Der Übergang zu Fernarbeit und die zunehmende Abhängigkeit von mobilen Geräten haben sich positiv auf die Mitarbeiterproduktivität und Kosteneinsparungen für Unternehmen ausgewirkt. Leider sind Benutzerendpunkte wie Laptops, Mobiltelefone und Tablets anfällig für Cyber-Bedrohungen. Cyberkriminelle nutzen diese Geräte häufig, um sich unerlaubten Zugriff auf Unternehmensnetzwerke zu verschaffen und vertrauliche Informationen zu gefährden.
Cyberkriminelle versuchen möglicherweise, Mitarbeiter mit Phishing anzugreifen und sie dazu zu verleiten, einen mit Malware infizierten Anhang herunterzuladen, der zur Verbreitung der Malware im gesamten Unternehmensnetzwerk verwendet werden kann. Dies kann zum Verlust der Verfügbarkeit, Integrität oder Vertraulichkeit von Informationsressourcen führen.
A Umfrage unter 700 IT-Fachleuten ergab, dass 70 % der Unternehmen im Jahr 2020 aufgrund eines Angriffs auf Benutzergeräte einen Verstoß gegen ihre Informationsbestände und ihre IT-Infrastruktur erlebten.
ISO 27001:2022 Anhang A Control 8.1 beschreibt Schritte, die Unternehmen unternehmen können, um sicherzustellen, dass ihre auf Endpunktgeräten der Benutzer gehosteten oder verarbeiteten Informationsbestände vor Gefährdung, Verlust oder Diebstahl geschützt sind. Dazu gehört die Festlegung, Aufrechterhaltung und Umsetzung relevanter Richtlinien, Verfahren und Technologiemaßnahmen.
ISO 27001:2022 Anhang A 8.1 ermöglicht es Unternehmen, die Sicherheit, Vertraulichkeit, Integrität und Verfügbarkeit von Informationsbeständen zu schützen und aufrechtzuerhalten, die auf Endpunktbenutzergeräten gespeichert sind oder von diesen aus zugänglich sind. Dies wird durch die Festlegung geeigneter Richtlinien, Verfahren und Kontrollen erreicht.
Das Chief Information Security Officer sollte die Verantwortung dafür übernehmen, die Einhaltung der Anforderungen von ISO 27001:2022 Anhang A Kontrolle 8.1 sicherzustellen, was die Erstellung und Aufrechterhaltung organisationsweiter Richtlinien, Verfahren und technischer Maßnahmen erfordert.
Fordern Sie ein Angebot an
Organisationen müssen gemäß ISO 27001:2022 Anhang Al 8.1 eine Richtlinie erstellen, die die sichere Konfiguration und Nutzung von Benutzerendpunktgeräten abdeckt.
Das Personal muss über diese Richtlinie informiert werden, die Folgendes umfasst:
Den Allgemeinen Leitlinien zufolge sollten Organisationen darüber nachdenken, die Speicherung sensibler Daten auf Endpunktgeräten der Benutzer durch technische Kontrollen zu verbieten.
Zu den eingesetzten technischen Kontrollen kann die Deaktivierung lokaler Speicherfunktionen wie SD-Karten gehören.
Organisationen sollten das Konfigurationsmanagement gemäß ISO 27001:2022 Annex A Control 8.9 implementieren und automatisierte Tools nutzen.
Das Personal sollte über die Sicherheit informiert werden Maßnahmen für Benutzerendgeräte und ihre Pflichten, diese einzuhalten. Darüber hinaus sollten sie ihre Rolle bei der Umsetzung dieser Maßnahmen und Verfahren verstehen.
Organisationen sollten ihre Mitarbeiter anweisen, die folgenden Vorschriften und Prozesse einzuhalten:
Unternehmen sollten ein spezielles System zur Verwaltung des Verlusts oder Diebstahls von Endpunktgeräten der Benutzer entwickeln. Dieses System muss unter Berücksichtigung rechtlicher, vertraglicher und sicherheitsrelevanter Anforderungen aufgebaut werden.
Den Mitarbeitern zu gestatten, ihre eigenen Geräte für arbeitsbezogene Aktivitäten zu verwenden, kann Unternehmen Geld sparen, setzt vertrauliche Daten jedoch potenziellen Risiken aus.
