ISO 27001:2022 Anhang A Kontrolle 5.33

Schutz von Aufzeichnungen

Demo buchen

Gruppe, von, glücklich, Kollegen, diskutieren, in, Konferenz, Raum

ISO 27001:2022 Anhang A 5.33 verlangt, dass alle Aufzeichnungen vor Verlust, Beschädigung oder Zerstörung geschützt werden müssen. Es müssen aktive Maßnahmen ergriffen werden, um sicherzustellen, dass Aufzeichnungen nicht verloren gehen, beschädigt oder zerstört werden.

Für einige Organisationen ist es aus Compliance-Gründen schwierig, Datensätze zu sortieren und zu verwalten.

Die im IKT-Bereich geführten Aufzeichnungen umfassen Daten und Informationen, die eine Organisation speichert und/oder für den täglichen Betrieb nutzt, darunter (unter anderem):

  • Individuelle Veranstaltungen.

  • Transaktionen.

  • Arbeits prozess.

  • Aktivitäten.

  • Funktionen.

ISO definiert Aufzeichnungen als „jede Sammlung von Informationen, unabhängig von ihrer Zusammensetzung oder Form“, einschließlich „Dokumente, Datensätze oder andere Arten von Informationen, die im Geschäftskontext generiert, erfasst und verwaltet werden“ sowie die damit verbundenen Daten aufzeichnen.

Der Zweck von ISO 27001:2022 Anhang A 5.33

Organisationen haben eine Verantwortung für den Schutz die Daten, über die sie verfügen – Personen, Finanzdaten und Betriebsbereiche – unter Einhaltung aller geltenden Vorschriften.

ISO 27001:2022 Anhang A 5.33 befasst sich mit dem Schutz von Geschäftsunterlagen vor fünf Hauptrisiken:

  1. Fälschung.

  2. Unbefugter Zugriff.

  3. Unbefugte Veröffentlichung oder Veröffentlichung.

  4. Verlust.

  5. Zerstörung.
Zum Thema springen

Allgemeine Leitlinien zu ISO 27001:2022 Anhang A 5.33

Anhang A 5.33 erkennt an, dass die Anforderungen einer Organisation an Aufzeichnungen, sowohl hinsichtlich der Menge als auch der Art, von Tag zu Tag variieren können.

ISO 27001:2022 Anhang A 5.33 identifiziert vier Hauptattribute des Datensatzmanagements:

  • Integrität.

  • Benutzerfreundlichkeit.

  • Authentizität.

  • Zuverlässigkeit.

ISO 27001:2022 Anhang A 5.33 verlangt von Organisationen Folgendes:

  1. Entwerfen und veröffentlichen Sie Richtlinien zu vier Hauptfunktionen sowie themenspezifische Richtlinien, die das Wesentliche der Aufzeichnungen widerspiegeln.

    • Entsorgung von Schallplatten.

    • Manipulation verhindern.

    • Plattenspeicher.

    • Datenverarbeitungskette.

  2. Führen Sie einen Aufbewahrungsplan für funktionale Aufzeichnungen ein, der angibt, wie lange verschiedene Arten von Aufzeichnungen im Zusammenhang mit ihrem jeweiligen Geschäftszweck aufbewahrt werden sollen.

  3. Konstruieren Sie Lager- und Handhabungsprozesse, die Folgendes berücksichtigen:

    • Alle geltenden Gesetze zur Führung von Geschäftsunterlagen müssen eingehalten werden.

    • Die Gemeinschaft und die Gesellschaft insgesamt haben Erwartungen an die Art und Weise, wie Organisationen ihre Aufzeichnungen verwalten sollten.

  4. Vernichten Sie Unterlagen auf sichere und geeignete Weise, sobald die Aufbewahrungsfrist abgelaufen ist.

  5. Kategorisieren Sie Datensätze entsprechend ihrem Sicherheitsrisiko und beachten Sie dabei die entsprechenden Aufbewahrungsfristen und Medien, in denen sie gespeichert sind, einschließlich (jedoch nicht beschränkt auf):

    • Persönliche Rekorde.

    • Rechtsakten.

    • Buchführung.

    • Geschäftliche Transaktionen.

