- Weitere Informationen finden Sie auch in den ISO 27002:2022 Kontrolle 8.7 .
- Weitere Informationen finden Sie auch in den ISO 27001:2013 Anhang A 12.2.1 .
Zweck von ISO 27001:2022 Anhang A 8.7
Malware ist eine der größten Bedrohungen für die Geschäftskontinuität und Datensicherheit im digitalen Zeitalter.
Die globale Geschäftswelt ist täglich mit unzähligen Gefahren durch eine Vielzahl von Angriffsvektoren konfrontiert, die darauf abzielen, sich unerlaubt Zugang zu vertraulichen Systemen und Daten zu verschaffen, Daten und Geld zu erbeuten, ahnungsloses Personal zu täuschen und erbeutete Daten zu nutzen, um hohe Lösegelder zu fordern.
Bei der Erstellung einer Informationssicherheitsrichtlinie sollte ein sicherer Malware-Schutz Priorität haben. Es ist wichtig, dass Unternehmen Maßnahmen ergreifen, um sich vor bösartiger Software zu schützen.
ISO 27001:2022 Anhang A 8.7 beschreibt eine Reihe von Maßnahmen, um das Personal über die Risiken von Schadsoftware aufzuklären und wirksame Präventivmaßnahmen zum Schutz vor internen und externen Bedrohungen umzusetzen und so Störungen und Datenverluste zu vermeiden.
Eigentum an Anlage A 8.7
Der Schutz vor Malware ist ein weitreichendes Thema, das mehrere Geschäftsfunktionen mit unterschiedlichem Risikograd und zahlreichen ISO-Kontrollen umfasst. Daher sollte die Verantwortung für ISO 27001:2022 Anhang A 8.7 dem übertragen werden Chief Information Security Officer, oder gleichwertig. IKT-Verwaltungsmitarbeiter und Standardbenutzer müssen praktische Maßnahmen zum Schutz vor Malware ergreifen.
ISO 27001 leicht gemacht
Ein Vorsprung von 81 % vom ersten Tag an
Wir haben die harte Arbeit für Sie erledigt und Ihnen vom Moment Ihrer Anmeldung an einen Vorsprung von 81 % verschafft. Sie müssen nur noch die Lücken ausfüllen.
Leitfaden zur Einhaltung von ISO 27001:2022 Anhang A 8.7
Anhang A 8.7 verlangt von Unternehmen die Durchführung einer Malware-Abwehr, die vier Hauptaspekte umfasst:
- Kontrollierte Systeme und Kontozugriff.
- Änderungsmanagement.
- Anti-Malware-Software.
- Organisatorisch Informationssicherheit Sensibilisierung (Benutzerschulung).
ISO warnt davor, zu glauben, dass Anti-Malware-Software ausreicht, um eine sichere Umgebung bereitzustellen. ISO 27001:2022 Anhang A 8.7 fordert Unternehmen auf, eine End-to-End-Strategie gegen Malware zu verfolgen, die mit der Aufklärung der Benutzer beginnt und in einem sicheren Netzwerk gipfelt, das die Möglichkeit des Eindringens aus einer Vielzahl von Angriffsquellen minimiert.
Organisationen sollten Maßnahmen ergreifen, um ihr Ziel zu erreichen, darunter:
- Unterbinden Sie den Einsatz nicht genehmigter Software (siehe Anhang A 8.19 und Anhang A 8.32).
- Stoppen Sie den Zugriff auf bösartige oder ungeeignete Websites.
- Reduzieren Sie die Anzahl der in Ihrem Netzwerk vorhandenen Anfälligkeiten, die von Malware oder Personen mit bösen Absichten ausgenutzt werden könnten (Anhang A 8.8 und Anhang A 8.19 beachten).
- Führen Sie häufige Softwarebewertungen durch, um nicht autorisierte Software, Systemänderungen und/oder Daten im Netzwerk zu erkennen.
