ISO 27002:2022 – Kontrolle 8.14 – Redundanz von Informationsverarbeitungsanlagen

Zweck der Kontrolle 8.14

Ein 'Informationsverarbeitungsanlage„ (IPF) ist ein weit gefasster Begriff, der alle Teile der IKT-Infrastruktur beschreibt, die an der Datenverarbeitung beteiligt sind, wie z. B. IT-Geräte, Software sowie physische Einrichtungen und Standorte.

IPFs spielen eine Schlüsselrolle bei der Aufrechterhaltung der Geschäftskontinuität und der Gewährleistung des reibungslosen Betriebs der IKT-Netzwerke einer Organisation. Um die Widerstandsfähigkeit zu erhöhen, müssen Organisationen Maßnahmen implementieren, die die Redundanz ihrer IPFs erhöhen – d. h. ausfallsichere Methoden und Prozesse, die das Risiko für Systeme und Daten im Falle eines Ausfalls, Missbrauchs oder Eindringens mindern.

Attributtabelle der Steuerung 8.14

Kontrolle 8.14 ist ein vorbeugende Kontrolle zur Abwicklung, Integrierung, Speicherung und hält das Risiko aufrecht durch die Implementierung von Plänen und Verfahren, die den kontinuierlichen Betrieb der Informationsverarbeitungsanlagen und stellvertretend des gesamten IKT-Netzwerks einer Organisation aufrechterhalten.

Eigentum an der Kontrolle 8.14

Control 8.14 befasst sich mit der Fähigkeit einer Organisation, ihre Geschäftstätigkeit im Falle kritischer oder geringfügiger Ausfälle fortzusetzen, die möglicherweise Auswirkungen auf die Ausfallsicherheit haben. Daher sollte das Eigentum an 8.14 beim Chief Operating Officer oder einer gleichwertigen Organisation liegen.

Allgemeine Richtlinien zur Compliance

Das übergeordnete Ziel von Control 8.14 besteht darin, die Verfügbarkeit dessen zu erhöhen, was ISO als solches ansieht Geschäftsdienstleistungen und Informationssysteme, was als jeder Aspekt eines Netzwerks interpretiert werden kann, der es der Organisation ermöglicht, Geschäfte abzuwickeln.

Control 8.14 befürwortet Vervielfältigung als primäre Methode zur Erzielung von Redundanz zwischen den verschiedenen IPFs, vor allem durch die Führung eines Bestands an Ersatzteilen, doppelten Komponenten (Hardware und Software) und zusätzlichen Peripheriegeräten.

Ein redundantes System ist nur so gut wie es Alarmierung Einrichtung. Daher sollten Organisationen sicherstellen, dass ausgefallene IPFs schnell erkannt werden und Abhilfemaßnahmen ergriffen werden, um entweder ein Failover auf Standby-Hardware durchzuführen oder das fehlerhafte IPF so schnell wie möglich zu reparieren.

Beim Entwurf und der Installation von Redundanzmaßnahmen sollten Unternehmen Folgendes berücksichtigen:

1. Eingehen einer Geschäftsbeziehung mit zwei separate Dienstleister, um das Risiko eines pauschalen Ausfalls im Falle eines kritischen Ereignisses (z. B. eines Internet-Service-Providers oder VoIP-Providers) zu reduzieren.
2. Einhaltung der Redundanzprinzipien beim Entwurf Datennetze (sekundäre DCs, redundante BUDR-Systeme usw.).
3. Gebrauch machen von geografisch getrennte Standorte bei der Beauftragung von Datendienstleistungen, insbesondere im Falle von Dateispeicher- und/oder Rechenzentrumseinrichtungen.
4. Einkauf Energiesysteme die in der Lage sind, je nach Bedarf eine vollständige oder teilweise Redundanz zu erreichen.
5. Die richtigen Lastverteilung und automatisch fehl zwischen zwei identischen, redundanten Softwarekomponenten oder Systemen, um sowohl die Echtzeitleistung als auch die Belastbarkeit nach einem kritischen Ereignis zu verbessern. Dies ist besonders wichtig, wenn ein Betriebsmodell in Betracht gezogen wird, das sowohl öffentliche Cloud-Dienste als auch On-Premise-Dienste umfasst. Redundante Systeme sollten (soweit möglich) im Produktionsmodus regelmäßig getestet werden, um sicherzustellen, dass Failover-Systeme ordnungsgemäß funktionieren.
6. Duplizieren physischer IKT-Komponenten sowohl innerhalb von Servern und Dateispeicherorten (RAID-Arrays, CPUs) als auch von allen Geräten, die als Netzwerkgeräte fungieren (Firewalls, redundante Switches). Um die Kontinuität sicherzustellen, sollten Firmware-Updates auf allen verbundenen und redundanten Geräten durchgeführt werden.

Ergänzende Leitlinien zur Kontrolle 8.14

Control 8.14 erkennt den inhärenten Zusammenhang zwischen robusten, redundanten Systemen und Business-Continuity-Planung an (siehe Control 5.30) und fordert Organisationen auf, beides als Teil der Lösung für die gleichen Herausforderungen zu betrachten.

Es ist wichtig zu beachten, dass es bei Geschäftsanwendungen äußerst schwierig ist, kritische Fehler in der Anwendung selbst zu berücksichtigen (insbesondere bei verwalteten Anwendungen).

Unterstützende Kontrollen

• 5.30

Änderungen und Unterschiede zu ISO 27002:2013

ISO 27002:2022-8.14 ersetzt ISO 27002:2003-17.2.1 (Verfügbarkeit von Einrichtungen zur Informationsverarbeitung).

27002:2022-8.14 ist ein enormer operativer Sprung von 27002:2003-17.2.1, wobei der Unterschied zwischen den beiden Kontrollen die größte Änderung während der gesamten ISO 27002:2022-Aktualisierung darstellt.

27002:2003-17.2.1 enthält nur ein paar oberflächliche Absätze zur Notwendigkeit, Redundanz zu erreichen, während 27002:2022-8.14 ausführliche Anleitungen dazu enthält, wie genau dies für lokale, cloudbasierte, logische und physische Komponenten erreicht werden kann.

Neue ISO 27002-Kontrollen

Wie ISMS.online hilft

Bei ISMS.online haben wir ein umfassendes und benutzerfreundliches System aufgebaut, das Ihnen bei der Implementierung von ISO 27002-Kontrollen und der Verwaltung Ihres gesamten ISMS helfen kann.

ISMS.online erleichtert die Implementierung von ISO 27002, indem es eine Reihe von Tools bereitstellt, die Sie bei der Verwaltung der Informationssicherheit in Ihrem Unternehmen unterstützen. Es hilft Ihnen, Risiken zu identifizieren und Kontrollen zu entwickeln, um diese Risiken zu mindern, und zeigt Ihnen dann, wie Sie diese innerhalb der Organisation umsetzen können.

Kontaktieren Sie uns noch heute zu Demo anfordern.