  6. Stellen Sie sicher, dass die Speicherverfahren eine angemessene Zeitspanne für den Abruf ermöglichen, wenn dies von Dritten oder intern angefordert wird.

  7. Wenn elektronische Aufzeichnungen aufbewahrt werden, denken Sie darüber nach und reduzieren Sie das Risiko, dass der Zugriff auf oder die Wiederherstellung von Aufzeichnungen durch technologische Veränderungen, wie z. B. die Aufbewahrung kryptografischer Details, behindert wird (siehe ISO 27001:2022 Anhang A 8.24).

  8. Befolgen Sie die Anweisungen des Herstellers, wenn Sie Aufzeichnungen elektronisch aufbewahren oder verwalten, und berücksichtigen Sie dabei den natürlichen Verfall der Medien.

Änderungen und Unterschiede zu ISO 27001:2013

ISO 27001:2022 Anhang A 5.33 ersetzt ISO 27001:2013 Anhang A 18.1.3 (Schutz von Aufzeichnungen). überarbeiteter ISO-Standard 2022.

In ISO 27001:2022 erkennt die ISO an, wie wichtig es ist, zu definieren, was eine Geschäftsaufzeichnung darstellt. ISO 27001:2022 Anhang A 5.33 enthält zahlreiche Beispiele dafür, was die ISO als Aufzeichnungen ansieht (siehe oben), die in ISO 27001:2013 Anhang A 18.1.3 nicht enthalten sind.

ISO 27001:2022 Anhang A 5.33 hebt zwei zentrale Leitpunkte hervor, die die Grundlage der Aufzeichnungsrichtlinie einer Organisation bilden. Diese Punkte sind in der Version ISO 27001:2013 nicht enthalten. Die Aufzeichnungsrichtlinie regelt insbesondere die Aufbewahrungsdauer der Aufzeichnungen und etwaige medienspezifische Anforderungen.

Metadaten haben in der Datensatzverwaltung Einzug gehalten. Während ISO 27001:2013 Anhang A 18.1.3 keinen Verweis darauf enthält, wird es in ISO 27001:2022 Anhang A 5.33 als „wesentliche Komponente“ betrachtet.

Tabelle aller ISO 27001:2022 Anhang A-Kontrollen

In der Tabelle unten finden Sie weitere Informationen zu den einzelnen Personen ISO 27001:2022 Anhang A Steuern.

