Sicherstellung sicherer Informationssysteme bei Audits: Erläuterung der ISO 27002-Kontrolle 8.34
Audittests spielen eine entscheidende Rolle bei der Erkennung und Beseitigung von Sicherheitsrisiken und Schwachstellen in den Informationssystemen.
Allerdings ist die PrüfungsprozessUnabhängig davon, ob sie in Betriebs-, Test- oder Entwicklungsumgebungen durchgeführt werden, können sensible Informationen dem Risiko einer unbefugten Offenlegung oder eines Verlusts der Integrität und Verfügbarkeit ausgesetzt sein.
Control 8.34 befasst sich damit, wie Organisationen das aufrechterhalten können Sicherheit von Informationsressourcen während Audittests.
Zweck der Kontrolle 8.34
Control 8.34 ermöglicht es Unternehmen, Risiken für das Unternehmen zu beseitigen und zu mindern Sicherheit von Informationssystemen und zur Kontinuität des Geschäftsbetriebs durch die Einrichtung und Anwendung geeigneter Maßnahmen und Kontrollen wie Zugriffsbeschränkungen und Nur-Lese-Zugriffsbeschränkungen.
Attributtabelle der Steuerung 8.34
Die Kontrolle 8.34 ist präventiver Natur, da sie Folgendes erfordert Das obere Management und der Prüfer planen und vereinbaren Prüfungstests Verfahren, Einschränkungen und Kontrollen vor der Durchführung von Audits.
| Steuerungstyp | Eigenschaften der Informationssicherheit | Cybersicherheitskonzepte | Operative Fähigkeiten | Sicherheitsdomänen |
|---|---|---|---|---|
| #Präventiv | #Vertraulichkeit | #Schützen | #System- und Netzwerksicherheit | #Governance und Ökosystem |
| #Integrität | #Informationsschutz | #Schutz | ||
| #Verfügbarkeit |
ISO 27001 leicht gemacht
Ein Vorsprung von 81 % vom ersten Tag an
Wir haben die harte Arbeit für Sie erledigt und Ihnen vom Moment Ihrer Anmeldung an einen Vorsprung von 81 % verschafft. Sie müssen nur noch die Lücken ausfüllen.
Eigentum an der Kontrolle 8.34
Das es Das Managementteam sollte dafür verantwortlich sein, Prüfungsverfahren zu planen und zu vereinbaren und notwendige Maßnahmen zu schaffen und anzuwenden.
Allgemeine Richtlinien zur Compliance
Control 8.34 listet acht spezifische Anforderungen auf, die Organisationen berücksichtigen sollten:
- Angemessenes Management und der Prüfer sollten Vereinbaren Sie den Zugriff auf Systeme und Informationsressourcen.
- Vereinbarung über den Umfang der durchzuführenden technischen Auditprüfungen.
- Organisationen können nur Lesezugriff auf Informationen und Software gewähren. Ist die Verwendung der Nur-Lese-Technik nicht möglich, kann ein Administrator mit den erforderlichen Zugriffsrechten im Auftrag des Prüfers Zugriff auf Systeme oder Daten erhalten.
- Wenn eine Zugriffsanfrage genehmigt wird, sollten Organisationen zunächst überprüfen, ob die für den Zugriff auf Systeme verwendeten Geräte die Sicherheitsanforderungen erfüllen, bevor sie Zugriff gewähren.
- Der Zugriff sollte nur für isolierte Kopien gewährt werden der aus dem System extrahierten Dateien. Diese Kopien sollten nach Abschluss der Prüfung endgültig gelöscht werden, es sei denn, es besteht eine Verpflichtung zur Aufbewahrung dieser Dateien. Wenn nur lesender Zugriff möglich ist, entfällt diese Kontrolle.
- Anfragen von Prüfern zur Durchführung spezieller Verarbeitungen, wie z. B. der Einsatz von Prüftools, sollten mit der Geschäftsleitung genehmigt werden.
- Wenn ein Bei der Prüfung besteht die Gefahr, dass die Systemverfügbarkeit beeinträchtigt wirdUm die Verfügbarkeit der Informationen aufrechtzuerhalten, sollte das Audit außerhalb der Geschäftszeiten durchgeführt werden.
- Zugriffsanfragen Für Audits erstellte Protokolle sollten für den Audit Trail protokolliert werden.
Ergänzende Leitlinien zur Kontrolle 8.34
Wenn Audits in Test- oder Entwicklungsumgebungen durchgeführt werden, sollten Unternehmen auf die folgenden Risiken achten:
- Beeinträchtigung der Integrität des Codes.
- Verlust der Vertraulichkeit sensibler Informationen.
Verwalten Sie Ihre gesamte Compliance an einem Ort
ISMS.online unterstützt über 100 Standards und Vorschriften und bietet Ihnen eine einzige Plattform für alle Ihre Compliance-Anforderungen.
Änderungen und Unterschiede zu ISO 27002:2013
27002:2022/8.34 replaces 27002:2013/(12.7.1)
Obwohl die Version 2022 der Version 2013 weitgehend ähnelt, gibt es zwei wesentliche Unterschiede.
