ISO 27001: 2022 Anhang A 5.11 - Rückgabe von Vermögenswerten

Was ist der Zweck von Anhang A 5.11?

Die folgenden sind Beispiele für Informationsressourcen für eine Organisation:

• Physische Dokumente.
• Digitale Dateien und Datenbanken.
• Softwareprogramme.
• Sogar immaterielle Gegenstände wie Geschäftsgeheimnisse und geistiges Eigentum.

Die Informationsbestände eines Unternehmens können in vielerlei Hinsicht wertvoll sein. Dazu gehört auch die Speicherung sensibler Informationen über Kunden, Mitarbeiter oder andere Stakeholder, die von Kriminellen für finanziellen Gewinn oder Identitätsdiebstahl ausgenutzt werden können. Zusätzlich zu Finanz-, Forschungs- und Betriebsinformationen könnten sie Ihren Konkurrenten einen Wettbewerbsvorteil verschaffen, wenn sie Zugriff darauf hätten.

Aus diesem Grund müssen alle Vermögenswerte und Vermögenswerte von Mitarbeitern und Auftragnehmern zurückgegeben werden, die ihr Arbeitsverhältnis bei einer Organisation beenden.

Im Rahmen des Ausstiegsprozesses müssen Vermögenswerte gemäß dem Prozess zurückgegeben werden, sofern nicht anders vereinbart und dokumentiert:

• Anhang A.5 beschreibt die zu ergreifenden Schritte, wenn die Nichtrückgabe als a erfasst wird Sicherheitsvorfall.
• Um einen dauerhaften Schutz zu gewährleisten, regelmäßige Vermögensprüfungen sind auch notwendig, um sicherzustellen, dass das Rückgabeverfahren narrensicher ist.

Änderung des Beschäftigungsstatus gemäß ISO 27001:2022 Anhang a 5.11

Im Rahmen der Änderung oder Beendigung von Arbeitsverhältnissen, Verträgen oder Vereinbarungen schützt die Kontrolle 5.11 die Vermögenswerte der Organisation. Unbefugten Personen ist es untersagt, Vermögenswerte der Organisation (einschließlich Ausrüstung, Informationen, Software usw.) im Rahmen dieser Anhang-A-Kontrolle zurückzubehalten.

Sie müssen sicherstellen, dass Ihre Mitarbeiter und Auftragnehmer keine sensiblen Daten mitnehmen, indem Sie potenzielle Bedrohungen identifizieren und die Aktivitäten des Benutzers überwachen, bevor er das Unternehmen verlässt.

Wenn einer Person gekündigt wird, verhindert diese Kontrolle in Anhang A, dass sie auf IT-Systeme und Netzwerke zugreifen kann. Organisationen sollten einen formellen Kündigungsprozess einrichten, damit Einzelpersonen keinen Zugriff mehr auf IT-Systeme haben. Sie können dies erreichen, indem Sie alle Berechtigungen widerrufen, Konten deaktivieren und den Zugang zum Gebäudegelände entziehen.

Es müssen Verfahren eingerichtet werden, um sicherzustellen, dass alle Mitarbeiter, Auftragnehmer und andere relevante Parteien alle Vermögenswerte zurückgeben, die nicht mehr für Geschäftszwecke benötigt werden. Diese Vermögenswerte sollten so schnell wie möglich ersetzt werden.

Außerdem sollten Organisationen den Arbeitsbereich der Person überprüfen, um sicherzustellen, dass alle vertraulichen Informationen zurückgegeben wurden.

Bedenken Sie zum Beispiel:

• Die Ausrüstung der Organisation (Laptops und Wechseldatenträger) wird bei der Trennung abgeholt.
• Nach Abschluss des Vertrags sind die Auftragnehmer verpflichtet, sämtliche Geräte und Informationen zurückzugeben.

Aufbau eines Ausstiegsprozesses und was Sie tun müssen

Eine Organisation muss ihren Änderungs- oder Kündigungsprozess formalisieren, einschließlich der Rückgabe aller zuvor ausgegebenen physischen und elektronischen Vermögenswerte, die ihr gehören oder ihr anvertraut wurden.

Dabei sollten auch alle Zugriffsrechte, Konten, digitalen Zertifikate und Passwörter entfernt werden. Diese Formalisierung ist besonders wichtig, wenn eine Änderung oder Beendigung unerwartet eintritt, beispielsweise durch Tod oder Rücktritt. Unbefugter Zugriff auf Unternehmensressourcen kann zu a führen Datenmissbrauch wenn nicht verhindert.