ISO 27001:2022 Anhang A 8.1 schlägt fünf Dinge vor, die Organisationen berücksichtigen sollten, wenn sie ihren Mitarbeitern gestatten, ihre persönlichen Geräte für arbeitsbezogene Aktivitäten zu verwenden:
Organisationen sollten Praktiken entwickeln und aufrechterhalten für:
Wenn Mitarbeiter ihre Endgeräte aus dem Unternehmen nehmen, besteht für die darauf gespeicherten Daten möglicherweise ein höheres Risiko, dass sie kompromittiert werden. Folglich müssen Organisationen unterschiedliche Schutzmaßnahmen für Geräte implementieren, die außerhalb ihrer Räumlichkeiten verwendet werden.
ISO 27001:2022 Anhang A 8.1 warnt Organisationen vor zwei Risiken im Zusammenhang mit drahtlosen Verbindungen, die zu Datenverlusten führen können:
ISO 27001:2022 Anhang A 8.1 ersetzt ISO 27001:2013 Anhang A 6.2.1 und Anhang A 12.2.8 in der überarbeiteten Norm von 2022.
Im Gegensatz zu ISO 27001:2022, das eine einzige Kontrolle für Benutzerendpunktgeräte (8.1) vorsieht, enthielt ISO 27001:2013 zwei separate Kontrollen: Richtlinie für mobile Geräte (Anhang A, Kontrolle 6.2.1) und unbeaufsichtigte Benutzerausrüstung (Kontrolle 11.2.8). ).
Während ISO 27001:2022 Annex A Control 8.1 alle Benutzerendgeräte wie Laptops, Tablets und Mobiltelefone abdeckt, richtete sich die Version 2013 nur an mobile Geräte.
Beide Versionen der Vereinbarung verlangen von den Nutzern ein gewisses Maß an persönlicher Verantwortung; Für die Version 2022 gilt jedoch eine zusätzliche Anforderung:
Im Vergleich zu 2013 werden mit Anhang A 8.1 im Jahr 2022 drei neue Anforderungen für die BYOD-Nutzung (Bring Your Own Device) durch das Personal eingeführt:
Im Vergleich zu ISO 27001:2013 müssen Organisationen nun eine themenspezifische Richtlinie auf Benutzergeräten implementieren.
ISO 27001:2022 Anhang A 8.1 ist umfassender und enthält drei neue Elemente, die aufgenommen werden sollen:
In der folgenden Tabelle finden Sie weitere Informationen zu jeder einzelnen ISO 27001:2022 Anhang A-Kontrolle.
Anhang A Kontrolltyp | ISO/IEC 27001:2022 Anhang A Kennung | ISO/IEC 27001:2013 Anhang A Kennung | Anhang A Name |
---|---|---|---|
Organisatorische Kontrollen | Anhang A 5.1 | Anhang A 5.1.1 Anhang A 5.1.2 | Richtlinien zur Informationssicherheit |
Organisatorische Kontrollen | Anhang A 5.2 | Anhang A 6.1.1 | Rollen und Verantwortlichkeiten im Bereich Informationssicherheit |
Organisatorische Kontrollen | Anhang A 5.3 | Anhang A 6.1.2 | Aufgabentrennung |
Organisatorische Kontrollen | Anhang A 5.4 | Anhang A 7.2.1 | Führungsaufgaben |
Organisatorische Kontrollen | Anhang A 5.5 | Anhang A 6.1.3 | Kontakt mit Behörden |
Organisatorische Kontrollen | Anhang A 5.6 | Anhang A 6.1.4 | Kontakt mit speziellen Interessengruppen |
Organisatorische Kontrollen | Anhang A 5.7 | NEU! | Threat Intelligence |
Organisatorische Kontrollen | Anhang A 5.8 | Anhang A 6.1.5 Anhang A 14.1.1 | Informationssicherheit im Projektmanagement |
Organisatorische Kontrollen | Anhang A 5.9 | Anhang A 8.1.1 Anhang A 8.1.2 | Inventar der Informationen und anderer damit verbundener Vermögenswerte |
Organisatorische Kontrollen | Anhang A 5.10 | Anhang A 8.1.3 Anhang A 8.2.3 | Akzeptable Nutzung von Informationen und anderen damit verbundenen Vermögenswerten |