ISO 27001:2022 Organisationskontrollen

Anhang A KontrolltypISO/IEC 27001:2022 Anhang A KennungISO/IEC 27001:2013 Anhang A KennungAnhang A Name
Organisatorische KontrollenAnhang A 5.1Anhang A 5.1.1
Anhang A 5.1.2		Richtlinien zur Informationssicherheit
Organisatorische KontrollenAnhang A 5.2Anhang A 6.1.1Rollen und Verantwortlichkeiten im Bereich Informationssicherheit
Organisatorische KontrollenAnhang A 5.3Anhang A 6.1.2Aufgabentrennung
Organisatorische KontrollenAnhang A 5.4Anhang A 7.2.1Führungsaufgaben
Organisatorische KontrollenAnhang A 5.5Anhang A 6.1.3Kontakt mit Behörden
Organisatorische KontrollenAnhang A 5.6Anhang A 6.1.4Kontakt mit speziellen Interessengruppen
Organisatorische KontrollenAnhang A 5.7NEU!Threat Intelligence
Organisatorische KontrollenAnhang A 5.8Anhang A 6.1.5
Anhang A 14.1.1		Informationssicherheit im Projektmanagement
Organisatorische KontrollenAnhang A 5.9Anhang A 8.1.1
Anhang A 8.1.2		Inventar der Informationen und anderer damit verbundener Vermögenswerte
Organisatorische KontrollenAnhang A 5.10Anhang A 8.1.3
Anhang A 8.2.3		Akzeptable Nutzung von Informationen und anderen damit verbundenen Vermögenswerten
Organisatorische KontrollenAnhang A 5.11Anhang A 8.1.4Rückgabe von Vermögenswerten
Organisatorische KontrollenAnhang A 5.12Anhang A 8.2.1Klassifizierung von Informationen
Organisatorische KontrollenAnhang A 5.13Anhang A 8.2.2Kennzeichnung von Informationen
Organisatorische KontrollenAnhang A 5.14Anhang A 13.2.1
Anhang A 13.2.2
Anhang A 13.2.3		Informationsübertragung
Organisatorische KontrollenAnhang A 5.15Anhang A 9.1.1
Anhang A 9.1.2		Access Control
Organisatorische KontrollenAnhang A 5.16Anhang A 9.2.1Identitätsmanagement
Organisatorische KontrollenAnhang A 5.17Anhang A 9.2.4
Anhang A 9.3.1
Anhang A 9.4.3		Authentifizierungsinformationen
Organisatorische KontrollenAnhang A 5.18Anhang A 9.2.2
Anhang A 9.2.5
Anhang A 9.2.6		Zugangsrechte
Organisatorische KontrollenAnhang A 5.19Anhang A 15.1.1Informationssicherheit in Lieferantenbeziehungen
Organisatorische KontrollenAnhang A 5.20Anhang A 15.1.2Adressierung der Informationssicherheit in Lieferantenvereinbarungen
Organisatorische KontrollenAnhang A 5.21Anhang A 15.1.3Management der Informationssicherheit in der IKT-Lieferkette
Organisatorische KontrollenAnhang A 5.22Anhang A 15.2.1
Anhang A 15.2.2		Überwachung, Überprüfung und Änderungsmanagement von Lieferantendienstleistungen
Organisatorische KontrollenAnhang A 5.23NEU!Informationssicherheit für die Nutzung von Cloud-Diensten
Organisatorische KontrollenAnhang A 5.24Anhang A 16.1.1Planung und Vorbereitung des Managements von Informationssicherheitsvorfällen
Organisatorische KontrollenAnhang A 5.25Anhang A 16.1.4Bewertung und Entscheidung zu Informationssicherheitsereignissen
Organisatorische KontrollenAnhang A 5.26Anhang A 16.1.5Reaktion auf Informationssicherheitsvorfälle
Organisatorische KontrollenAnhang A 5.27Anhang A 16.1.6Aus Informationssicherheitsvorfällen lernen
Organisatorische KontrollenAnhang A 5.28Anhang A 16.1.7Beweissammlung
Organisatorische KontrollenAnhang A 5.29Anhang A 17.1.1
Anhang A 17.1.2
Anhang A 17.1.3		Informationssicherheit bei Störungen
Organisatorische KontrollenAnhang A 5.30NEU!IKT-Bereitschaft für Geschäftskontinuität
Organisatorische KontrollenAnhang A 5.31Anhang A 18.1.1
Anhang A 18.1.5		Rechtliche, gesetzliche, behördliche und vertragliche Anforderungen
Organisatorische KontrollenAnhang A 5.32Anhang A 18.1.2Rechte an geistigem Eigentum
Organisatorische KontrollenAnhang A 5.33Anhang A 18.1.3Schutz von Aufzeichnungen
Organisatorische KontrollenAnhang A 5.34 Anhang A 18.1.4Datenschutz und Schutz personenbezogener Daten
Organisatorische KontrollenAnhang A 5.35Anhang A 18.2.1Unabhängige Überprüfung der Informationssicherheit
Organisatorische KontrollenAnhang A 5.36Anhang A 18.2.2
Anhang A 18.2.3		Einhaltung von Richtlinien, Regeln und Standards für die Informationssicherheit
Organisatorische KontrollenAnhang A 5.37Anhang A 12.1.1Dokumentierte Betriebsabläufe

ISO 27001:2022 Personenkontrollen

Anhang A KontrolltypISO/IEC 27001:2022 Anhang A KennungISO/IEC 27001:2013 Anhang A KennungAnhang A Name
MenschenkontrollenAnhang A 6.1Anhang A 7.1.1Untersuchungen
MenschenkontrollenAnhang A 6.2Anhang A 7.1.2Allgemeine Geschäftsbedingungen
MenschenkontrollenAnhang A 6.3Anhang A 7.2.2Informationssicherheitsbewusstsein, Bildung und Schulung
MenschenkontrollenAnhang A 6.4Anhang A 7.2.3Disziplinarverfahren
MenschenkontrollenAnhang A 6.5Anhang A 7.3.1Verantwortlichkeiten nach Beendigung oder Wechsel des Arbeitsverhältnisses
MenschenkontrollenAnhang A 6.6Anhang A 13.2.4Vertraulichkeits- oder Geheimhaltungsvereinbarungen
MenschenkontrollenAnhang A 6.7Anhang A 6.2.2Fernarbeit
MenschenkontrollenAnhang A 6.8Anhang A 16.1.2
Anhang A 16.1.3		Berichterstattung über Informationssicherheitsereignisse

