ISO 27002:2022 – Kontrolle 8.32 – Änderungsmanagement

Sicherstellung sicherer und kontrollierter Änderungen mit ISO 27002:2022 Control 8.32

Änderungen an Informationssystemen wie der Austausch eines Netzwerkgeräts, die Erstellung einer neuen Datenbankinstanz oder die Aktualisierung von Software sind häufig erforderlich, um die Leistung zu verbessern, die Kosten zu senken und die Effizienz zu steigern.

Allerdings können diese Änderungen an Informationsverarbeitungseinrichtungen und -systemen, wenn sie nicht ordnungsgemäß umgesetzt werden, zur Gefährdung der in diesen Einrichtungen gespeicherten oder von ihnen verarbeiteten Informationsbestände führen.

Control 8.32 befasst sich mit der Frage, wie Organisationen Änderungsmanagementverfahren einrichten und anwenden können, um an den Informationsverarbeitungseinrichtungen und -systemen vorgenommene Änderungen zu überwachen, zu überprüfen und zu kontrollieren.

Zweck der Kontrolle 8.32

Control 8.32 ermöglicht es Organisationen, die Sicherheit von Informationsressourcen bei der Durchführung von Änderungen an den Informationsverarbeitungseinrichtungen und -systemen aufrechtzuerhalten, indem sie Regeln und Verfahren für das Änderungsmanagement festlegen, implementieren und verwalten.

Attributtabelle der Steuerung 8.32

Die Kontrolle 8.32 hat präventiven Charakter. Es verlangt von Organisationen, Änderungskontrollprozesse zu definieren, zu dokumentieren, zu spezifizieren und durchzusetzen, die den gesamten Lebenszyklus von Informationssystemen steuern, vom ersten Entwurf bis zur Bereitstellung und Nutzung.

Eigentum an der Kontrolle 8.32

Da die Einhaltung von Control 8.32 die Einrichtung und Durchsetzung von Änderungskontrollverfahren erfordert, die für alle Phasen im Lebenszyklus von Informationssystemen gelten, sollten leitende Informationssicherheitsbeauftragte mit Unterstützung von Fachexperten dafür verantwortlich sein, diese Verfahren zu entwerfen und durchzusetzen.

Allgemeine Richtlinien zur Compliance

Alle größeren Änderungen an Informationssystemen und die Einführung neuer Systeme sollten einem vereinbarten Regelwerk und Verfahren unterliegen. Diese Änderungen sollten formell spezifiziert und dokumentiert werden. Darüber hinaus sollten sie die Test- und Qualitätskontrollprozesse durchlaufen.

Um sicherzustellen, dass alle Änderungen den Änderungskontrollregeln und -standards entsprechen, sollten Organisationen Managementverantwortungen dem entsprechenden Management zuweisen und die erforderlichen Verfahren festlegen.

Control 8.32 listet neun Elemente auf, die in das Änderungsmanagementverfahren einbezogen werden sollten:

1. Organisationen sollten die wahrscheinlichen Auswirkungen geplanter Änderungen unter Berücksichtigung aller Abhängigkeiten planen und messen.
2. Implementierung von Berechtigungskontrollen für Änderungen.
3. Informieren relevanter interner und externer Parteien über die geplanten Änderungen.
4. Etablierung und Implementierung von Test- und Abnahmetestprozessen für Änderungen gemäß Control 8.29.
5. Wie die Änderungen umgesetzt werden, einschließlich der Art und Weise, wie sie in der Praxis umgesetzt werden.
6. Erstellung von Notfall- und Notfallplänen und -verfahren. Dazu kann auch die Festlegung eines Fallback-Verfahrens gehören.
7. Führen Sie Aufzeichnungen über alle Änderungen und damit verbundenen Aktivitäten, einschließlich aller oben aufgeführten Aktivitäten (1 bis 6).
8. Die in Control 5.37 erforderliche Betriebsdokumentation und Benutzerverfahren werden überprüft und aktualisiert, um die Änderungen widerzuspiegeln.
9. IKT-Kontinuitätspläne sowie Wiederherstellungs- und Reaktionsverfahren sollten überprüft und überarbeitet werden, um den Änderungen Rechnung zu tragen.