- Sichern Sie Daten und Anwendungen mit minimalem Risiko durch interne oder externe Erfassung.
- Unternehmen sollten eine Malware-Erkennungsrichtlinie implementieren, die regelmäßige und umfassende Scans aller relevanten Systeme und Dateien umfasst und auf die spezifischen Risiken jedes Bereichs zugeschnitten ist. Es sollte ein „Defense-in-Depth“-Ansatz gewählt werden, der Endpunktgeräte und Gateway-Kontrollen umfasst und zahlreiche Angriffsvektoren (z. B. Ransomware) berücksichtigt.
- Abwehren von Eingriffen durch Notfallprotokolle und -verfahren – insbesondere bei Vorfällen oder risikoreichen Wartungsarbeiten.
- Entwerfen Sie einen Prozess, der es dem technischen Personal ermöglicht, einige oder alle Anti-Malware-Maßnahmen zu deaktivieren, wenn sie den Betrieb der Organisation beeinträchtigen.
- Implementieren Sie einen soliden Backup- und Disaster-Recovery-Plan (BUDR), der die Wiederaufnahme des Betriebs der Organisation zum frühestmöglichen Zeitpunkt nach einer Störung ermöglicht (siehe Anhang A 8.13). Dies sollte Verfahren für Software umfassen, die nicht durch Anti-Malware-Software geschützt werden kann (z. B. Maschinensoftware).
- Teilen Sie das Netzwerk und/oder die digitalen und virtuellen Arbeitsräume in Abschnitte auf, um im Falle eines Angriffs katastrophale Schäden zu verhindern.
- Bieten Sie allen Mitarbeitern Anti-Malware-Schulungen an, um ihr Verständnis für eine Vielzahl von Themen zu verbessern, darunter (aber nicht beschränkt auf):
- E-Mail-Sicherheit
- Schadsoftware installieren
- Social Engineering
- Sammeln Sie Informationen über die neuesten Fortschritte in der Malware-Sicherheit in der Branche.
- Stellen Sie sicher, dass alle Benachrichtigungen über potenzielle Malware-Angriffe (insbesondere von Software- und Hardwarelieferanten) aus einer zuverlässigen Quelle stammen und präzise sind.
Begleitende Anhang-A-Kontrollen
- ISO 27001:2022 Anhang A 8.13
- ISO 27001:2022 Anhang A 8.19
- ISO 27001:2022 Anhang A 8.32
- ISO 27001:2022 Anhang A 8.8
Befreien Sie sich von einem Berg an Tabellenkalkulationen
Integrieren, erweitern und skalieren Sie Ihre Compliance, ohne dass es zu Problemen kommt. IO gibt Ihnen die Widerstandsfähigkeit und das Vertrauen, um sicher zu wachsen.
Änderungen und Unterschiede zu ISO 27001:2013
ISO 27001:2022 Anhang A 8.7 ersetzt ISO 27001:2013 Anhang A 12.2.1 (der sich mit Kontrollen gegen Malware befasst).
ISO 27001:2022 Anhang A 8.7 ähnelt ISO 27001:2013 Anhang A 12.2.1, einigen zusätzlichen Ratschlägen wurde jedoch angesichts ihrer Bedeutung für die Anti-Malware-Programme von Unternehmen eine höhere Priorität eingeräumt. Im Einzelnen umfasst es:
- Die Gewährleistung der Sicherheit vor Schadsoftware während der Wartungsperioden ist von wesentlicher Bedeutung.
ISO 27001:2013 Anhang A 12.2.1 fordert Unternehmen auf, über den Einsatz zweier verschiedener Anti-Malware-Plattformen nachzudenken, während ISO 27001:2022 Anhang A 8.7 sich mit einer einzigen integrierten Lösung zufrieden gibt.
