ISO 27001:2022 Anhang A 8.32 – Änderungsmanagement

• Weitere Informationen finden Sie auch in den ISO 27002:2022 Kontrolle 8.32 .
• Weitere Informationen finden Sie auch in den ISO 27001:2013 Anhang A 12.1.2 .
• Weitere Informationen finden Sie auch in den ISO 27001:2013 Anhang A 14.2.2 .
• Weitere Informationen finden Sie auch in den ISO 27001:2013 Anhang A 14.2.3 .
• Weitere Informationen finden Sie auch in den ISO 27001:2013 Anhang A 14.2.4 .

ISO 27001 Anhang A 8.32: Veränderungskontrolle für Informationssicherheit

Änderungen an InformationssystemeB. der Austausch eines Netzwerkgeräts, die Erstellung einer neuen Datenbankinstanz oder die Aktualisierung der Software, sind häufig erforderlich, um die Leistung zu verbessern, Kosten zu senken und die Effizienz zu steigern.

Bei unsachgemäßer Durchführung können Änderungen an Informationsverarbeitungseinrichtungen und -systemen die darin gespeicherten oder verarbeiteten Daten gefährden.

ISO 27001:2022 In Anhang A 8.32 wird untersucht, wie Organisationen Änderungsmanagementverfahren einrichten und durchführen können, um Änderungen an den Informationsverarbeitungseinrichtungen und -systemen zu überwachen, zu untersuchen und zu verwalten.

Zweck von ISO 27001:2022 Anhang A 8.32

ISO 27001:2022 Annex A Control 8.32 ermöglicht es Organisationen, Informationsbestände zu schützen und gleichzeitig Änderungen an Informationsverarbeitungssystemen und -einrichtungen vorzunehmen. Dies geschieht durch die Einrichtung, Durchführung und Verwaltung von Regeln und Verfahren für das Änderungsmanagement.

Eigentum an Anlage A 8.32

Chief Information Security Officers sollten mit dem Fachwissen von Fachexperten für die Gestaltung und Durchsetzung von Änderungskontrollverfahren verantwortlich sein, die für alle Phasen des Lebenszyklus des Informationssystems gelten, gemäß ISO 27001:2022 Annex A Control 8.32.

Allgemeine Leitlinien zur Einhaltung von ISO 27001:2022 Anhang A 8.32

Alle Änderungen an Informationssystemen sowie die Implementierung neuer Systeme sollten einer Reihe festgelegter Vorschriften und Verfahren entsprechen. Die Einzelheiten dieser Änderungen müssen explizit angegeben und dokumentiert werden. Darüber hinaus müssen sie Bewertungs- und Qualitätssicherungsprozesse durchlaufen.

Organisationen sollten Managementaufgaben dem am besten geeigneten Management zuweisen und die erforderlichen Verfahren festlegen, um sicherzustellen, dass alle Änderungen den Änderungskontrollvorschriften und -standards entsprechen.

ISO 27001:2022 Annex A Control 8.32 zählt neun Komponenten auf, die im Änderungsmanagementverfahren berücksichtigt werden müssen:

1. Organisationen sollten die potenziellen Auswirkungen der vorgeschlagenen Änderungen unter Berücksichtigung aller Abhängigkeiten ermitteln und bewerten.
2. Implementieren Sie Berechtigungskontrollen für Änderungen. Stellen Sie sicher, dass alle Änderungen vom zuständigen Personal genehmigt wurden. Stellen Sie sicher, dass nur autorisiertes Personal Zugriff auf das System hat und dass alle Änderungen ordnungsgemäß dokumentiert werden.
3. Benachrichtigen Sie relevante interne und externe Gruppen über die vorgeschlagenen Änderungen.
4. Stellen Sie die Einhaltung von ISO 27001:2022 Anhang A 8.29 sicher, indem Sie Tests und Abnahmetests für Änderungen entwickeln und durchführen.
5. Für die Umsetzung der Änderungen und deren praktische Umsetzung wird gesorgt.
6. Erstellen Sie Notfall- und Notfallpläne und -verfahren, einschließlich eines Ausweichverfahrens.
7. Führung von Aufzeichnungen über alle Änderungen und damit verbundenen Aktivitäten, einschließlich der oben genannten 1–6.
8. Um die Einhaltung von Anhang A 5.37 der ISO 27001:2022 sicherzustellen, werden die Betriebsdokumentation und Benutzerverfahren regelmäßig überprüft und bei Bedarf geändert.
9. IKT-Kontinuitätspläne sowie Wiederherstellungs- und Reaktionsverfahren müssen bewertet und aktualisiert werden, um den Änderungen Rechnung zu tragen.