Ein sicherer Entsorgungs-/Rückgabeprozess sollte sicherstellen, dass alle Vermögenswerte erfasst werden.

ISO 27001:2022 verlangt von der Organisation, alle Informationen und zugehörigen Vermögenswerte, die zurückgegeben werden sollen, zu identifizieren und zu dokumentieren, einschließlich:

1. Benutzerendpunktgeräte.
2. Tragbare Speichergeräte.
3. Spezialausrüstung.
4. Authentifizierungshardware (z. B. mechanische Schlüssel, physische Token und Smartcards) für Informationssysteme, Standorte und physische Archive.
5. Physische Kopien von Informationen.

Nach der Kündigung sollte der Benutzer eine formelle Checkliste mit allen Artikeln ausfüllen, die zurückgegeben oder entsorgt werden müssen. Diese Checkliste sollte alle erforderlichen Unterschriften enthalten, um zu bestätigen, dass die Vermögenswerte ordnungsgemäß zurückgegeben oder entsorgt wurden.

Was sind die Änderungen und Unterschiede zur ISO 27001:2013?

ISO 27001:2013 wurde im Oktober 2022 aktualisiert nach ISO 27001:2022.

Annex A Control 5.11 ist nicht neu, sondern eine Modifikation von Annex A Control 8.1.4 – die Rückgabe von Vermögenswerten.

In den Umsetzungsrichtlinien sind die Kontrollen in Anhang A im Wesentlichen gleich, mit ähnlicher Sprache und Ausdrucksweise. Jedoch, Anhang A der ISO 27001:2022 Control 5.11 verfügt über eine Attributtabelle, mit der Benutzer sie mit dem abgleichen können, was sie implementieren. Kontrolle 5.11 in ISO 27001:2022 legt fest, welche Vermögenswerte bei Beendigung des Arbeitsverhältnisses oder Vertragsbeendigung zurückgegeben werden können.

Beispiele hierfür sind:

• Benutzerendpunktgeräte.
• Tragbare Speichergeräte.
• Spezialausrüstung.
• Authentifizierungshardware (z. B. mechanische Schlüssel, physische Token und Smartcards) für Informationssysteme, Standorte und physische Archive.
• Physische Kopien von Informationen.

In der Version ISO 27001:2013 ist diese Liste nicht verfügbar.

Tabelle aller ISO 27001:2022 Anhang A-Kontrollen

In der folgenden Tabelle finden Sie weitere Informationen zu jeder einzelnen ISO 27001:2022 Anhang A-Kontrolle.

Wie wirken sich diese Änderungen auf Sie aus?

ISO 27001:2022 ist eine Aktualisierung des Standards von 2013. Das Gremium, das den Standard überwacht, hat keine wesentlichen Änderungen vorgenommen.

Wie ISMS.online hilft

Sie können und implementieren Verwalten eines ISO 27001/27001-Informationssicherheitsmanagementsystems mit ISMS.online, unabhängig von Ihrer Erfahrung mit dem Standard.

Die perfekte Kombination aus Wissen und Technologie für einen frühen ISO 27001-Erfolg. ISMS.online enthält eine Richtlinie und ein Tool für Vermögensverwaltung.

Mit unserem System werden Sie Schritt für Schritt durch den Aufbau und die Verwaltung eines ISMS geführt:

• ISMS.online bietet eine Schritt-für-Schritt-Anleitung zur Implementierung von ISO 27001/27002 in jeder Organisation.
• Ein Tool zur Risikobewertung, das Sie durch den Risikoidentifizierungs- und -bewertungsprozess führt.
• Wir bieten eine Richtlinienpaket das online an Ihre Bedürfnisse angepasst werden kann.
• Mit einem Dokumentenkontrollsystem wird die Verwaltung von Dokumenten und Aufzeichnungen als Teil Ihres ISMS einfacher.
• Bessere Entscheidungsfindung durch automatisches Reporting.
• Mit unserer cloudbasierten Plattform können Sie den Nachweis der Einhaltung der Vorschriften dokumentieren ISO 27001-Framework mit einer Checkliste Ihrer Prozesse.

Nehmen Sie noch heute Kontakt mit uns auf Demo buchen.