Tabelle aller ISO 27001:2022 Anhang A-Kontrollen
In der Tabelle unten finden Sie weitere Informationen zu den einzelnen Personen ISO 27001:2022 Anhang A Steuern.
| Anhang A Kontrolltyp | ISO/IEC 27001:2022 Anhang A Kennung | ISO/IEC 27001:2013 Anhang A Kennung | Anhang A Name |
|---|---|---|---|
| Organisatorische Kontrollen | Anhang A 5.1 |
Anhang A 5.1.1 Anhang A 5.1.2 |
Richtlinien zur Informationssicherheit |
| Organisatorische Kontrollen | Anhang A 5.2 | Anhang A 6.1.1 | Rollen und Verantwortlichkeiten im Bereich Informationssicherheit |
| Organisatorische Kontrollen | Anhang A 5.3 | Anhang A 6.1.2 | Aufgabentrennung |
| Organisatorische Kontrollen | Anhang A 5.4 | Anhang A 7.2.1 | Führungsaufgaben |
| Organisatorische Kontrollen | Anhang A 5.5 | Anhang A 6.1.3 | Kontakt mit Behörden |
| Organisatorische Kontrollen | Anhang A 5.6 | Anhang A 6.1.4 | Kontakt mit speziellen Interessengruppen |
| Organisatorische Kontrollen | Anhang A 5.7 | NEU | Threat Intelligence |
| Organisatorische Kontrollen | Anhang A 5.8 |
Anhang A 6.1.5 Anhang A 14.1.1 |
Informationssicherheit im Projektmanagement |
| Organisatorische Kontrollen | Anhang A 5.9 |
Anhang A 8.1.1 Anhang A 8.1.2 |
Inventar der Informationen und anderer damit verbundener Vermögenswerte |
| Organisatorische Kontrollen | Anhang A 5.10 |
Anhang A 8.1.3 Anhang A 8.2.3 |
Akzeptable Nutzung von Informationen und anderen damit verbundenen Vermögenswerten |
| Organisatorische Kontrollen | Anhang A 5.11 | Anhang A 8.1.4 | Rückgabe von Vermögenswerten |
| Organisatorische Kontrollen | Anhang A 5.12 | Anhang A 8.2.1 | Klassifizierung von Informationen |
| Organisatorische Kontrollen | Anhang A 5.13 | Anhang A 8.2.2 | Kennzeichnung von Informationen |
| Organisatorische Kontrollen | Anhang A 5.14 |
Anhang A 13.2.1 Anhang A 13.2.2 Anhang A 13.2.3 |
Informationsübertragung |
| Organisatorische Kontrollen | Anhang A 5.15 |
Anhang A 9.1.1 Anhang A 9.1.2 |
Zugangskontrolle |
| Organisatorische Kontrollen | Anhang A 5.16 | Anhang A 9.2.1 | Identitätsmanagement |
| Organisatorische Kontrollen | Anhang A 5.17 |
Anhang A 9.2.4 Anhang A 9.3.1 Anhang A 9.4.3 |
Authentifizierungsinformationen |
| Organisatorische Kontrollen | Anhang A 5.18 |
Anhang A 9.2.2 Anhang A 9.2.5 Anhang A 9.2.6 |
Zugangsrechte |
| Organisatorische Kontrollen | Anhang A 5.19 | Anhang A 15.1.1 | Informationssicherheit in Lieferantenbeziehungen |
| Organisatorische Kontrollen | Anhang A 5.20 | Anhang A 15.1.2 | Adressierung der Informationssicherheit in Lieferantenvereinbarungen |
| Organisatorische Kontrollen | Anhang A 5.21 | Anhang A 15.1.3 | Management der Informationssicherheit in der IKT-Lieferkette |
| Organisatorische Kontrollen | Anhang A 5.22 |
Anhang A 15.2.1 Anhang A 15.2.2 |
Überwachung, Überprüfung und Änderungsmanagement von Lieferantendienstleistungen |
