ISO 27001: 2022 Anhang A 8.27 - sichere Systemarchitektur- und technische Prinzipien

• Weitere Informationen finden Sie auch in den ISO 27002:2022 Kontrolle 8.27 .
• Weitere Informationen finden Sie auch in den ISO 27001:2013 Anhang A 14.2.5 .

ISO 27001:2022 Control 8.27 – Stärkung der Systemsicherheit von Grund auf

ISO 27001:2022 Anhang A 8.27 legt fest, dass Organisationen eine sichere Systemarchitektur und technische Grundsätze implementieren müssen, um sicherzustellen, dass Design, Implementierung und Verwaltung des Informationssystems den Sicherheitsanforderungen der Organisation angemessen sind. Dazu gehört die Etablierung sicherer Systemarchitekturen, technischer Prinzipien und sicherer Designpraktiken.

Die komplizierten Strukturen moderner Informationssysteme in Kombination mit der sich ständig verändernden Cyber-Sicherheitsrisikoumgebung machen Informationssysteme anfälliger für bestehende und potenzielle Sicherheitsbedrohungen.

Anhang A 8.27 beschreibt, wie Organisationen können schützen Schützen Sie Ihre Informationssysteme vor Sicherheitsbedrohungen durch die Implementierung sicherer Systemtechnikprinzipien in allen Phasen des Lebenszyklus des Informationssystems.

Zweck von ISO 27001:2022 Anhang A 8.27

Anhang A 8.27 erleichtert Organisationen die Sicherung von Informationssystemen während der Entwurfs-, Bereitstellungs- und Betriebsphasen durch die Festlegung und Umsetzung sicherer Systemtechnikprinzipien, die Systemingenieure einhalten müssen.

Eigentum an Anlage A 8.27

Das Chief Information Security Officer ist für die Aufstellung, Aufrechterhaltung und Umsetzung der Regeln verantwortlich, die die sichere Entwicklung von Informationssystemen regeln.

Allgemeine Leitlinien zur Einhaltung von ISO 27001:2022 Anhang A 8.27

ISO 27001:2022 Anhang A 8.27 unterstreicht die Notwendigkeit für Unternehmen, Sicherheit in die Gesamtheit ihrer Informationssysteme, einschließlich Geschäftsprozesse, Anwendungen und Datenarchitektur, zu integrieren.

Für alle Aufgaben im Zusammenhang mit Informationssystemen sollten sichere Engineering-Praktiken implementiert und regelmäßig überprüft und aktualisiert werden, um aufkommenden Bedrohungen und Angriffsmustern Rechnung zu tragen.

Anhang A 8.27 gilt auch für Systeme, die von externen Anbietern erstellt wurden, zusätzlich zu den intern entwickelten und betriebenen Systemen.

Organisationen sollten garantieren, dass die Praktiken und Standards der Dienstanbieter mit ihren sicheren technischen Protokollen übereinstimmen.

ISO 27001:2022 Anhang A 8.27 erfordert sichere Systemtechnikprinzipien, um die folgenden acht Themen zu behandeln:

1. Methoden zur Benutzerauthentifizierung.
2. Anleitung zur sicheren Sitzungssteuerung.
3. Verfahren zur Bereinigung und Validierung von Daten.
4. Sicherheitsmaßnahmen zum Schutz von Informationsbeständen und Systemen vor bekannten Bedrohungen werden umfassend analysiert.
5. Sicherheitsmaßnahmen werden auf ihre Fähigkeit hin analysiert, Sicherheitsbedrohungen zu erkennen, zu beseitigen und darauf zu reagieren.
6. Analyse der Sicherheitsmaßnahmen, die auf bestimmte Geschäftsaktivitäten angewendet werden, beispielsweise die Informationsverschlüsselung.
7. Wo und wie Sicherheitsmaßnahmen umgesetzt werden. Im Rahmen dieses Prozesses kann eine spezifische Sicherheitskontrolle nach Anhang A in die technische Infrastruktur integriert werden.
8. Die Art und Weise, wie verschiedene Sicherheitsmaßnahmen zusammenarbeiten und als kombiniertes System funktionieren.

Leitfaden zum Zero-Trust-Prinzip

Organisationen sollten diese Zero-Trust-Prinzipien berücksichtigen:

• Basierend auf der Annahme, dass die Systeme der Organisation bereits kompromittiert sind und die definierte Perimetersicherheit ihres Netzwerks keinen ausreichenden Schutz bieten kann.
• Bei der Gewährung des Zugangs zu Informationssystemen sollte die Politik „Verifizierung vor Vertrauen“ gelten. Dadurch wird sichergestellt, dass der Zugriff erst nach Prüfung gewährt wird und sichergestellt wird, dass die richtigen Personen ihn haben.
• Die Sicherstellung, dass an Informationssysteme gestellte Anfragen durch eine Ende-zu-Ende-Verschlüsselung geschützt werden, bietet Sicherheit.
• Verifizierungsmechanismen werden unter der Annahme von Zugriffsanfragen externer, offener Netzwerke auf Informationssysteme implementiert.
• Implementieren Sie Least Privilege und dynamische Zugriffskontrolle im Einklang mit ISO 27001:2022 Anhang A 5.15, 5.18 und 8.2. Dies muss die Authentifizierung und Autorisierung sensibler Informationen und Informationssysteme unter Berücksichtigung kontextueller Aspekte wie Benutzeridentitäten (ISO 27001:2022 Anhang A 5.16) umfassen Klassifizierung von Informationen (ISO 27001:2022 Anhang A 5.12).
• Authentifizieren Sie die Identität des Antragstellers und überprüfen Sie Autorisierungsanfragen für den Zugriff auf Informationssysteme gemäß den Authentifizierungsinformationen in ISO 27001:2022 Anhang A 5.17, 5.16 und 8.5.

