ISO 27001 Anforderung 8.2 – Bewertung des Informationssicherheitsrisikos

Anforderungen der ISO 27001:2022

• 4.1 Die Organisation und ihren Kontext verstehen

• 4.2 Verständnis der Bedürfnisse und Erwartungen interessierter Parteien

• 4.3 Bestimmung des Umfangs des ISMS

• 4.4 Informationssicherheits-Managementsystem (ISMS)

• 5.1 Führung und Engagement

• 5.2 Informationssicherheitsrichtlinie

• 5.3 Organisatorische Rollen, Verantwortlichkeiten und Befugnisse

• 6.1 Maßnahmen zur Bewältigung von Risiken und Chancen

• 6.2 Informationssicherheitsziele und Planung zu deren Erreichung

• 7.1 Ressourcen

• 7.2 Kompetenz

• 7.3 Aufmerksamkeit

• 7.4 Kommunikation

• 7.5 Dokumentierte Informationen

• 8.1 Operative Planung und Kontrolle

• 8.2 Risikobewertung der Informationssicherheit

• 8.3 Behandlung von Informationssicherheitsrisiken

• 9.1 Überwachung, Messung, Analyse und Auswertung

• 9.2 Interne Anhörung

• 9.3 Managementbewertung

• 10.1 Nichtkonformität und Korrekturmaßnahmen

• 10.2 Ständige Verbesserung

ISO 27001:2022 Anhang A Kontrollen

Organisatorische Kontrollen

• A 5.1 Informationssicherheitsrichtlinien

• A 5.2 Rollen und Verantwortlichkeiten im Bereich Informationssicherheit

• A 5.3 Aufgabentrennung

• A 5.4 Führungsaufgaben

• A 5.5 Kontakt mit Regierungsbehörden

• A 5.6 Kontakt mit speziellen Interessengruppen

• A 5.7 Threat Intelligence

• A 5.8 Informationssicherheit im Projektmanagement

• A 5.9 Inventar der Informationen und anderer damit verbundener Vermögenswerte

• A 5.10 Akzeptable Nutzung von Informationen und anderen damit verbundenen Vermögenswerten

• A 5.11 Rückgabe von Vermögenswerten

• A 5.12 Klassifizierung von Informationen

• A 5.13 Kennzeichnung von Informationen

• A 5.14 Informationsübertragung

• A 5.15 Zugangskontrolle

• A 5.16 Identitätsmanagement

• A 5.17 Authentifizierungsinformationen

• A 5.18 Zugangsrechte

• A 5.19 Informationssicherheit in Lieferantenbeziehungen

• A 5.20 Adressierung der Informationssicherheit in Lieferantenvereinbarungen

• A 5.21 Management der Informationssicherheit in der IKT-Lieferkette

• A 5.22 Überwachung und Überprüfung sowie Änderungsmanagement von Lieferantendienstleistungen

• A 5.23 Informationssicherheit für die Nutzung von Cloud-Diensten

• A 5.24 Planung und Vorbereitung des Managements von Informationssicherheitsvorfällen

• A 5.25 Bewertung und Entscheidung zu Informationssicherheitsereignissen

• A 5.26 Reaktion auf Informationssicherheitsvorfälle

• A 5.27 Aus Informationssicherheitsvorfällen lernen

• A 5.28 Beweissammlung

• A 5.29 Informationssicherheit bei Störungen

• A 5.30 IKT-Bereitschaft für Geschäftskontinuität

• A 5.31 Rechtliche, gesetzliche, behördliche und vertragliche Anforderungen

• A 5.32 Rechte an geistigem Eigentum

• A 5.33 Schutz von Aufzeichnungen

• A 5.34 Datenschutz und Schutz personenbezogener Daten

• A 5.35 Unabhängige Überprüfung der Informationssicherheit

• A 5.36 Einhaltung von Richtlinien, Regeln und Standards für die Informationssicherheit

• A 5.37 Dokumentierte Betriebsabläufe

Menschenkontrollen

• A 6.1 Schirmungsmaß

• A 6.2 Allgemeine Geschäftsbedingungen

• A 6.3 Informationssicherheitsbewusstsein, Bildung und Schulung

• A 6.4 Disziplinarverfahren

• A 6.5 Verantwortlichkeiten nach Beendigung oder Wechsel des Arbeitsverhältnisses

• A 6.6 Vertraulichkeits- oder Geheimhaltungsvereinbarungen

• A 6.7 Fernarbeit

• A 6.8 Berichterstattung über Informationssicherheitsereignisse

Physikalische Kontrollen

• A 7.1 Physische Sicherheitsbereiche

• A 7.2 Physischer Eintritt

• A 7.3 Sicherung von Büros, Räumen und Einrichtungen

• A 7.4 Physische Sicherheitsüberwachung

• A 7.5 Schutz vor physischen und umweltbedingten Bedrohungen

• A 7.6 Arbeiten in sicheren Bereichen

• A 7.7 Klarer Schreibtisch und klarer Bildschirm

• A 7.8 Standort und Schutz der Ausrüstung

• A 7.9 Sicherheit von Vermögenswerten außerhalb des Betriebsgeländes

• A 7.10 Speichermedien

• A 7.11 Unterstützende Dienstprogramme

• A 7.12 Verkabelungssicherheit

• A 7.13 Wartung der Ausrüstung

• A 7.14 Sichere Entsorgung oder Wiederverwendung von Geräten

Technologische Kontrollen

• A 8.1 Benutzer-Endpunktgeräte

• A 8.2 Privilegierte Zugriffsrechte

• A 8.3 Beschränkung des Informationszugriffs

• A 8.4 Zugang zum Quellcode

• A 8.5 Sichere Authentifizierung

• A 8.6 Kapazitätsmanagement

• A 8.7 Schutz vor Malware

• A 8.8 Management technischer Schwachstellen

• A 8.9 Configuration Management

• A 8.10 Löschen von Informationen

• A 8.11 Datenmaskierung

• A 8.12 Verhinderung von Datenlecks

• A 8.13 Informationssicherung

• A 8.14 Redundanz von Informationsverarbeitungseinrichtungen

• A 8.15 Protokollierung

• A 8.16 Überwachungsaktivitäten

• A 8.17 Uhrzeitsynchronisation

• A 8.18 Verwendung von Privileged Utility-Programmen

• A 8.19 Installation von Software auf Betriebssystemen

• A 8.20 Netzwerksicherheit

• A 8.21 Sicherheit von Netzwerkdiensten

• A 8.22 Trennung von Netzwerken

• A 8.23 Web-Filterung

• A 8.24 Verwendung von Kryptographie

• A 8.25 Sicherer Entwicklungslebenszyklus

• A 8.26 Anforderungen an die Anwendungssicherheit

• A 8.27 Sichere Systemarchitektur und technische Prinzipien

• A 8.28 Sichere Codierung

• A 8.29 Sicherheitstests in Entwicklung und Akzeptanz

• A 8.30 Ausgelagerte Entwicklung

• A 8.31 Trennung von Entwicklungs-, Test- und Produktionsumgebungen

• A 8.32 Change Control

• A 8.33 Testinformationen

• A 8.34 Schutz von Informationssystemen während Audittests

Über ISO 27001

• Über ISO 27001

• Erreichen Sie ISO 27001

• ISO 27001-Anforderungen und -Kontrollen

• Vermögensverwaltung

• ISO 27001 Zertifizierung

• Was ist ein ISMS?

• Wichtige Überlegungen für Ihr ISMS

• Migration Ihres ISMS zu ISMS.online

• ISO 27002 erklärt