- Weitere Informationen finden Sie auch in den ISO 27002:2022 Kontrolle 8.9 .
Zweck von ISO 27001:2022 Anhang A 8.9
Konfigurationen, entweder als einzelne Konfigurationsdatei oder als Sammlung miteinander verknüpfter Konfigurationen, bestimmen, wie Hardware, Software und Netzwerke verwaltet werden.
Beispielsweise enthält die Konfigurationsdatei einer Firewall die Basisattribute, die das Gerät verwendet, um den in das Netzwerk einer Organisation ein- und ausgehenden Datenverkehr zu verwalten, z. B. Sperrlisten, Portweiterleitung, virtuelle LANs und VPN-Informationen.
Das Konfigurationsmanagement ist ein wesentlicher Bestandteil jeder Organisation Vermögensverwaltung Strategie. Konfigurationen sind von entscheidender Bedeutung, um sicherzustellen, dass ein Netzwerk ordnungsgemäß funktioniert, und um Geräte vor nicht genehmigten Änderungen oder unangemessenen Änderungen durch Wartungspersonal und/oder Anbieter zu schützen.
Eigentum an Anlage A 8.9
Bei der Konfigurationsverwaltung handelt es sich um eine Verwaltungsaufgabe, die sich der Verwaltung und Beobachtung anlagenbezogener Daten und Informationen widmet, die auf verschiedenen Geräten und Anwendungen vorhanden sind. Daher sollte das Eigentum in den Händen der liegen Head of IT oder das Äquivalent.
ISO 27001 leicht gemacht
Ein Vorsprung von 81 % vom ersten Tag an
Wir haben die harte Arbeit für Sie erledigt und Ihnen vom Moment Ihrer Anmeldung an einen Vorsprung von 81 % verschafft. Sie müssen nur noch die Lücken ausfüllen.
Leitfaden zur Einhaltung von ISO 27001:2022 Anhang A 8.9
Unternehmen müssen Richtlinien für das Konfigurationsmanagement sowohl für neue als auch für bestehende Systeme und Hardware erstellen und umsetzen. Interne Kontrollen sollten Schlüsselelemente wie Sicherheitskonfigurationen, Hardware mit Konfigurationsdateien und alle anwendbaren Software oder Systeme umfassen.
ISO 27001:2022 Anhang A 8.9 verlangt von Organisationen, bei der Erstellung einer Konfigurationsrichtlinie alle relevanten Rollen und Pflichten zu berücksichtigen, einschließlich der Zuweisung des Eigentums an Konfigurationen auf Geräte- oder Anwendungsbasis.
Anleitung zu Standardvorlagen
Organisationen sollten sich bemühen, wann immer möglich, standardisierte Vorlagen zu verwenden, um die gesamte Hardware, Software und Systeme zu sichern. Diese Vorlagen sollten:
- Versuchen Sie, frei verfügbare herstellerspezifische und Open-Source-Anweisungen zu verwenden, um Hardware- und Softwareressourcen optimal zu konfigurieren.
- Stellen Sie sicher, dass das Gerät, die Anwendung oder das System die Mindestsicherheitsanforderungen einhält.
- Arbeiten Sie mit den größeren Unternehmen des Unternehmens zusammen Informationssicherheit Aktivitäten, einschließlich aller geltenden ISO-Vorschriften.
- Berücksichtigen Sie die besonderen Geschäftsanforderungen der Organisation – insbesondere im Hinblick auf Sicherheitseinstellungen – sowie die Möglichkeit, jederzeit eine Vorlage anzuwenden oder zu verwalten.
- Überprüfen Sie in regelmäßigen Abständen die System- und Hardware-Updates sowie alle aktuellen Sicherheitsbedrohungen, um eine optimale Leistung sicherzustellen.
Befreien Sie sich von einem Berg an Tabellenkalkulationen
Integrieren, erweitern und skalieren Sie Ihre Compliance, ohne dass es zu Problemen kommt. IO gibt Ihnen die Widerstandsfähigkeit und das Vertrauen, um sicher zu wachsen.