Organisatorische Kontrollen | Anhang A 5.11 | Anhang A 8.1.4 | Rückgabe von Vermögenswerten |
Organisatorische Kontrollen | Anhang A 5.12 | Anhang A 8.2.1 | Klassifizierung von Informationen |
Organisatorische Kontrollen | Anhang A 5.13 | Anhang A 8.2.2 | Kennzeichnung von Informationen |
Organisatorische Kontrollen | Anhang A 5.14 | Anhang A 13.2.1 Anhang A 13.2.2 Anhang A 13.2.3 | Informationsübertragung |
Organisatorische Kontrollen | Anhang A 5.15 | Anhang A 9.1.1 Anhang A 9.1.2 | Access Control |
Organisatorische Kontrollen | Anhang A 5.16 | Anhang A 9.2.1 | Identitätsmanagement |
Organisatorische Kontrollen | Anhang A 5.17 | Anhang A 9.2.4 Anhang A 9.3.1 Anhang A 9.4.3 | Authentifizierungsinformationen |
Organisatorische Kontrollen | Anhang A 5.18 | Anhang A 9.2.2 Anhang A 9.2.5 Anhang A 9.2.6 | Zugangsrechte |
Organisatorische Kontrollen | Anhang A 5.19 | Anhang A 15.1.1 | Informationssicherheit in Lieferantenbeziehungen |
Organisatorische Kontrollen | Anhang A 5.20 | Anhang A 15.1.2 | Adressierung der Informationssicherheit in Lieferantenvereinbarungen |
Organisatorische Kontrollen | Anhang A 5.21 | Anhang A 15.1.3 | Management der Informationssicherheit in der IKT-Lieferkette |
Organisatorische Kontrollen | Anhang A 5.22 | Anhang A 15.2.1 Anhang A 15.2.2 | Überwachung, Überprüfung und Änderungsmanagement von Lieferantendienstleistungen |
Organisatorische Kontrollen | Anhang A 5.23 | NEU! | Informationssicherheit für die Nutzung von Cloud-Diensten |
Organisatorische Kontrollen | Anhang A 5.24 | Anhang A 16.1.1 | Planung und Vorbereitung des Managements von Informationssicherheitsvorfällen |
Organisatorische Kontrollen | Anhang A 5.25 | Anhang A 16.1.4 | Bewertung und Entscheidung zu Informationssicherheitsereignissen |
Organisatorische Kontrollen | Anhang A 5.26 | Anhang A 16.1.5 | Reaktion auf Informationssicherheitsvorfälle |
Organisatorische Kontrollen | Anhang A 5.27 | Anhang A 16.1.6 | Aus Informationssicherheitsvorfällen lernen |
Organisatorische Kontrollen | Anhang A 5.28 | Anhang A 16.1.7 | Beweissammlung |
Organisatorische Kontrollen | Anhang A 5.29 | Anhang A 17.1.1 Anhang A 17.1.2 Anhang A 17.1.3 | Informationssicherheit bei Störungen |
Organisatorische Kontrollen | Anhang A 5.30 | NEU! | IKT-Bereitschaft für Geschäftskontinuität |
Organisatorische Kontrollen | Anhang A 5.31 | Anhang A 18.1.1 Anhang A 18.1.5 | Rechtliche, gesetzliche, behördliche und vertragliche Anforderungen |
Organisatorische Kontrollen | Anhang A 5.32 | Anhang A 18.1.2 | Rechte an geistigem Eigentum |
Organisatorische Kontrollen | Anhang A 5.33 | Anhang A 18.1.3 | Schutz von Aufzeichnungen |
Organisatorische Kontrollen | Anhang A 5.34 | Anhang A 18.1.4 | Datenschutz und Schutz personenbezogener Daten |
Organisatorische Kontrollen | Anhang A 5.35 | Anhang A 18.2.1 | Unabhängige Überprüfung der Informationssicherheit |
Organisatorische Kontrollen | Anhang A 5.36 | Anhang A 18.2.2 Anhang A 18.2.3 | Einhaltung von Richtlinien, Regeln und Standards für die Informationssicherheit |
Organisatorische Kontrollen | Anhang A 5.37 | Anhang A 12.1.1 | Dokumentierte Betriebsabläufe |
Anhang A Kontrolltyp | ISO/IEC 27001:2022 Anhang A Kennung | ISO/IEC 27001:2013 Anhang A Kennung | Anhang A Name |
