ISO 27001:2022 Anhang A 8.1 – Benutzerendpunktgeräte

• Weitere Informationen finden Sie auch in den ISO 27002:2022 Kontrolle 8.1 .
• Weitere Informationen finden Sie auch in den ISO 27001:2013 Anhang A 6.2.1 .
• Weitere Informationen finden Sie auch in den ISO 27001:2013 Anhang A 11.2.8 .

Schutz von Endgeräten: Leitfaden zu ISO 27001 Anhang A 8.1

Der Übergang zu Fernarbeit und die zunehmende Abhängigkeit von mobilen Geräten haben sich positiv auf die Mitarbeiterproduktivität und Kosteneinsparungen für Unternehmen ausgewirkt. Leider sind Benutzerendpunkte wie Laptops, Mobiltelefone und Tablets anfällig für Cyber-Bedrohungen. Cyberkriminelle nutzen diese Geräte häufig, um sich unerlaubten Zugriff auf Unternehmensnetzwerke zu verschaffen und vertrauliche Informationen zu gefährden.

Cyberkriminelle versuchen möglicherweise, Mitarbeiter mit Phishing anzugreifen und sie dazu zu verleiten, einen mit Malware infizierten Anhang herunterzuladen, der zur Verbreitung der Malware im gesamten Unternehmensnetzwerk verwendet werden kann. Dies kann zum Verlust der Verfügbarkeit, Integrität oder Vertraulichkeit von Informationsressourcen führen.

A Umfrage unter 700 IT-Fachleuten ergab, dass 70 % der Unternehmen im Jahr 2020 aufgrund eines Angriffs auf Benutzergeräte einen Verstoß gegen ihre Informationsbestände und ihre IT-Infrastruktur erlebten.

ISO 27001:2022 Anhang A Control 8.1 beschreibt Schritte, die Unternehmen unternehmen können, um sicherzustellen, dass ihre auf Endpunktgeräten der Benutzer gehosteten oder verarbeiteten Informationsbestände vor Gefährdung, Verlust oder Diebstahl geschützt sind. Dazu gehört die Festlegung, Aufrechterhaltung und Umsetzung relevanter Richtlinien, Verfahren und Technologiemaßnahmen.

Zweck von ISO 27001:2022 Anhang A 8.1

ISO 27001:2022 Anhang A 8.1 ermöglicht es Unternehmen, die Sicherheit, Vertraulichkeit, Integrität und Verfügbarkeit von Informationsbeständen zu schützen und aufrechtzuerhalten, die auf Endpunktbenutzergeräten gespeichert sind oder von diesen aus zugänglich sind. Dies wird durch die Festlegung geeigneter Richtlinien, Verfahren und Kontrollen erreicht.

Eigentum an Anlage A 8.1

Das Chief Information Security Officer sollte die Verantwortung dafür übernehmen, die Einhaltung der Anforderungen von ISO 27001:2022 Anhang A Kontrolle 8.1 sicherzustellen, was die Erstellung und Aufrechterhaltung organisationsweiter Richtlinien, Verfahren und technischer Maßnahmen erfordert.

Allgemeine Leitlinien zur Einhaltung von ISO 27001:2022 Anhang A 8.1

Organisationen müssen gemäß ISO 27001:2022 Anhang Al 8.1 eine Richtlinie erstellen, die die sichere Konfiguration und Nutzung von Benutzerendpunktgeräten abdeckt.

Das Personal muss über diese Richtlinie informiert werden, die Folgendes umfasst:

• Welche Art von Daten können, insbesondere im Hinblick auf das Sicherheitsniveau, in Benutzerendpunkten verarbeitet, gespeichert oder genutzt werden?
• Geräte müssen registriert werden.
• Der physische Schutz der Geräte ist obligatorisch.
• Es ist verboten, Softwareprogramme auf Geräten zu installieren.
• Regeln für die Installation von Software auf Geräten und die Aktualisierung von Software müssen befolgt werden.
• Die Regeln für die Verbindung von Endpunktgeräten des Benutzers mit dem öffentlichen Netzwerk oder mit Netzwerken außerhalb des Standorts.
• Zugangskontrollen.
• Die Speichermedien, auf denen Informationsressourcen gehostet werden, müssen verschlüsselt sein.
• Geräte müssen vor dem Eindringen von Schadsoftware geschützt werden.
• Geräte können deaktiviert oder von der Nutzung ausgeschlossen werden und die darauf gespeicherten Daten können aus der Ferne gelöscht werden.
• Es sollten Backup-Pläne und -Protokolle vorhanden sein.
• Regeln zur Nutzung von Webanwendungen und -diensten.
• Analyse des Endbenutzerverhaltens, um Erkenntnisse darüber zu gewinnen, wie sie mit dem System interagieren.
• Wechselspeichermedien wie USB-Sticks können sehr effektiv eingesetzt werden. Darüber hinaus können physische Anschlüsse, z. B. USB-Anschlüsse, deaktiviert werden.
• Trennfunktionen können genutzt werden, um die Informationsbestände der Organisation von anderen auf dem Benutzergerät gespeicherten Beständen zu trennen.