Anleitung zu Sicherheitskontrollen
Sicherheit ist von größter Bedeutung, wenn Sie Konfigurationsvorlagen anwenden oder bestehende gemäß den oben genannten Richtlinien ändern.
Bei der Erwägung von Vorlagen, die im gesamten Unternehmen implementiert werden sollen, sollten Unternehmen danach streben, potenzielle Gefahren für die Informationssicherheit zu reduzieren, indem sie:
- Beschränken Sie die Zahl der Mitarbeiter mit Verwaltungsbefugnissen auf die geringstmögliche Zahl.
- Deaktivieren Sie alle Identitäten, die nicht verwendet oder nicht benötigt werden.
- Verfolgen Sie den Zugriff auf Wartungsprogramme, Dienstprogramme und interne Einstellungen sorgfältig.
- Stellen Sie sicher, dass die Uhren koordiniert sind, um die Konfiguration genau aufzuzeichnen und zukünftige Sonden zu unterstützen.
- Ändern Sie sofort alle Standardkennwörter oder Sicherheitseinstellungen, die mit jedem Gerät, Dienst oder Programm bereitgestellt werden.
- Implementieren Sie einen voreingestellten Abmeldezeitraum für alle Geräte, Systeme oder Anwendungen, die für einen festgelegten Zeitraum inaktiv waren.
- Stellen Sie die Einhaltung von ISO 27001:2022 Anhang A 5.32 sicher, um sicherzustellen, dass alle Lizenzanforderungen erfüllt sind.
Anleitung zum Verwalten und Überwachen von Konfigurationen
Die Organisation ist verpflichtet, Konfigurationen zusammen mit einem Verlauf aller Änderungen oder neuen Setups gemäß dem Änderungsmanagementprozess ISO 27001:2022 Anhang A 8.32 aufzubewahren und aufzuzeichnen.
Protokolle sollten Informationen enthalten, die Folgendes detailliert beschreiben:
- Wer hält den Vermögenswert?
- Notieren Sie den Zeitpunkt der letzten Konfigurationsänderung.
- Diese Version der Konfigurationsvorlage, die gültig ist.
- Erläutern Sie alle Daten, die für die Verknüpfung des Assets mit Konfigurationen auf anderen Geräten/Systemen relevant sind.
Organisationen sollten ein breites Spektrum an Methoden einsetzen, um die Funktionsweise von Konfigurationsdateien in ihrem Netzwerk im Auge zu behalten, wie zum Beispiel:
- Automatisierung.
- Es stehen spezielle Konfigurationswartungsprogramme zur Verfügung. Diese Programme ermöglichen eine effiziente und effektive Verwaltung der Einstellungen.
- Remote-Support-Tools, die automatisch Konfigurationsdaten für jedes Gerät ausfüllen.
- Enterprise-Dienstprogramme zur Geräte- und Softwareverwaltung werden erstellt, um große Mengen an Konfigurationsdaten gleichzeitig zu überwachen.
- Die BUDR-Software bietet automatisierte Backups von Konfigurationen an einem sicheren Ort und kann Vorlagen aus der Ferne oder vor Ort auf fehlerhaften oder kompromittierten Geräten wiederherstellen.
Unternehmen sollten spezielle Software einsetzen, um alle Änderungen an der Konfiguration eines Geräts zu überwachen und schnell Maßnahmen zu ergreifen, um die Änderung entweder zu genehmigen oder auf den ursprünglichen Status zurückzusetzen.
Begleitende Anhang-A-Kontrollen
- ISO 27001:2022 Anhang A 5.32
- ISO 27001:2022 Anhang A 8.32
[case_study_slider ids=”88859,101932,92016″ autoplay=”true” autoplay_speed=”5000″]
Änderungen und Unterschiede zu ISO 27001:2013
ISO 27001:2022 Anhang A 8.9 ist in ISO 27001:2013 nicht vorhanden, da es sich um eine neue Ergänzung in der Revision 2022 handelt.
