |
| Technologische Kontrollen | Anhang A 8.21 | Anhang A 13.1.2 | Sicherheit von Netzwerkdiensten |
| Technologische Kontrollen | Anhang A 8.22 | Anhang A 13.1.3 | Trennung von Netzwerken |
| Technologische Kontrollen | Anhang A 8.23 | NEU | Web-Filter |
| Technologische Kontrollen | Anhang A 8.24 |
Anhang A 10.1.1 Anhang A 10.1.2 |
Verwendung von Kryptographie |
| Technologische Kontrollen | Anhang A 8.25 | Anhang A 14.2.1 | Sicherer Entwicklungslebenszyklus |
| Technologische Kontrollen | Anhang A 8.26 |
Anhang A 14.1.2 Anhang A 14.1.3 |
Anforderungen an die Anwendungssicherheit |
| Technologische Kontrollen | Anhang A 8.27 | Anhang A 14.2.5 | Sichere Systemarchitektur und technische Prinzipien. Lernen aus Informationssicherheitsvorfällen. |
| Technologische Kontrollen | Anhang A 8.28 | NEU | Sichere Codierung |
| Technologische Kontrollen | Anhang A 8.29 |
Anhang A 14.2.8 Anhang A 14.2.9 |
Sicherheitstests in Entwicklung und Akzeptanz |
| Technologische Kontrollen | Anhang A 8.30 | Anhang A 14.2.7 | Ausgelagerte Entwicklung |
| Technologische Kontrollen | Anhang A 8.31 |
Anhang A 12.1.4 Anhang A 14.2.6 |
Trennung von Entwicklungs-, Test- und Produktionsumgebungen |
| Technologische Kontrollen | Anhang A 8.32 |
Anhang A 12.1.2 Anhang A 14.2.2 Anhang A 14.2.3 Anhang A 14.2.4 |
Change Control |
| Technologische Kontrollen | Anhang A 8.33 | Anhang A 14.3.1 | Testinformationen |
| Technologische Kontrollen | Anhang A 8.34 | Anhang A 12.7.1 | Schutz von Informationssystemen während Audittests |
Wie ISMS.online hilft
ISMS.Online ist die führende ISO 27001-Managementsystemsoftware, die die Einhaltung von ISO 27001 unterstützt und es Unternehmen ermöglicht, ihre Sicherheitsrichtlinien und -verfahren an der Norm auszurichten.
Dieser Cloud-basierte Plattform stellt Unternehmen eine vollständige Palette von Tools zur Verfügung, die sie beim Aufbau eines Informationssicherheits-Managementsystems (ISMS) gemäß ISO 27001:2022 unterstützen.
Wir haben unsere Plattform von Grund auf aufgebaut und dabei mit internationalen Spezialisten für Informationssicherheit zusammengearbeitet. Wir haben es so konzipiert, dass es für Benutzer, denen es an technischem Fachwissen mangelt, intuitiv und unkompliziert ist Informationssicherheits-Managementsysteme (ISMS).
Kontaktieren Sie uns jetzt, um Vereinbaren Sie eine Vorführung.