| Organisatorische Kontrollen | Anhang A 5.23 | NEU | Informationssicherheit für die Nutzung von Cloud-Diensten |
| Organisatorische Kontrollen | Anhang A 5.24 | Anhang A 16.1.1 | Planung und Vorbereitung des Managements von Informationssicherheitsvorfällen |
| Organisatorische Kontrollen | Anhang A 5.25 | Anhang A 16.1.4 | Bewertung und Entscheidung zu Informationssicherheitsereignissen |
| Organisatorische Kontrollen | Anhang A 5.26 | Anhang A 16.1.5 | Reaktion auf Informationssicherheitsvorfälle |
| Organisatorische Kontrollen | Anhang A 5.27 | Anhang A 16.1.6 | Aus Informationssicherheitsvorfällen lernen |
| Organisatorische Kontrollen | Anhang A 5.28 | Anhang A 16.1.7 | Beweissammlung |
| Organisatorische Kontrollen | Anhang A 5.29 |
Anhang A 17.1.1 Anhang A 17.1.2 Anhang A 17.1.3 |
Informationssicherheit bei Störungen |
| Organisatorische Kontrollen | Anhang A 5.30 | NEU | IKT-Bereitschaft für Geschäftskontinuität |
| Organisatorische Kontrollen | Anhang A 5.31 |
Anhang A 18.1.1 Anhang A 18.1.5 |
Rechtliche, gesetzliche, behördliche und vertragliche Anforderungen |
| Organisatorische Kontrollen | Anhang A 5.32 | Anhang A 18.1.2 | Rechte an geistigem Eigentum |
| Organisatorische Kontrollen | Anhang A 5.33 | Anhang A 18.1.3 | Schutz von Aufzeichnungen |
| Organisatorische Kontrollen | Anhang A 5.34 | Anhang A 18.1.4 | Datenschutz und Schutz personenbezogener Daten |
| Organisatorische Kontrollen | Anhang A 5.35 | Anhang A 18.2.1 | Unabhängige Überprüfung der Informationssicherheit |
| Organisatorische Kontrollen | Anhang A 5.36 |
Anhang A 18.2.2 Anhang A 18.2.3 |
Einhaltung von Richtlinien, Regeln und Standards für die Informationssicherheit |
| Organisatorische Kontrollen | Anhang A 5.37 | Anhang A 12.1.1 | Dokumentierte Betriebsabläufe |
| Anhang A Kontrolltyp | ISO/IEC 27001:2022 Anhang A Kennung | ISO/IEC 27001:2013 Anhang A Kennung | Anhang A Name |
|---|---|---|---|
| Menschenkontrollen | Anhang A 6.1 | Anhang A 7.1.1 | Rekrutierung |
| Menschenkontrollen | Anhang A 6.2 | Anhang A 7.1.2 | Allgemeine Geschäftsbedingungen |
| Menschenkontrollen | Anhang A 6.3 | Anhang A 7.2.2 | Informationssicherheitsbewusstsein, Bildung und Schulung |
| Menschenkontrollen | Anhang A 6.4 | Anhang A 7.2.3 | Disziplinarverfahren |
| Menschenkontrollen | Anhang A 6.5 | Anhang A 7.3.1 | Verantwortlichkeiten nach Beendigung oder Wechsel des Arbeitsverhältnisses |
| Menschenkontrollen | Anhang A 6.6 | Anhang A 13.2.4 | Vertraulichkeits- oder Geheimhaltungsvereinbarungen |
| Menschenkontrollen | Anhang A 6.7 | Anhang A 6.2.2 | Fernarbeit |
| Menschenkontrollen | Anhang A 6.8 |
Anhang A 16.1.2 Anhang A 16.1.3 |
Berichterstattung über Informationssicherheitsereignisse |
| Anhang A Kontrolltyp | ISO/IEC 27001:2022 Anhang A Kennung | ISO/IEC 27001:2013 Anhang A Kennung | Anhang A Name |
|---|---|---|---|
| Physikalische Kontrollen | Anhang A 7.1 | Anhang A 11.1.1 | Physische Sicherheitsbereiche |