Tabelle aller ISO 27001:2022 Anhang A-Kontrollen
In der folgenden Tabelle finden Sie weitere Informationen zu jeder einzelnen ISO 27001:2022 Anhang A Steuern.
| Anhang A Kontrolltyp | ISO/IEC 27001:2022 Anhang A Kennung | ISO/IEC 27001:2013 Anhang A Kennung | Anhang A Name |
|---|---|---|---|
| Organisatorische Kontrollen | Anhang A 5.1 |
Anhang A 5.1.1 Anhang A 5.1.2 |
Richtlinien zur Informationssicherheit |
| Organisatorische Kontrollen | Anhang A 5.2 | Anhang A 6.1.1 | Rollen und Verantwortlichkeiten im Bereich Informationssicherheit |
| Organisatorische Kontrollen | Anhang A 5.3 | Anhang A 6.1.2 | Aufgabentrennung |
| Organisatorische Kontrollen | Anhang A 5.4 | Anhang A 7.2.1 | Führungsaufgaben |
| Organisatorische Kontrollen | Anhang A 5.5 | Anhang A 6.1.3 | Kontakt mit Behörden |
| Organisatorische Kontrollen | Anhang A 5.6 | Anhang A 6.1.4 | Kontakt mit speziellen Interessengruppen |
| Organisatorische Kontrollen | Anhang A 5.7 | NEU | Threat Intelligence |
| Organisatorische Kontrollen | Anhang A 5.8 |
Anhang A 6.1.5 Anhang A 14.1.1 |
Informationssicherheit im Projektmanagement |
| Organisatorische Kontrollen | Anhang A 5.9 |
Anhang A 8.1.1 Anhang A 8.1.2 |
Inventar der Informationen und anderer damit verbundener Vermögenswerte |
| Organisatorische Kontrollen | Anhang A 5.10 |
Anhang A 8.1.3 Anhang A 8.2.3 |
Akzeptable Nutzung von Informationen und anderen damit verbundenen Vermögenswerten |
| Organisatorische Kontrollen | Anhang A 5.11 | Anhang A 8.1.4 | Rückgabe von Vermögenswerten |
| Organisatorische Kontrollen | Anhang A 5.12 | Anhang A 8.2.1 | Klassifizierung von Informationen |
| Organisatorische Kontrollen | Anhang A 5.13 | Anhang A 8.2.2 | Kennzeichnung von Informationen |
| Organisatorische Kontrollen | Anhang A 5.14 |
Anhang A 13.2.1 Anhang A 13.2.2 Anhang A 13.2.3 |
Informationsübertragung |
| Organisatorische Kontrollen | Anhang A 5.15 |
Anhang A 9.1.1 Anhang A 9.1.2 |
Zugangskontrolle |
| Organisatorische Kontrollen | Anhang A 5.16 | Anhang A 9.2.1 | Identitätsmanagement |
| Organisatorische Kontrollen | Anhang A 5.17 |
Anhang A 9.2.4 Anhang A 9.3.1 Anhang A 9.4.3 |
Authentifizierungsinformationen |
| Organisatorische Kontrollen | Anhang A 5.18 |
Anhang A 9.2.2 Anhang A 9.2.5 Anhang A 9.2.6 |
Zugangsrechte |
| Organisatorische Kontrollen | Anhang A 5.19 | Anhang A 15.1.1 | Informationssicherheit in Lieferantenbeziehungen |
| Organisatorische Kontrollen | Anhang A 5.20 | Anhang A 15.1.2 | Adressierung der Informationssicherheit in Lieferantenvereinbarungen |
| Organisatorische Kontrollen | Anhang A 5.21 | Anhang A 15.1.3 | Management der Informationssicherheit in der IKT-Lieferkette |
| Organisatorische Kontrollen | Anhang A 5.22 |
Anhang A 15.2.1 Anhang A 15.2.2 |
Überwachung, Überprüfung und Änderungsmanagement von Lieferantendienstleistungen |