Den Allgemeinen Leitlinien zufolge sollten Organisationen darüber nachdenken, die Speicherung sensibler Daten auf Endpunktgeräten der Benutzer durch technische Kontrollen zu verbieten.

Zu den eingesetzten technischen Kontrollen kann die Deaktivierung lokaler Speicherfunktionen wie SD-Karten gehören.

Organisationen sollten das Konfigurationsmanagement gemäß ISO 27001:2022 Annex A Control 8.9 implementieren und automatisierte Tools nutzen.

Ergänzende Hinweise zur Benutzerverantwortung

Das Personal sollte über die Sicherheit informiert werden Maßnahmen für Benutzerendgeräte und ihre Pflichten, diese einzuhalten. Darüber hinaus sollten sie ihre Rolle bei der Umsetzung dieser Maßnahmen und Verfahren verstehen.

Organisationen sollten ihre Mitarbeiter anweisen, die folgenden Vorschriften und Prozesse einzuhalten:

• Sobald ein Dienst nicht mehr benötigt wird oder eine Sitzung beendet ist, sollten sich Benutzer abmelden und den Dienst beenden.
• Das Personal sollte seine Geräte nicht unbeaufsichtigt lassen. Bei Nichtgebrauch sollte das Personal sorgen für die Sicherheit ihrer Geräte durch den Einsatz physischer Maßnahmen wie Tastensperren und technischer Maßnahmen wie sicherer Passwörter.
• Das Personal sollte bei der Verwendung von Endgeräten, die vertrauliche Daten enthalten, an öffentlichen Orten, an denen es an Sicherheit mangelt, besondere Vorsicht walten lassen.
• Benutzerendgeräte müssen vor Diebstahl geschützt werden, insbesondere an gefährlichen Orten wie Hotelzimmern, Besprechungsräumen oder öffentlichen Verkehrsmitteln.

Unternehmen sollten ein spezielles System zur Verwaltung des Verlusts oder Diebstahls von Endpunktgeräten der Benutzer entwickeln. Dieses System muss unter Berücksichtigung rechtlicher, vertraglicher und sicherheitsrelevanter Anforderungen aufgebaut werden.

Ergänzende Leitlinien zur Nutzung persönlicher Geräte (BYOD)

Den Mitarbeitern zu gestatten, ihre eigenen Geräte für arbeitsbezogene Aktivitäten zu verwenden, kann Unternehmen Geld sparen, setzt vertrauliche Daten jedoch potenziellen Risiken aus.

ISO 27001:2022 Anhang A 8.1 schlägt fünf Dinge vor, die Organisationen berücksichtigen sollten, wenn sie ihren Mitarbeitern gestatten, ihre persönlichen Geräte für arbeitsbezogene Aktivitäten zu verwenden:

1. Es sollten technische Maßnahmen wie Softwaretools eingeführt werden, um die private und geschäftliche Nutzung von Geräten zu trennen und so die Informationen der Organisation zu schützen.
2. Das Personal kann Zugriff auf sein eigenes Gerät erhalten, sofern es Folgendes zustimmt:
• Die Mitarbeiter erkennen ihre Pflicht an, Geräte physisch zu schützen und wichtige Software-Updates durchzuführen.
• Die Mitarbeiter verpflichten sich, keine Eigentumsrechte an den Daten des Unternehmens geltend zu machen.
• Das Personal ist sich einig, dass die Daten im Gerät gemäß den gesetzlichen Richtlinien für personenbezogene Daten bei Verlust oder Diebstahl aus der Ferne gelöscht werden können.
3. Richten Sie Richtlinien zu Rechten an geistigem Eigentum ein, das mithilfe von Benutzerendpunkt-Gadgets generiert wird.
4. In Bezug auf die gesetzlichen Beschränkungen für einen solchen Zugriff, wie auf die privaten Geräte des Personals zugegriffen wird.
5. Wenn Mitarbeitern gestattet wird, ihre eigenen Geräte zu verwenden, kann dies zu einer rechtlichen Haftung für die Verwendung von Software Dritter auf diesen Geräten führen. Unternehmen sollten über die Softwarelizenzvereinbarungen nachdenken, die sie mit ihren Anbietern haben.

Ergänzende Anleitung zu drahtlosen Verbindungen

Organisationen sollten Praktiken entwickeln und aufrechterhalten für:

• Die Konfiguration der drahtlosen Verbindungen auf den Geräten sollte mit Sorgfalt erfolgen. Stellen Sie sicher, dass jede Verbindung sicher und zuverlässig ist.
• Es müssen drahtlose oder kabelgebundene Verbindungen mit einer Bandbreite zur Einhaltung themenspezifischer Richtlinien verwendet werden.