---|---|---|---|
Menschenkontrollen | Anhang A 6.1 | Anhang A 7.1.1 | Untersuchungen |
Menschenkontrollen | Anhang A 6.2 | Anhang A 7.1.2 | Allgemeine Geschäftsbedingungen |
Menschenkontrollen | Anhang A 6.3 | Anhang A 7.2.2 | Informationssicherheitsbewusstsein, Bildung und Schulung |
Menschenkontrollen | Anhang A 6.4 | Anhang A 7.2.3 | Disziplinarverfahren |
Menschenkontrollen | Anhang A 6.5 | Anhang A 7.3.1 | Verantwortlichkeiten nach Beendigung oder Wechsel des Arbeitsverhältnisses |
Menschenkontrollen | Anhang A 6.6 | Anhang A 13.2.4 | Vertraulichkeits- oder Geheimhaltungsvereinbarungen |
Menschenkontrollen | Anhang A 6.7 | Anhang A 6.2.2 | Fernarbeit |
Menschenkontrollen | Anhang A 6.8 | Anhang A 16.1.2 Anhang A 16.1.3 | Berichterstattung über Informationssicherheitsereignisse |
Anhang A Kontrolltyp | ISO/IEC 27001:2022 Anhang A Kennung | ISO/IEC 27001:2013 Anhang A Kennung | Anhang A Name |
---|---|---|---|
Physikalische Kontrollen | Anhang A 7.1 | Anhang A 11.1.1 | Physische Sicherheitsbereiche |
Physikalische Kontrollen | Anhang A 7.2 | Anhang A 11.1.2 Anhang A 11.1.6 | Physischer Eintritt |
Physikalische Kontrollen | Anhang A 7.3 | Anhang A 11.1.3 | Sicherung von Büros, Räumen und Einrichtungen |
Physikalische Kontrollen | Anhang A 7.4 | NEU! | Physische Sicherheitsüberwachung |
Physikalische Kontrollen | Anhang A 7.5 | Anhang A 11.1.4 | Schutz vor physischen und umweltbedingten Bedrohungen |
Physikalische Kontrollen | Anhang A 7.6 | Anhang A 11.1.5 | Arbeiten in sicheren Bereichen |
Physikalische Kontrollen | Anhang A 7.7 | Anhang A 11.2.9 | Klarer Schreibtisch und klarer Bildschirm |
Physikalische Kontrollen | Anhang A 7.8 | Anhang A 11.2.1 | Standort und Schutz der Ausrüstung |
Physikalische Kontrollen | Anhang A 7.9 | Anhang A 11.2.6 | Sicherheit von Vermögenswerten außerhalb des Betriebsgeländes |
Physikalische Kontrollen | Anhang A 7.10 | Anhang A 8.3.1 Anhang A 8.3.2 Anhang A 8.3.3 Anhang A 11.2.5 | Speichermedien |
Physikalische Kontrollen | Anhang A 7.11 | Anhang A 11.2.2 | Unterstützende Dienstprogramme |
Physikalische Kontrollen | Anhang A 7.12 | Anhang A 11.2.3 | Verkabelungssicherheit |
Physikalische Kontrollen | Anhang A 7.13 | Anhang A 11.2.4 | Wartung der Ausrüstung |
Physikalische Kontrollen | Anhang A 7.14 | Anhang A 11.2.7 | Sichere Entsorgung oder Wiederverwendung von Geräten |
Anhang A Kontrolltyp | ISO/IEC 27001:2022 Anhang A Kennung | ISO/IEC 27001:2013 Anhang A Kennung | Anhang A Name |
---|---|---|---|
Technologische Kontrollen | Anhang A 8.1 | Anhang A 6.2.1 Anhang A 11.2.8 | Benutzer-Endpunktgeräte |
Technologische Kontrollen | Anhang A 8.2 | Anhang A 9.2.3 | Privilegierte Zugriffsrechte |
Technologische Kontrollen | Anhang A 8.3 | Anhang A 9.4.1 | Beschränkung des Informationszugriffs |
Technologische Kontrollen | Anhang A 8.4 | Anhang A 9.4.5 | Zugang zum Quellcode |
Technologische Kontrollen | Anhang A 8.5 | Anhang A 9.4.2 | Sichere Authentifizierung |
Technologische Kontrollen | Anhang A 8.6 | Anhang A 12.1.3 | Kapazitätsmanagement |
Technologische Kontrollen | Anhang A 8.7 | Anhang A 12.2.1 | Schutz vor Malware |
Technologische Kontrollen | Anhang A 8.8 | Anhang A 12.6.1 Anhang A 18.2.3 | Management technischer Schwachstellen |