| Physikalische Kontrollen | Anhang A 7.2 |
Anhang A 11.1.2 Anhang A 11.1.6 |
Physischer Eintritt |
| Physikalische Kontrollen | Anhang A 7.3 | Anhang A 11.1.3 | Sicherung von Büros, Räumen und Einrichtungen |
| Physikalische Kontrollen | Anhang A 7.4 | NEU | Physische Sicherheitsüberwachung |
| Physikalische Kontrollen | Anhang A 7.5 | Anhang A 11.1.4 | Schutz vor physischen und umweltbedingten Bedrohungen |
| Physikalische Kontrollen | Anhang A 7.6 | Anhang A 11.1.5 | Arbeiten in sicheren Bereichen |
| Physikalische Kontrollen | Anhang A 7.7 | Anhang A 11.2.9 | Klarer Schreibtisch und klarer Bildschirm |
| Physikalische Kontrollen | Anhang A 7.8 | Anhang A 11.2.1 | Standort und Schutz der Ausrüstung |
| Physikalische Kontrollen | Anhang A 7.9 | Anhang A 11.2.6 | Sicherheit von Vermögenswerten außerhalb des Betriebsgeländes |
| Physikalische Kontrollen | Anhang A 7.10 |
Anhang A 8.3.1 Anhang A 8.3.2 Anhang A 8.3.3 Anhang A 11.2.5 |
Speichermedien |
| Physikalische Kontrollen | Anhang A 7.11 | Anhang A 11.2.2 | Unterstützende Dienstprogramme |
| Physikalische Kontrollen | Anhang A 7.12 | Anhang A 11.2.3 | Verkabelungssicherheit |
| Physikalische Kontrollen | Anhang A 7.13 | Anhang A 11.2.4 | Wartung der Ausrüstung |
| Physikalische Kontrollen | Anhang A 7.14 | Anhang A 11.2.7 | Sichere Entsorgung oder Wiederverwendung von Geräten |
| Anhang A Kontrolltyp | ISO/IEC 27001:2022 Anhang A Kennung | ISO/IEC 27001:2013 Anhang A Kennung | Anhang A Name |
|---|---|---|---|
| Technologische Kontrollen | Anhang A 8.1 |
Anhang A 6.2.1 Anhang A 11.2.8 |
Benutzer-Endpunktgeräte |
| Technologische Kontrollen | Anhang A 8.2 | Anhang A 9.2.3 | Privilegierte Zugriffsrechte |
| Technologische Kontrollen | Anhang A 8.3 | Anhang A 9.4.1 | Beschränkung des Informationszugriffs |
| Technologische Kontrollen | Anhang A 8.4 | Anhang A 9.4.5 | Zugang zum Quellcode |
| Technologische Kontrollen | Anhang A 8.5 | Anhang A 9.4.2 | Sichere Authentifizierung |
| Technologische Kontrollen | Anhang A 8.6 | Anhang A 12.1.3 | Kapazitätsmanagement |
| Technologische Kontrollen | Anhang A 8.7 | Anhang A 12.2.1 | Schutz vor Malware |
| Technologische Kontrollen | Anhang A 8.8 |
Anhang A 12.6.1 Anhang A 18.2.3 |
Management technischer Schwachstellen |
| Technologische Kontrollen | Anhang A 8.9 | NEU | Configuration Management |
| Technologische Kontrollen | Anhang A 8.10 | NEU | Löschen von Informationen |
| Technologische Kontrollen | Anhang A 8.11 | NEU | Datenmaskierung |
| Technologische Kontrollen | Anhang A 8.12 | NEU | Verhinderung von Datenlecks |
| Technologische Kontrollen | Anhang A 8.13 | Anhang A 12.3.1 | Informationssicherung |
| Technologische Kontrollen | Anhang A 8.14 | Anhang A 17.2.1 | Redundanz von Informationsverarbeitungseinrichtungen |
| Technologische Kontrollen | Anhang A 8.15 |