| Organisatorische Kontrollen | Anhang A 5.23 | NEU | Informationssicherheit für die Nutzung von Cloud-Diensten |
| Organisatorische Kontrollen | Anhang A 5.24 | Anhang A 16.1.1 | Planung und Vorbereitung des Managements von Informationssicherheitsvorfällen |
| Organisatorische Kontrollen | Anhang A 5.25 | Anhang A 16.1.4 | Bewertung und Entscheidung zu Informationssicherheitsereignissen |
| Organisatorische Kontrollen | Anhang A 5.26 | Anhang A 16.1.5 | Reaktion auf Informationssicherheitsvorfälle |
| Organisatorische Kontrollen | Anhang A 5.27 | Anhang A 16.1.6 | Aus Informationssicherheitsvorfällen lernen |
| Organisatorische Kontrollen | Anhang A 5.28 | Anhang A 16.1.7 | Beweissammlung |
| Organisatorische Kontrollen | Anhang A 5.29 |
Anhang A 17.1.1 Anhang A 17.1.2 Anhang A 17.1.3 |
Informationssicherheit bei Störungen |
| Organisatorische Kontrollen | Anhang A 5.30 | NEU | IKT-Bereitschaft für Geschäftskontinuität |
| Organisatorische Kontrollen | Anhang A 5.31 |
Anhang A 18.1.1 Anhang A 18.1.5 |
Rechtliche, gesetzliche, behördliche und vertragliche Anforderungen |
| Organisatorische Kontrollen | Anhang A 5.32 | Anhang A 18.1.2 | Rechte an geistigem Eigentum |
| Organisatorische Kontrollen | Anhang A 5.33 | Anhang A 18.1.3 | Schutz von Aufzeichnungen |
| Organisatorische Kontrollen | Anhang A 5.34 | Anhang A 18.1.4 | Datenschutz und Schutz personenbezogener Daten |
| Organisatorische Kontrollen | Anhang A 5.35 | Anhang A 18.2.1 | Unabhängige Überprüfung der Informationssicherheit |
| Organisatorische Kontrollen | Anhang A 5.36 |
Anhang A 18.2.2 Anhang A 18.2.3 |
Einhaltung von Richtlinien, Regeln und Standards für die Informationssicherheit |
| Organisatorische Kontrollen | Anhang A 5.37 | Anhang A 12.1.1 | Dokumentierte Betriebsabläufe |
| Anhang A Kontrolltyp | ISO/IEC 27001:2022 Anhang A Kennung | ISO/IEC 27001:2013 Anhang A Kennung | Anhang A Name |
|---|---|---|---|
| Menschenkontrollen | Anhang A 6.1 | Anhang A 7.1.1 | Rekrutierung |
| Menschenkontrollen | Anhang A 6.2 | Anhang A 7.1.2 | Allgemeine Geschäftsbedingungen |
| Menschenkontrollen | Anhang A 6.3 | Anhang A 7.2.2 | Informationssicherheitsbewusstsein, Bildung und Schulung |
| Menschenkontrollen | Anhang A 6.4 | Anhang A 7.2.3 | Disziplinarverfahren |
| Menschenkontrollen | Anhang A 6.5 | Anhang A 7.3.1 | Verantwortlichkeiten nach Beendigung oder Wechsel des Arbeitsverhältnisses |
| Menschenkontrollen | Anhang A 6.6 | Anhang A 13.2.4 | Vertraulichkeits- oder Geheimhaltungsvereinbarungen |
| Menschenkontrollen | Anhang A 6.7 | Anhang A 6.2.2 | Fernarbeit |
| Menschenkontrollen | Anhang A 6.8 |
Anhang A 16.1.2 Anhang A 16.1.3 |
Berichterstattung über Informationssicherheitsereignisse |
| Anhang A Kontrolltyp | ISO/IEC 27001:2022 Anhang A Kennung | ISO/IEC 27001:2013 Anhang A Kennung | Anhang A Name |
