ISO 27002:2022 – Kontrolle 8.13 – Informationssicherung

Zweck der Kontrolle 8.13

Der Backup-Vorgang einer Organisation sollte ein breites Spektrum an Maßnahmen umfassen, die die Ausfallsicherheit verbessern und vor Geschäftsverlusten schützen, indem ein robuster und streng verwalteter Satz von Backup-Jobs unter Verwendung dedizierter Software und Dienstprogramme mit angemessenen Aufbewahrungsniveaus und vereinbarten Wiederherstellungszeiten eingerichtet wird.

Control 8.13 befürwortet a themenspezifisch Ansatz für Backups, der maßgeschneiderte Prozesse für jedes einzelne Thema umfasst und die verschiedenen Arten von Daten (und damit verbundenen Risikostufen) berücksichtigt, die Unternehmen während ihres gesamten Betriebs verarbeiten und darauf zugreifen.

Attributtabelle der Steuerung 8.13

Kontrolle 8.13 ist ein korrigierend Kontrolliere das hält das Risiko aufrecht durch die Implementierung von Richtlinien, die eine zeitnahe Wiederherstellung nach Daten- und/oder Systemverlusten oder -unterbrechungen ermöglichen.

Eigentum an der Kontrolle 8.13

Control 8.13 befasst sich mit täglichen Sicherungsvorgängen, die von Mitarbeitern des technischen Supports durchgeführt werden sollten, die für die Wartung des Netzwerks der Organisation verantwortlich sind.

Daher sollte das Eigentum an Control 8.13 bei der Person liegen, die für den täglichen IKT-Betrieb der Organisation verantwortlich ist, oder bei der Person, die einen ausgelagerten IKT-Vertrag überwacht.

Allgemeine Leitlinien zur Kontrolle 8.13

Organisationen sollten themenspezifische Richtlinien entwerfen, die direkt darauf eingehen, wie die Organisation die relevanten Bereiche ihres Netzwerks sichert.

Backup-Einrichtungen sollten mit dem vorrangigen Ziel implementiert werden, sicherzustellen, dass alle geschäftskritischen Daten, Software und Systeme nach den folgenden Ereignissen wiederhergestellt werden können:

• Datenverlust
• Intrusion
• Betriebsunterbrechung
• Ausfall von Systemen, Anwendungen oder Speichermedien

Jeder gemäß Control 8.13 erstellte Backup-Plan sollte darauf abzielen:

1. Skizzieren Sie klare und prägnante Wiederherstellungsverfahren, die alle relevanten kritischen Systeme und Dienste abdecken.
2. Erstellen Sie funktionsfähige Kopien aller Systeme, Daten oder Anwendungen, die von einem Backup-Auftrag abgedeckt werden.
3. Erfüllen Sie die individuellen kommerziellen und betrieblichen Anforderungen der Organisation (z. B. Wiederherstellungszeitziele, Backup-Typen, Backup-Häufigkeit) (siehe Kontrolle 5.30).
4. Speichern Sie Backups an einem geeigneten Ort, der vor Umwelteinflüssen geschützt ist, physisch von den Quelldaten getrennt ist, um einen vollständigen Datenverlust zu verhindern, und auf den zu Wartungszwecken sicher zugegriffen werden kann (siehe Kontrolle 8.1).
5. Verpflichtung zur regelmäßigen Prüfung von Backup-Jobs, um die Datenverfügbarkeit zu gewährleisten, falls eine kurzfristige Wiederherstellung von Dateien, Systemen oder Anwendungen erforderlich sein sollte. Backup-Tests sollten an den vereinbarten Wiederherstellungszeiten der Organisation gemessen werden, um die Einhaltung im Falle eines Datenverlusts oder einer Systemunterbrechung sicherzustellen.
6. Verschlüsseln Sie gesicherte Daten entsprechend ihrer Risikostufe.
7. Überprüfen Sie, ob Daten verloren gegangen sind, bevor Sie Sicherungsaufträge ausführen.
8. Implementieren Sie ein Berichtssystem, das das Wartungspersonal über den Status von Backup-Jobs – einschließlich vollständiger oder teilweiser Ausfälle – informiert, damit Abhilfemaßnahmen ergriffen werden können.
9. Beziehen Sie Daten von Cloud-basierten Plattformen ein, die nicht direkt von der Organisation verwaltet werden.
10. Speichern Sie Sicherungsdaten gemäß einer themenspezifischen Aufbewahrungsrichtlinie, die die zugrunde liegende Art und den Zweck der gesicherten Daten berücksichtigt, einschließlich der Übertragung und/oder Archivierung auf Speichermedien (siehe Steuerung 8.10).

Unterstützende Kontrollen

• 5.30
• 8.1
• 8.10

Änderungen und Unterschiede zu ISO 27002:2013

ISO 27002:2022-8.13 ersetzt ISO 27002:2003-12.3.1 (Informationssicherung).

ISO 27002:2022-8.13 enthält die gleichen betrieblichen Standards wie sein Gegenstück aus dem Jahr 2003, mit zusätzlichen Anleitungen in den folgenden Bereichen:

• Überprüfen Sie, ob Daten verloren gegangen sind, bevor Sie Sicherungsjobs ausführen
• Implementierung eines Berichtssystems
• Cloudbasierte Plattformen
• Speicherung von Backups gemäß einer themenspezifischen Aufbewahrungs- und Archivierungsrichtlinie

Neue ISO 27002-Kontrollen

Wie ISMS.online hilft

ISMS.online hilft Ihnen auch dabei, die Einhaltung des ISO 27002-Standards nachzuweisen, indem es ein Management-Dashboard, Berichte und Prüfprotokolle bereitstellt.

Unsere cloudbasierte Plattform bietet:

• Ein benutzerfreundliches und anpassbares Dokumentationsverwaltungssystem.
• Zugriff auf eine Bibliothek ausgefeilter, vorgefertigter Dokumentationsvorlagen.
• Ein vereinfachter Prozess zur Durchführung interner Audits.
• Eine effiziente Methode zur Kommunikation mit Management und Stakeholdern.
• Ein Workflow-Modul zur Optimierung des Implementierungsprozesses.

ISMS.online bietet all diese Funktionen und noch mehr.

Nehmen Sie noch heute Kontakt mit uns auf Demo buchen.