Zusätzliche Hinweise zu Anhang A 8.1

Wenn Mitarbeiter ihre Endgeräte aus dem Unternehmen nehmen, besteht für die darauf gespeicherten Daten möglicherweise ein höheres Risiko, dass sie kompromittiert werden. Folglich müssen Organisationen unterschiedliche Schutzmaßnahmen für Geräte implementieren, die außerhalb ihrer Räumlichkeiten verwendet werden.

ISO 27001:2022 Anhang A 8.1 warnt Organisationen vor zwei Risiken im Zusammenhang mit drahtlosen Verbindungen, die zu Datenverlusten führen können:

1. Drahtlose Verbindungen mit begrenzter Kapazität können zum Ausfall der Datensicherung führen.
2. Benutzerendpunkte können manchmal die Verbindung zum drahtlosen Netzwerk verlieren und geplante Backups können ins Stocken geraten. Um die Sicherheit und Zuverlässigkeit der Daten zu gewährleisten, sollten regelmäßige Backups durchgeführt und die Verbindung zum drahtlosen Netzwerk regelmäßig überwacht werden.

Änderungen und Unterschiede zu ISO 27001:2013

ISO 27001:2022 Anhang A 8.1 ersetzt ISO 27001:2013 Anhang A 6.2.1 und Anhang A 12.2.8 in der überarbeiteten Norm von 2022.

Strukturelle Unterschiede

Im Gegensatz zu ISO 27001:2022, das eine einzige Kontrolle für Benutzerendpunktgeräte (8.1) vorsieht, enthielt ISO 27001:2013 zwei separate Kontrollen: Richtlinie für mobile Geräte (Anhang A, Kontrolle 6.2.1) und unbeaufsichtigte Benutzerausrüstung (Kontrolle 11.2.8). ).

Während ISO 27001:2022 Annex A Control 8.1 alle Benutzerendgeräte wie Laptops, Tablets und Mobiltelefone abdeckt, richtete sich die Version 2013 nur an mobile Geräte.

ISO 27001:2022 schreibt zusätzliche Anforderungen an die Benutzerverantwortung vor

Beide Versionen der Vereinbarung verlangen von den Nutzern ein gewisses Maß an persönlicher Verantwortung; Für die Version 2022 gilt jedoch eine zusätzliche Anforderung:

• Das Personal sollte besondere Vorsicht walten lassen, wenn es Endgeräte mit sensiblen Daten in öffentlichen Räumen verwendet, die möglicherweise unsicher sind.

ISO 27001:2022 ist in Bezug auf BYOD umfassender

Im Vergleich zu 2013 werden mit Anhang A 8.1 im Jahr 2022 drei neue Anforderungen für die BYOD-Nutzung (Bring Your Own Device) durch das Personal eingeführt:

1. Es ist notwendig, Richtlinien zu den geistigen Eigentumsrechten von Kreationen festzulegen, die mit Endpunktgeräten der Benutzer erstellt wurden. Solche Richtlinien müssen präzise und klar sein und sicherstellen, dass alle relevanten Parteien ihre Rechte und Pflichten erkennen.
2. Wie wird dies angesichts der gesetzlichen Beschränkungen für den Zugriff auf private Geräte des Personals gehandhabt?
3. Die Erlaubnis des Personals, seine eigenen Geräte zu verwenden, kann zu einer rechtlichen Haftung aufgrund der Verwendung von Software Dritter auf diesen Geräten führen. Unternehmen sollten über die Softwarelizenzvereinbarungen nachdenken, die sie mit ihren Anbietern abschließen.

ISO 27001:2022 erfordert eine detailliertere themenspezifische Richtlinie

Im Vergleich zu ISO 27001:2013 müssen Organisationen nun eine themenspezifische Richtlinie auf Benutzergeräten implementieren.

ISO 27001:2022 Anhang A 8.1 ist umfassender und enthält drei neue Elemente, die aufgenommen werden sollen:

1. Es wurde eine Analyse des Endbenutzerverhaltens durchgeführt.
2. USB-Laufwerke eignen sich hervorragend zum Übertragen von Daten, und physische USB-Anschlüsse können deaktiviert werden, um solche Übertragungen zu verhindern.
3. Die Trennung der Informationsbestände der Organisation kann durch die Nutzung technologischer Möglichkeiten erreicht werden. Dadurch können die Assets von anderen auf dem Benutzergerät gespeicherten Assets getrennt werden.

Tabelle aller ISO 27001:2022 Anhang A-Kontrollen

In der folgenden Tabelle finden Sie weitere Informationen zu jeder einzelnen ISO 27001:2022 Anhang A-Kontrolle.

Wie ISMS.online hilft

ISMS.online ist die Managementsystemsoftware für ISO 27001:2022. Es erleichtert die Einhaltung des Standards und unterstützt Organisationen bei der Abstimmung ihrer Sicherheitsrichtlinien und -verfahren.

Dieses Cloud-basierte Plattform bietet eine umfassende Palette an Tools, die Unternehmen bei der Erstellung eines ISMS (Information Security Management System) unterstützen, das ISO 27001 entspricht.

Kontaktieren Sie uns jetzt, um Vereinbaren Sie eine Vorführung.