Physische Kontrollen nach ISO 27001:2022

Anhang A KontrolltypISO/IEC 27001:2022 Anhang A KennungISO/IEC 27001:2013 Anhang A KennungAnhang A Name
Physikalische KontrollenAnhang A 7.1Anhang A 11.1.1Physische Sicherheitsbereiche
Physikalische KontrollenAnhang A 7.2Anhang A 11.1.2
Anhang A 11.1.6		Physischer Eintritt
Physikalische KontrollenAnhang A 7.3Anhang A 11.1.3Sicherung von Büros, Räumen und Einrichtungen
Physikalische KontrollenAnhang A 7.4NEU!Physische Sicherheitsüberwachung
Physikalische KontrollenAnhang A 7.5Anhang A 11.1.4Schutz vor physischen und umweltbedingten Bedrohungen
Physikalische KontrollenAnhang A 7.6Anhang A 11.1.5Arbeiten in sicheren Bereichen
Physikalische KontrollenAnhang A 7.7Anhang A 11.2.9Klarer Schreibtisch und klarer Bildschirm
Physikalische KontrollenAnhang A 7.8Anhang A 11.2.1Standort und Schutz der Ausrüstung
Physikalische KontrollenAnhang A 7.9Anhang A 11.2.6Sicherheit von Vermögenswerten außerhalb des Betriebsgeländes
Physikalische KontrollenAnhang A 7.10Anhang A 8.3.1
Anhang A 8.3.2
Anhang A 8.3.3
 Anhang A 11.2.5		Speichermedien
Physikalische KontrollenAnhang A 7.11Anhang A 11.2.2Unterstützende Dienstprogramme
Physikalische KontrollenAnhang A 7.12Anhang A 11.2.3Verkabelungssicherheit
Physikalische KontrollenAnhang A 7.13Anhang A 11.2.4Wartung der Ausrüstung
Physikalische KontrollenAnhang A 7.14Anhang A 11.2.7Sichere Entsorgung oder Wiederverwendung von Geräten