Technologische Kontrollen | Anhang A 8.9 | NEU! | Configuration Management |
Technologische Kontrollen | Anhang A 8.10 | NEU! | Löschen von Informationen |
Technologische Kontrollen | Anhang A 8.11 | NEU! | Datenmaskierung |
Technologische Kontrollen | Anhang A 8.12 | NEU! | Verhinderung von Datenlecks |
Technologische Kontrollen | Anhang A 8.13 | Anhang A 12.3.1 | Informationssicherung |
Technologische Kontrollen | Anhang A 8.14 | Anhang A 17.2.1 | Redundanz von Informationsverarbeitungseinrichtungen |
Technologische Kontrollen | Anhang A 8.15 | Anhang A 12.4.1 Anhang A 12.4.2 Anhang A 12.4.3 | Protokollierung |
Technologische Kontrollen | Anhang A 8.16 | NEU! | Überwachungsaktivitäten |
Technologische Kontrollen | Anhang A 8.17 | Anhang A 12.4.4 | Uhrensynchronisation |
Technologische Kontrollen | Anhang A 8.18 | Anhang A 9.4.4 | Verwendung von Privileged Utility-Programmen |
Technologische Kontrollen | Anhang A 8.19 | Anhang A 12.5.1 Anhang A 12.6.2 | Installation von Software auf Betriebssystemen |
Technologische Kontrollen | Anhang A 8.20 | Anhang A 13.1.1 | Netzwerksicherheit |
Technologische Kontrollen | Anhang A 8.21 | Anhang A 13.1.2 | Sicherheit von Netzwerkdiensten |
Technologische Kontrollen | Anhang A 8.22 | Anhang A 13.1.3 | Trennung von Netzwerken |
Technologische Kontrollen | Anhang A 8.23 | NEU! | Web-Filter |
Technologische Kontrollen | Anhang A 8.24 | Anhang A 10.1.1 Anhang A 10.1.2 | Verwendung von Kryptographie |
Technologische Kontrollen | Anhang A 8.25 | Anhang A 14.2.1 | Sicherer Entwicklungslebenszyklus |
Technologische Kontrollen | Anhang A 8.26 | Anhang A 14.1.2 Anhang A 14.1.3 | Anforderungen an die Anwendungssicherheit |
Technologische Kontrollen | Anhang A 8.27 | Anhang A 14.2.5 | Sichere Systemarchitektur und technische Prinzipien |
Technologische Kontrollen | Anhang A 8.28 | NEU! | Sichere Codierung |
Technologische Kontrollen | Anhang A 8.29 | Anhang A 14.2.8 Anhang A 14.2.9 | Sicherheitstests in Entwicklung und Akzeptanz |
Technologische Kontrollen | Anhang A 8.30 | Anhang A 14.2.7 | Ausgelagerte Entwicklung |
Technologische Kontrollen | Anhang A 8.31 | Anhang A 12.1.4 Anhang A 14.2.6 | Trennung von Entwicklungs-, Test- und Produktionsumgebungen |
Technologische Kontrollen | Anhang A 8.32 | Anhang A 12.1.2 Anhang A 14.2.2 Anhang A 14.2.3 Anhang A 14.2.4 | Änderungsmanagement |
Technologische Kontrollen | Anhang A 8.33 | Anhang A 14.3.1 | Testinformationen |
Technologische Kontrollen | Anhang A 8.34 | Anhang A 12.7.1 | Schutz von Informationssystemen während Audittests |
ISMS.online ist die Managementsystemsoftware für ISO 27001:2022. Es erleichtert die Einhaltung des Standards und unterstützt Organisationen bei der Abstimmung ihrer Sicherheitsrichtlinien und -verfahren.
Dieser Cloud-basierte Plattform bietet eine umfassende Palette an Tools, die Unternehmen bei der Erstellung eines ISMS (Information Security Management System) unterstützen, das ISO 27001 entspricht.
Kontaktieren Sie uns jetzt, um Vereinbaren Sie eine Vorführung.
Wir hatten das Gefühl, wir hätten es getan
das Beste aus beiden Welten. Wir waren
in der Lage, unsere zu nutzen
bestehende Prozesse,
& das Adoptieren, Anpassen
Inhalte gaben uns Neues
Tiefe unseres ISMS.