Die Version ISO 27002:2022 führt eine neue Anforderung ein
Die Version 2022 führt die folgende Anforderung ein, auf die in der Version 2013 nicht Bezug genommen wurde:
Wenn eine Zugriffsanfrage genehmigt wird, sollten Organisationen zunächst überprüfen, ob die für den Zugriff auf Systeme verwendeten Geräte die Sicherheitsanforderungen erfüllen, bevor sie Zugriff gewähren.
Die Version 2022 befasst sich mit Test- und Entwicklungsumgebungen
In den ergänzenden Leitlinien warnt die Version 2022 Organisationen davor Sicherheitsrisiken aufgrund von Audits, die in Test- und Entwicklungsumgebungen durchgeführt wurden. Die Version 2013 hingegen bezog sich nicht auf die Test- und Entwicklungsumgebungen.
Neue ISO 27002-Kontrollen
| ISO/IEC 27002:2022 Kontrollkennung | ISO/IEC 27002:2013 Kontrollkennung | Kontrollname |
|---|---|---|
| 5.7 | NEU | Bedrohungsinformationen |
| 5.23 | NEU | Informationssicherheit bei der Nutzung von Cloud-Diensten |
| 5.30 | NEU | IKT-Bereitschaft für Geschäftskontinuität |
| 7.4 | NEU | Physische Sicherheitsüberwachung |
| 8.9 | NEU | Konfigurationsmanagement |
| 8.10 | NEU | Löschung von Informationen |
| 8.11 | NEU | Datenmaskierung |
| 8.12 | NEU | Verhinderung von Datenlecks |
| 8.16 | NEU | Überwachungsaktivitäten |
| 8.23 | NEU | Web-Filter |
| 8.28 | NEU | Sichere Codierung |
| ISO/IEC 27002:2022 Kontrollkennung | ISO/IEC 27002:2013 Kontrollkennung | Kontrollname |
|---|---|---|
| 6.1 | 07.1.1 | Rekrutierung |
| 6.2 | 07.1.2 | Beschäftigungsbedingungen |
| 6.3 | 07.2.2 | Bewusstsein für Informationssicherheit, Aus- und Weiterbildung |
| 6.4 | 07.2.3 | Disziplinarverfahren |
| 6.5 | 07.3.1 | Verantwortlichkeiten nach Beendigung oder Wechsel des Arbeitsverhältnisses |
| 6.6 | 13.2.4 | Vertraulichkeits- oder Geheimhaltungsvereinbarungen |
| 6.7 | 06.2.2 | Fernarbeit |
| 6.8 | 16.1.2, 16.1.3 | Berichterstattung über Informationssicherheitsereignisse |
| ISO/IEC 27002:2022 Kontrollkennung | ISO/IEC 27002:2013 Kontrollkennung | Kontrollname |
|---|---|---|
| 7.1 | 11.1.1 | Physische Sicherheitsbereiche |
| 7.2 | 11.1.2, 11.1.6 | Physischer Eintritt |
| 7.3 | 11.1.3 | Absicherung von Büros, Räumen und Anlagen |
| 7.4 | NEU | Physische Sicherheitsüberwachung |
| 7.5 | 11.1.4 | Schutz vor physischen und umweltbedingten Bedrohungen |
| 7.6 | 11.1.5 | Arbeiten in sicheren Bereichen |
| 7.7 | 11.2.9 | Klarer Schreibtisch und klarer Bildschirm |
| 7.8 | 11.2.1 | Standort und Schutz der Ausrüstung |
| 7.9 | 11.2.6 | Sicherheit von Vermögenswerten außerhalb des Betriebsgeländes |
| 7.10 | 08.3.1, 08.3.2, 08.3.3, 11.2.5 | Speichermedium |
| 7.11 | 11.2.2 | Unterstützende Versorgungsunternehmen |
| 7.12 | 11.2.3 | Verkabelungssicherheit |
| 7.13 | 11.2.4 | Wartung der Ausrüstung |
| 7.14 | 11.2.7 | Sichere Entsorgung oder Wiederverwendung von Geräten |
Wie ISMS.online hilft
ISO 27002 Die Implementierung wird einfacher mit unserer Schritt-für-Schritt-Checkliste, die Sie durch den gesamten Prozess führt, von der Definition des Umfangs Ihres ISMS über die Risikoidentifizierung bis hin zur Kontrollimplementierung.
Unsere Plattform ist intuitiv und einfach zu bedienen. Es ist nicht nur etwas für hochtechnische Leute; Es ist für alle in Ihrer Organisation. Wir empfehlen Ihnen, Mitarbeiter auf allen Ebenen Ihres Unternehmens in den Aufbau Ihres Unternehmens einzubeziehen ISMS, denn das hilft Ihnen, ein wirklich nachhaltiges System aufzubauen.
Nehmen Sie noch heute Kontakt mit uns auf Demo buchen.