|---|---|---|---|
| Physikalische Kontrollen | Anhang A 7.1 | Anhang A 11.1.1 | Physische Sicherheitsbereiche |
| Physikalische Kontrollen | Anhang A 7.2 |
Anhang A 11.1.2 Anhang A 11.1.6 |
Physischer Eintritt |
| Physikalische Kontrollen | Anhang A 7.3 | Anhang A 11.1.3 | Sicherung von Büros, Räumen und Einrichtungen |
| Physikalische Kontrollen | Anhang A 7.4 | NEU | Physische Sicherheitsüberwachung |
| Physikalische Kontrollen | Anhang A 7.5 | Anhang A 11.1.4 | Schutz vor physischen und umweltbedingten Bedrohungen |
| Physikalische Kontrollen | Anhang A 7.6 | Anhang A 11.1.5 | Arbeiten in sicheren Bereichen |
| Physikalische Kontrollen | Anhang A 7.7 | Anhang A 11.2.9 | Klarer Schreibtisch und klarer Bildschirm |
| Physikalische Kontrollen | Anhang A 7.8 | Anhang A 11.2.1 | Standort und Schutz der Ausrüstung |
| Physikalische Kontrollen | Anhang A 7.9 | Anhang A 11.2.6 | Sicherheit von Vermögenswerten außerhalb des Betriebsgeländes |
| Physikalische Kontrollen | Anhang A 7.10 |
Anhang A 8.3.1 Anhang A 8.3.2 Anhang A 8.3.3 Anhang A 11.2.5 |
Speichermedien |
| Physikalische Kontrollen | Anhang A 7.11 | Anhang A 11.2.2 | Unterstützende Dienstprogramme |
| Physikalische Kontrollen | Anhang A 7.12 | Anhang A 11.2.3 | Verkabelungssicherheit |
| Physikalische Kontrollen | Anhang A 7.13 | Anhang A 11.2.4 | Wartung der Ausrüstung |
| Physikalische Kontrollen | Anhang A 7.14 | Anhang A 11.2.7 | Sichere Entsorgung oder Wiederverwendung von Geräten |
| Anhang A Kontrolltyp | ISO/IEC 27001:2022 Anhang A Kennung | ISO/IEC 27001:2013 Anhang A Kennung | Anhang A Name |
|---|---|---|---|
| Technologische Kontrollen | Anhang A 8.1 |
Anhang A 6.2.1 Anhang A 11.2.8 |
Benutzer-Endpunktgeräte |
| Technologische Kontrollen | Anhang A 8.2 | Anhang A 9.2.3 | Privilegierte Zugriffsrechte |
| Technologische Kontrollen | Anhang A 8.3 | Anhang A 9.4.1 | Beschränkung des Informationszugriffs |
| Technologische Kontrollen | Anhang A 8.4 | Anhang A 9.4.5 | Zugang zum Quellcode |
| Technologische Kontrollen | Anhang A 8.5 | Anhang A 9.4.2 | Sichere Authentifizierung |
| Technologische Kontrollen | Anhang A 8.6 | Anhang A 12.1.3 | Kapazitätsmanagement |
| Technologische Kontrollen | Anhang A 8.7 | Anhang A 12.2.1 | Schutz vor Malware |
| Technologische Kontrollen | Anhang A 8.8 |
Anhang A 12.6.1 Anhang A 18.2.3 |
Management technischer Schwachstellen |
| Technologische Kontrollen | Anhang A 8.9 | NEU | Configuration Management |
| Technologische Kontrollen | Anhang A 8.10 | NEU | Löschen von Informationen |
| Technologische Kontrollen | Anhang A 8.11 | NEU | Datenmaskierung |
| Technologische Kontrollen | Anhang A 8.12 | NEU | Verhinderung von Datenlecks |
| Technologische Kontrollen | Anhang A 8.13 | Anhang A 12.3.1 | Informationssicherung |