ISO 27001:2022 Technologische Kontrollen

Anhang A KontrolltypISO/IEC 27001:2022 Anhang A KennungISO/IEC 27001:2013 Anhang A KennungAnhang A Name
Technologische KontrollenAnhang A 8.1Anhang A 6.2.1
Anhang A 11.2.8		Benutzer-Endpunktgeräte
Technologische KontrollenAnhang A 8.2Anhang A 9.2.3Privilegierte Zugriffsrechte
Technologische KontrollenAnhang A 8.3Anhang A 9.4.1Beschränkung des Informationszugriffs
Technologische KontrollenAnhang A 8.4Anhang A 9.4.5Zugang zum Quellcode
Technologische KontrollenAnhang A 8.5Anhang A 9.4.2Sichere Authentifizierung
Technologische KontrollenAnhang A 8.6Anhang A 12.1.3Kapazitätsmanagement
Technologische KontrollenAnhang A 8.7Anhang A 12.2.1Schutz vor Malware
Technologische KontrollenAnhang A 8.8Anhang A 12.6.1
Anhang A 18.2.3		Management technischer Schwachstellen
Technologische KontrollenAnhang A 8.9NEU!Configuration Management
Technologische KontrollenAnhang A 8.10NEU!Löschen von Informationen
Technologische KontrollenAnhang A 8.11NEU!Datenmaskierung
Technologische KontrollenAnhang A 8.12NEU!Verhinderung von Datenlecks
Technologische KontrollenAnhang A 8.13Anhang A 12.3.1Informationssicherung
Technologische KontrollenAnhang A 8.14Anhang A 17.2.1Redundanz von Informationsverarbeitungseinrichtungen
Technologische KontrollenAnhang A 8.15Anhang A 12.4.1
Anhang A 12.4.2
Anhang A 12.4.3		Protokollierung
Technologische KontrollenAnhang A 8.16NEU!Überwachungsaktivitäten
Technologische KontrollenAnhang A 8.17Anhang A 12.4.4Uhrensynchronisation
Technologische KontrollenAnhang A 8.18Anhang A 9.4.4Verwendung von Privileged Utility-Programmen
Technologische KontrollenAnhang A 8.19Anhang A 12.5.1
Anhang A 12.6.2		Installation von Software auf Betriebssystemen
Technologische KontrollenAnhang A 8.20Anhang A 13.1.1Netzwerksicherheit
Technologische KontrollenAnhang A 8.21Anhang A 13.1.2Sicherheit von Netzwerkdiensten
Technologische KontrollenAnhang A 8.22Anhang A 13.1.3Trennung von Netzwerken
Technologische KontrollenAnhang A 8.23NEU!Web-Filter
Technologische KontrollenAnhang A 8.24Anhang A 10.1.1
Anhang A 10.1.2		Verwendung von Kryptographie
Technologische KontrollenAnhang A 8.25Anhang A 14.2.1Sicherer Entwicklungslebenszyklus
Technologische KontrollenAnhang A 8.26Anhang A 14.1.2
Anhang A 14.1.3		Anforderungen an die Anwendungssicherheit
Technologische KontrollenAnhang A 8.27Anhang A 14.2.5Sichere Systemarchitektur und technische Prinzipien
Technologische KontrollenAnhang A 8.28NEU!Sichere Codierung
Technologische KontrollenAnhang A 8.29Anhang A 14.2.8
Anhang A 14.2.9		Sicherheitstests in Entwicklung und Akzeptanz
Technologische KontrollenAnhang A 8.30Anhang A 14.2.7Ausgelagerte Entwicklung
Technologische KontrollenAnhang A 8.31Anhang A 12.1.4
Anhang A 14.2.6		Trennung von Entwicklungs-, Test- und Produktionsumgebungen
Technologische KontrollenAnhang A 8.32Anhang A 12.1.2
Anhang A 14.2.2
Anhang A 14.2.3
Anhang A 14.2.4		Änderungsmanagement
Technologische KontrollenAnhang A 8.33Anhang A 14.3.1Testinformationen
Technologische KontrollenAnhang A 8.34Anhang A 12.7.1Schutz von Informationssystemen während Audittests

Wie ISMS.online hilft

ISMS.online unterstützt Sie dabei, eine sichere Infrastruktur für Ihre Daten aufzubauen, die Sicherheit Ihrer Informationen zu verfolgen, Bedrohungen zu erkennen, Vorsichtsmaßnahmen zu ergreifen und eine Kultur des Informationsschutzes zu pflegen.

ISMS.online ermöglicht Du auch:

  • Implementieren Sie eine Informationssicherheits-Managementsystem (ISMS) schnell.

  • Überwachen Sie ganz einfach die Dokumentation Ihres ISMS.

  • Stellen Sie sicher, dass alle geltenden Standards eingehalten werden.

  • Überwachen Sie das gesamte Spektrum der Informationssicherheit, vom Risikomanagement bis hin zur Schulung des Sicherheitsbewusstseins.

  • Vermitteln Sie Ihre Botschaft effizient in Ihrem Unternehmen mit unseren integrierten Kommunikationsfunktionen.

Nehmen Sie jetzt Kontakt auf, um eine Vorführung zu vereinbaren.

Ich habe ISO 27001 auf die harte Tour gemacht und schätze daher sehr, wie viel Zeit wir dadurch bei der Erlangung der ISO 27001-Zertifizierung gespart haben.

Carl Vaughan
Infosec-Leiter, MetCloud

Buchen Sie Ihre Demo

Unternehmen auf der ganzen Welt vertrauen darauf
  • Einfach und leicht zu bedienen
  • Entwickelt für den Erfolg von ISO 27001
  • Spart Ihnen Zeit und Geld
Buchen Sie Ihre Demo
img

ISMS.online unterstützt jetzt ISO 42001 – das weltweit erste KI-Managementsystem. Klicken Sie hier, um mehr zu erfahren