ISO 27002:2022, Kontrolle 8.34 – Schutz von Informationssystemen während Audittests

Eigentum an der Kontrolle 8.34

Das es Das Managementteam sollte dafür verantwortlich sein, Prüfungsverfahren zu planen und zu vereinbaren und notwendige Maßnahmen zu schaffen und anzuwenden.

Allgemeine Richtlinien zur Compliance

Control 8.34 listet acht spezifische Anforderungen auf, die Organisationen berücksichtigen sollten:

1. Angemessenes Management und der Prüfer sollten Vereinbaren Sie den Zugriff auf Systeme und Informationsressourcen.
2. Vereinbarung über den Umfang der durchzuführenden technischen Auditprüfungen.
3. Organisationen können nur Lesezugriff auf Informationen und Software gewähren. Ist die Verwendung der Nur-Lese-Technik nicht möglich, kann ein Administrator mit den erforderlichen Zugriffsrechten im Auftrag des Prüfers Zugriff auf Systeme oder Daten erhalten.
4. Wenn eine Zugriffsanfrage genehmigt wird, sollten Organisationen zunächst überprüfen, ob die für den Zugriff auf Systeme verwendeten Geräte die Sicherheitsanforderungen erfüllen, bevor sie Zugriff gewähren.
5. Der Zugriff sollte nur für isolierte Kopien gewährt werden der aus dem System extrahierten Dateien. Diese Kopien sollten nach Abschluss der Prüfung endgültig gelöscht werden, es sei denn, es besteht eine Verpflichtung zur Aufbewahrung dieser Dateien. Wenn nur lesender Zugriff möglich ist, entfällt diese Kontrolle.
6. Anfragen von Prüfern zur Durchführung spezieller Verarbeitungen, wie z. B. der Einsatz von Prüftools, sollten mit der Geschäftsleitung genehmigt werden.
7. Wenn ein Bei der Prüfung besteht die Gefahr, dass die Systemverfügbarkeit beeinträchtigt wirdUm die Verfügbarkeit der Informationen aufrechtzuerhalten, sollte das Audit außerhalb der Geschäftszeiten durchgeführt werden.
8. Zugriffsanfragen Für Audits erstellte Protokolle sollten für den Audit Trail protokolliert werden.

Ergänzende Leitlinien zur Kontrolle 8.34

Wenn Audits in Test- oder Entwicklungsumgebungen durchgeführt werden, sollten Unternehmen auf die folgenden Risiken achten:

• Beeinträchtigung der Integrität des Codes.
• Verlust der Vertraulichkeit sensibler Informationen.

Änderungen und Unterschiede zu ISO 27002:2013

27002:2022/8.34 replace 27002:2013/(12.7.1)

Obwohl die Version 2022 der Version 2013 weitgehend ähnelt, gibt es zwei wesentliche Unterschiede.

Die Version ISO 27002:2022 führt eine neue Anforderung ein

Die Version 2022 führt die folgende Anforderung ein, auf die in der Version 2013 nicht Bezug genommen wurde:

Wenn eine Zugriffsanfrage genehmigt wird, sollten Organisationen zunächst überprüfen, ob die für den Zugriff auf Systeme verwendeten Geräte die Sicherheitsanforderungen erfüllen, bevor sie Zugriff gewähren.

Die Version 2022 befasst sich mit Test- und Entwicklungsumgebungen

In den ergänzenden Leitlinien warnt die Version 2022 Organisationen davor Sicherheitsrisiken aufgrund von Audits, die in Test- und Entwicklungsumgebungen durchgeführt wurden. Die Version 2013 hingegen bezog sich nicht auf die Test- und Entwicklungsumgebungen.

Wie ISMS.online hilft

ISO 27002 Die Implementierung wird einfacher mit unserer Schritt-für-Schritt-Checkliste, die Sie durch den gesamten Prozess führt, von der Definition des Umfangs Ihres ISMS über die Risikoidentifizierung bis hin zur Kontrollimplementierung.

Unsere Plattform ist intuitiv und einfach zu bedienen. Es ist nicht nur etwas für hochtechnische Leute; Es ist für alle in Ihrer Organisation. Wir empfehlen Ihnen, Mitarbeiter auf allen Ebenen Ihres Unternehmens in den Aufbau Ihres Unternehmens einzubeziehen ISMS, denn das hilft Ihnen, ein wirklich nachhaltiges System aufzubauen.

Nehmen Sie noch heute Kontakt mit uns auf Demo buchen.