Anhang A 12.4.1 Anhang A 12.4.2 Anhang A 12.4.3 |
Protokollierung |
| Technologische Kontrollen | Anhang A 8.16 | NEU | Überwachungsaktivitäten |
| Technologische Kontrollen | Anhang A 8.17 | Anhang A 12.4.4 | Uhrensynchronisation |
| Technologische Kontrollen | Anhang A 8.18 | Anhang A 9.4.4 | Nutzung privilegierter DienstprogrammeZugriffsrechte |
| Technologische Kontrollen | Anhang A 8.19 |
Anhang A 12.5.1 Anhang A 12.6.2 |
Installation von Software auf Betriebssystemen |
| Technologische Kontrollen | Anhang A 8.20 | Anhang A 13.1.1 | Netzwerksicherheit |
| Technologische Kontrollen | Anhang A 8.21 | Anhang A 13.1.2 | Sicherheit von Netzwerkdiensten |
| Technologische Kontrollen | Anhang A 8.22 | Anhang A 13.1.3 | Trennung von Netzwerken |
| Technologische Kontrollen | Anhang A 8.23 | NEU | Web-Filter |
| Technologische Kontrollen | Anhang A 8.24 |
Anhang A 10.1.1 Anhang A 10.1.2 |
Verwendung von Kryptographie |
| Technologische Kontrollen | Anhang A 8.25 | Anhang A 14.2.1 | Sicherer Entwicklungslebenszyklus |
| Technologische Kontrollen | Anhang A 8.26 |
Anhang A 14.1.2 Anhang A 14.1.3 |
Anforderungen an die Anwendungssicherheit |
| Technologische Kontrollen | Anhang A 8.27 | Anhang A 14.2.5 | Sichere Systemarchitektur und technische Prinzipien. Lernen aus Informationssicherheitsvorfällen. |
| Technologische Kontrollen | Anhang A 8.28 | NEU | Sichere Codierung |
| Technologische Kontrollen | Anhang A 8.29 |
Anhang A 14.2.8 Anhang A 14.2.9 |
Sicherheitstests in Entwicklung und Akzeptanz |
| Technologische Kontrollen | Anhang A 8.30 | Anhang A 14.2.7 | Ausgelagerte Entwicklung |
| Technologische Kontrollen | Anhang A 8.31 |
Anhang A 12.1.4 Anhang A 14.2.6 |
Trennung von Entwicklungs-, Test- und Produktionsumgebungen |
| Technologische Kontrollen | Anhang A 8.32 |
Anhang A 12.1.2 Anhang A 14.2.2 Anhang A 14.2.3 Anhang A 14.2.4 |
Change Control |
| Technologische Kontrollen | Anhang A 8.33 | Anhang A 14.3.1 | Testinformationen |
| Technologische Kontrollen | Anhang A 8.34 | Anhang A 12.7.1 | Schutz von Informationssystemen während Audittests |
Wie ISMS.online hilft
Unsere Plattform bietet Ihnen anpassbare Dashboards, die Ihnen einen Echtzeitüberblick über Ihren Compliance-Status verschaffen.
Sie können die gesamte ISO 27001:2022-Konformität von einem Ort aus überwachen und steuern, einschließlich Auditmanagement, Lückenanalyse, Schulungsmanagement, Risikobewertung und mehr.
Diese umfassende Plattform bietet eine einfache und integrierte Lösung, die rund um die Uhr von jedem mit dem Internet verbundenen Gerät genutzt werden kann. Es ermöglicht eine nahtlose und sichere Zusammenarbeit zwischen Mitarbeitern, um Sicherheitsrisiken zu überwachen und den Fortschritt der Organisation bei der Erlangung der ISO 27001:2022-Zertifizierung zu verfolgen.
Kontaktieren Sie uns jetzt, um Vereinbaren Sie eine Vorführung.