Organisationen sollten sich bemühen, so weit wie möglich Änderungskontrollverfahren für Software und IKT-Infrastruktur zu integrieren.

Ergänzende Hinweise zu Anhang A 8.32

Änderungen in der Produktionsumgebung, z. B. Betriebssysteme und Datenbanken, können die Integrität und Verfügbarkeit von Anwendungen gefährden, insbesondere die Übertragung von Software von der Entwicklung in die Produktion.

Unternehmen sollten sich über die möglichen Folgen einer Softwareänderung in ihrer Produktionsumgebung im Klaren sein. Da es zu unvorhergesehenen Auswirkungen kommen kann, ist Vorsicht geboten.

Unternehmen sollten Tests an IKT-Komponenten in einer sicheren, separaten Umgebung, fernab von Entwicklung und Produktion, durchführen.

Mit Patches und Service Packs können Unternehmen mehr Kontrolle über neue Software erlangen und die zum Testen verwendeten realen Daten schützen, was eine zusätzliche Schutzebene bietet.

Änderungen und Unterschiede zu ISO 27001:2013

ISO 27001:2022 Anhang A 8.32 ersetzt die vier Abschnitte von ISO 27001:2013 Anhang A 12.1.2, 14.2.2, 14.2.3 und 14.2.4.

In ISO 27001:2013 wurden die Änderungskontrollverfahren genauer spezifiziert als im Jahr 2022.

Zwischen den beiden Versionen lassen sich drei wesentliche Unterschiede feststellen.

Die Version ISO 27001:2013 enthielt detailliertere Angaben dazu, was ein „Änderungsverfahren“ beinhalten sollte

In den Versionen ISO 27001:2022 und ISO 27001:2013 wird jeweils in nicht erschöpfender Weise dargelegt, was in einem Änderungsverfahren enthalten sein sollte.

Die Ausgabe 2013 enthielt Komponenten, die in der Variante 2022 nicht erwähnt wurden:

• Identifizieren und überprüfen Sie sicherheitskritischen Code, um etwaige Schwachstellen zu beheben.
• Unternehmen sollten die Versionskontrolle für alle Softwareänderungen beibehalten.
• Organisationen sollten eine Liste der Hardware- und Softwarekomponenten erstellen und aufzeichnen, die geändert und aktualisiert werden müssen.

Die ISO 27001:2013-Version befasst sich mit „Änderungen an Betriebsplattformen“

Anhang A 14.2.3 von ISO 27001:2013 beschreibt Möglichkeiten, wie Organisationen die negativen Auswirkungen und Störungen auf den Geschäftsbetrieb reduzieren können, die durch Änderungen an Betriebssystemen entstehen können.

Im Vergleich dazu sieht die ISO 27001:2022 keine Anforderungen für Änderungen vor.

ISO 27001:2013 befasst sich mit „Änderungen an Softwarepaketen“

Anhang A 14.2.4, der sich auf „Änderungen an Softwarepaketen“ in ISO 27001:2013 bezieht, ist in der Version ISO 27001:2022 nicht enthalten.

Tabelle aller ISO 27001:2022 Anhang A-Kontrollen

In der Tabelle unten finden Sie weitere Informationen zu den einzelnen Personen ISO 27001:2022 Anhang A Steuern.

Wie ISMS.online hilft

Unsere Cloud-Plattform bietet eine starke Struktur von Informationssicherheitsmaßnahmen, die es Ihnen ermöglicht, Ihren ISMS-Prozess im weiteren Verlauf abzuhaken und sicherzustellen, dass er die ISO 27000k-Kriterien erfüllt.

ISMS.online kann Ihnen dabei helfen, effizient und mit minimalen Ressourcen eine Zertifizierung zu erlangen. Bei richtiger Anwendung kann es einen großen Beitrag zur Erreichung dieses Ziels leisten.

Kontaktieren Sie uns jetzt, um Vereinbaren Sie eine Vorführung.