Was sollten Secure System Engineering-Techniken abdecken?

Ihre Organisation sollte Folgendes beachten:

• Einbeziehung sicherer Architekturprinzipien wie „Security by Design“, „Defense in Depth“, „Fail Secure“, „Misstrauen gegenüber Eingaben von externen Anwendungen“, „Annahme eines Verstoßes“, „geringste Privilegien“, „Benutzerfreundlichkeit und Verwaltbarkeit“ und „geringste Funktionalität“. „ist von größter Bedeutung.
• Durchführung einer sicherheitsorientierten Designüberprüfung, um etwaige Informationssicherheitsprobleme zu erkennen und sicherzustellen, dass Sicherheitsmaßnahmen eingerichtet werden und den Sicherheitsanforderungen entsprechen.
• Die Dokumentation und Anerkennung von Sicherheitsmaßnahmen, die den Anforderungen nicht genügen, ist unerlässlich.
• Systemhärtung ist für die Sicherheit jedes Systems von entscheidender Bedeutung.

Welche Kriterien sind bei der Entwicklung sicherer Engineering-Prinzipien zu berücksichtigen?

Organisationen sollten bei der Einrichtung sicherer Systemtechnikprinzipien die folgenden Punkte berücksichtigen:

• Die Anforderung, die Annex-A-Kontrollen mit einer bestimmten Sicherheitsarchitektur zu koordinieren, ist unabdingbar.
• Die bestehende technische Sicherheitsinfrastruktur einer Organisation, einschließlich Public-Key-Infrastruktur, Identitätsmanagement und Verhinderung von Datenlecks.
• Kann die Organisation die gewählte Technologie aufbauen und aufrechterhalten?
• Die Kosten und der Zeitaufwand für die Erfüllung der Sicherheitsanforderungen müssen unter Berücksichtigung ihrer Komplexität berücksichtigt werden.
• Die Einhaltung aktueller Best Practices ist unerlässlich.

Leitfaden zur Anwendung sicherer Systemtechnikprinzipien

In ISO 27001:2022 Anhang A 8.27 heißt es, dass Organisationen bei der Einrichtung folgender Elemente sichere technische Grundsätze nutzen können:

• Fehlertoleranz und andere Resilienzstrategien sind unerlässlich. Sie tragen dazu bei, sicherzustellen, dass Systeme trotz des Auftretens unerwarteter Ereignisse betriebsbereit bleiben.
• Segregation durch Virtualisierung ist eine Technik, die genutzt werden kann.
• Durch Manipulationssicherheit stellen Sie sicher, dass Systeme sicher und unempfindlich gegenüber böswilligen Eingriffen bleiben.

Sichere Virtualisierungstechnologie kann das Risiko des Abfangens zwischen Anwendungen, die auf demselben Gerät ausgeführt werden, verringern.

Es wird betont, dass Manipulationsschutzsysteme sowohl logische als auch physische Manipulationen an Informationssystemen erkennen und so den unbefugten Zugriff auf Daten verhindern können.

Änderungen und Unterschiede zu ISO 27001:2013

ISO 27001:2022 Anhang A 8.27 ersetzt ISO 27001:2013 Anhang A 14.2.5 in der überarbeiteten Norm von 2022.

Die Version 2022 enthält umfangreichere Forderungen als die Version 2013, wie zum Beispiel:

• Im Vergleich zu 2013 bietet die Version 2022 Hinweise darauf, was sichere technische Grundsätze umfassen sollten.
• Im Gegensatz zur Version von 2013 berücksichtigt die Version von 2022 die Kriterien, die Organisationen bei der Entwicklung sicherer Systemtechnikprinzipien berücksichtigen sollten.
• Die Version 2022 enthält Hinweise zum Zero-Trust-Prinzip, das in der Version 2013 nicht enthalten war.
• Die Ausgabe 2022 des Dokuments enthält Empfehlungen für sichere Engineering-Techniken, wie zum Beispiel „Security by Design“, was in der Version 2013 nicht enthalten war.

Tabelle aller ISO 27001:2022 Anhang A-Kontrollen

In der Tabelle unten finden Sie weitere Informationen zu den einzelnen Personen ISO 27001:2022 Anhang A Steuern.

Wie ISMS.online hilft

Unsere Schritt-für-Schritt-Checkliste macht die Implementierung von ISO 27001 zum Kinderspiel. Unser komplette Compliance-Lösung für ISO/IEC 27001:2022 führt Sie von Anfang bis Ende durch den Prozess.

Beim Einloggen können Sie mit einem Fortschritt von bis zu 81 % rechnen.

Diese Lösung ist absolut umfassend und unkompliziert.

Kontaktieren Sie uns jetzt Buchen Sie eine Vorführung.