Abschließend wird darauf hingewiesen, dass Organisationen Änderungskontrollverfahren für Software und IKT-Infrastruktur so weit wie möglich integrieren sollten.

Ergänzende Leitlinien zur Kontrolle 8.32

Änderungen an den Produktionsumgebungen wie Betriebssystemen und Datenbanken können die Integrität und Verfügbarkeit von Anwendungen beeinträchtigen, insbesondere die Übertragung von Software von der Entwicklungs- in die Produktionsumgebung.

Ein weiteres Risiko, vor dem Unternehmen vorsichtig sein sollten, besteht darin, dass Softwareänderungen in der Produktionsumgebung unbeabsichtigte Folgen haben können.

Um diesen Risiken vorzubeugen, sollten Unternehmen Tests an IKT-Komponenten in einer von der Entwicklungs- und Produktionsumgebung isolierten Umgebung durchführen.

Dies ermöglicht Unternehmen eine bessere Kontrolle über neue Software und bietet eine zusätzliche Schutzebene für reale Daten, die zu Testzwecken verwendet werden. Dieser zusätzliche Schutz kann über Patches und Service Packs erreicht werden.

Änderungen und Unterschiede zu ISO 27002:2013

27002:2022/8.32 ersetzt 27002:2013/(12.1.2, 14.2.2, 14.2.3, 14.2.4)

Insgesamt war die Version 2013 im Vergleich zur Version 2022 hinsichtlich der Anforderungen an Änderungskontrollverfahren strenger.

Es sind drei wesentliche Unterschiede zwischen den beiden Versionen hervorzuheben.

Die Version ISO 27002:2013 enthielt detailliertere Angaben dazu, was ein „Änderungsverfahren“ beinhalten sollte

Sowohl in der Version 27002:2022 als auch in der Version 27002:2013 ist nicht erschöpfend aufgeführt, was ein „Änderungsverfahren“ umfassen sollte.

Allerdings enthielt die Version 2013 folgende Elemente, auf die in der Version 2022 nicht Bezug genommen wurde:

• Sicherheitskritischer Code sollte identifiziert und überprüft werden, um Schwachstellen zu beheben.
• Unternehmen sollten die Versionskontrolle für alle in der Software implementierten Updates beibehalten.
• Organisationen sollten eine Liste aller Hardware- und Softwarekomponenten identifizieren und dokumentieren, die geändert und aktualisiert werden müssen.

In der Version 2013 wurden „Änderungen an Betriebsplattformen“ behandelt.

Control 14.2.3 in der Version 27002:2013 befasste sich damit, wie Organisationen die negativen Auswirkungen und Störungen des Geschäftsbetriebs minimieren können, wenn Änderungen an Betriebssystemen vorgenommen werden.

Im Gegensatz dazu enthält die Version 27002:2022 keine Anforderungen für solche Änderungen.

Version 2013 behandelt „Änderungen an Softwarepaketen“

Control 14.2.4 in der Version 27002:2013 befasste sich mit „Änderungen an Softwarepaketen“. Im Gegenteil, die Version 27002:2022 enthält keine Anforderungen für solche Änderungen.

Neue ISO 27002-Kontrollen

Wie ISMS.online hilft

Unsere cloudbasierte Plattform bietet Ihnen ein robustes Rahmenwerk für Informationssicherheitskontrollen, sodass Sie Ihren ISMS-Prozess jederzeit überprüfen können, um sicherzustellen, dass er die Anforderungen für ISO 27000k erfüllt.

Richtig eingesetzt, ISMS. online kann Ihnen dabei helfen, die Zertifizierung mit minimalem Zeit- und Ressourcenaufwand zu erreichen.

Nehmen Sie noch heute Kontakt mit uns auf Demo buchen.