| Technologische Kontrollen | Anhang A 8.14 | Anhang A 17.2.1 | Redundanz von Informationsverarbeitungseinrichtungen |
| Technologische Kontrollen | Anhang A 8.15 |
Anhang A 12.4.1 Anhang A 12.4.2 Anhang A 12.4.3 |
Protokollierung |
| Technologische Kontrollen | Anhang A 8.16 | NEU | Überwachungsaktivitäten |
| Technologische Kontrollen | Anhang A 8.17 | Anhang A 12.4.4 | Uhrensynchronisation |
| Technologische Kontrollen | Anhang A 8.18 | Anhang A 9.4.4 | Nutzung privilegierter DienstprogrammeZugriffsrechte |
| Technologische Kontrollen | Anhang A 8.19 |
Anhang A 12.5.1 Anhang A 12.6.2 |
Installation von Software auf Betriebssystemen |
| Technologische Kontrollen | Anhang A 8.20 | Anhang A 13.1.1 | Netzwerksicherheit |
| Technologische Kontrollen | Anhang A 8.21 | Anhang A 13.1.2 | Sicherheit von Netzwerkdiensten |
| Technologische Kontrollen | Anhang A 8.22 | Anhang A 13.1.3 | Trennung von Netzwerken |
| Technologische Kontrollen | Anhang A 8.23 | NEU | Web-Filter |
| Technologische Kontrollen | Anhang A 8.24 |
Anhang A 10.1.1 Anhang A 10.1.2 |
Verwendung von Kryptographie |
| Technologische Kontrollen | Anhang A 8.25 | Anhang A 14.2.1 | Sicherer Entwicklungslebenszyklus |
| Technologische Kontrollen | Anhang A 8.26 |
Anhang A 14.1.2 Anhang A 14.1.3 |
Anforderungen an die Anwendungssicherheit |
| Technologische Kontrollen | Anhang A 8.27 | Anhang A 14.2.5 | Sichere Systemarchitektur und technische Prinzipien. Lernen aus Informationssicherheitsvorfällen. |
| Technologische Kontrollen | Anhang A 8.28 | NEU | Sichere Codierung |
| Technologische Kontrollen | Anhang A 8.29 |
Anhang A 14.2.8 Anhang A 14.2.9 |
Sicherheitstests in Entwicklung und Akzeptanz |
| Technologische Kontrollen | Anhang A 8.30 | Anhang A 14.2.7 | Ausgelagerte Entwicklung |
| Technologische Kontrollen | Anhang A 8.31 |
Anhang A 12.1.4 Anhang A 14.2.6 |
Trennung von Entwicklungs-, Test- und Produktionsumgebungen |
| Technologische Kontrollen | Anhang A 8.32 |
Anhang A 12.1.2 Anhang A 14.2.2 Anhang A 14.2.3 Anhang A 14.2.4 |
Change Control |
| Technologische Kontrollen | Anhang A 8.33 | Anhang A 14.3.1 | Testinformationen |
| Technologische Kontrollen | Anhang A 8.34 | Anhang A 12.7.1 | Schutz von Informationssystemen während Audittests |
Wie ISMS.online hilft
ISMS.Online bietet einen umfassenden Ansatz für Implementierung von ISO 27001. Es bietet ein Full-Service-Paket, das eine schnelle und effiziente Abwicklung des gesamten Prozesses gewährleistet. Es bietet alle notwendigen Tools, Ressourcen und Anleitungen, damit Organisationen den Standard sicher implementieren können.
Mit diesem webbasierten System können Sie nachweisen, dass Ihre Informationssicherheits-Managementsystem (ISMS) erfüllt die anerkannten Standards, mit durchdachten Prozessen, Verfahren und Checklisten.
Kontaktieren Sie uns jetzt, um Vereinbaren Sie eine Vorführung.