ISO 27001 Maßnahmen: Alle Controls aus Anhang A im Überblick

ISO 27001 ist der internationale Standard für die Einrichtung eines Informationssicherheits-Managementsystems (ISMS). Die Controls im Anhang A von ISO 27001 sind Maßnahmen, die das Risiko für Ihre Informationssicherheit senken. Dabei werden Risiken auf allen Ebenen berücksichtigt: technologische, organisatorische, physische und menschliche.

Die Zertifizierung nach ISO 27001 verbessert nicht nur Ihre Sicherheitsprozesse, sondern stärkt auch das Vertrauen Ihrer Kunden. Anhang A enthält 93 Controls, unterteilt in vier Kategorien, die je nach Unternehmensart unterschiedlich relevant sein können.

Um Ihnen den Einstieg zu erleichtern, haben wir eine Übersicht aller 93 Controls aus Anhang A zusammengestellt. So schützen Sie Ihre Informationen effektiv und erfüllen die Anforderungen der ISO 27001.

Was ist der ISO 27001 Annex A?

Der ISO 27001 Anhang A ist eine zentrale Sammlung von 93 Sicherheitsmaßnahmen, die Unternehmen dabei unterstützen, ihre Informationssicherheit zu stärken

Er dient als Werkzeugkasten, aus dem Sie je nach Bedarf und Anwendungsbereich Ihres ISMS die passenden Maßnahmen auswählen, die für Ihr Unternehmen relevant sind. Diese standardisierten Controls helfen Ihnen, Ihre Informationswerte effektiv zu schützen und Risiken gezielt zu minimieren.

ISO 27001 vs. ISO 27002: Was ist der Unterschied?

ISO 27001 bietet einen Überblick über die 93 Controls im Anhang A, beschreibt jedoch nur kurz deren Ziele. Wenn es um die konkrete Umsetzung dieser Maßnahmen geht, kommt ISO 27002 ins Spiel. Diese Norm ergänzt ISO 27001, indem sie detailliert erklärt, wie die einzelnen Controls funktionieren und wie Unternehmen sie erfolgreich umsetzen können.

Während ISO 27001 den Rahmen vorgibt, liefert ISO 27002 die praktischen Anleitungen zur Umsetzung.

Erfahren Sie mehr über die Unterschiede zwischen ISO 27001 und ISO 27002 in diesem Blog-Artikel.

ISO 27001:2022 Anhang A – Controls

Der Anhang A der ISO 27001:2022 enthält eine Liste von Controls, die Sie je nach Unternehmenskontext auswählen und umsetzen, um ihre Informationssicherheit zu stärken. Das Ziel der Norm ist der Schutz der Vertraulichkeit, Integrität und Verfügbarkeit von Informationen.

Die Umsetzung der Controls hilft Ihrem Unternehmen, gesetzliche Anforderungen zu erfüllen, die Informationssicherheit gegenüber Stakeholdern zu demonstrieren, Sicherheitsvorfälle zu minimieren und Prozesse zu optimieren. Doch was genau sind diese Controls, und wie setzt man sie effektiv ein?

Wofür brauchen Sie die Anwendbarkeitserklärung (SoA)?

Die Anwendbarkeitserklärung (SoA) für die ISO 27001-Zertifizierung listet auf und begründet, welche Maßnahmen aus Anhang A einbezogen oder ausgeschlossen werden. Und sie hält fest, welche Maßnahmen bereits umgesetzt wurden.

So erstellen und pflegen Sie eine effektive SoA anhand von Beispielen aus den Maßnahmen des Anhangs A der ISO 27001:2022:

Liste der Kontrollen

Erfassen Sie alle relevanten Kontrollen aus Anhang A, unterteilt in die Kategorien Organisation, Personal, Physisch und Technologisch.

Begründung für die Aufnahme

Geben Sie für jede aufgenommene Kontrolle eine Begründung basierend auf Ihrer Risikobewertung an.

Beispiel: „Maßnahme 5.7 (Bedrohungsaufklärung) ist aufgenommen, um unsere Fähigkeit zu verbessern, neue Sicherheitsbedrohungen zu erkennen und darauf zu reagieren.“

Begründung für den Ausschluss

Erläutern Sie, warum bestimmte Kontrollen nicht anwendbar sind.

Beispiel: „Maßnahme 7.4 (Überwachung der physischen Sicherheit) ist ausgeschlossen, da unser Unternehmen vollständig remote arbeitet und keine zentrale physische Niederlassung hat.“

Umsetzungsstatus

Dokumentieren Sie, ob jede Kontrolle vollständig, teilweise oder noch nicht umgesetzt ist.

Beispiel: „Maßnahme 8.9 (Konfigurationsmanagement) – teilweise umgesetzt, vollständige Umsetzung geplant.”

Pflege der SoA

Überprüfen und aktualisieren Sie die SoA regelmäßig, um Veränderungen in der Risikolage des Unternehmens abzubilden. Integrieren Sie die SoA mit anderen wichtigen ISMS-Dokumenten, wie z. B. dem Risikobericht und den internen Auditberichten.

Zugänglichkeit und Versionskontrolle

Stellen Sie sicher, dass die SoA leicht zugänglich ist und unter strenger Versionskontrolle geführt wird. Dokumentieren Sie alle Änderungen mit Datum, verantwortlicher Person und Grund für die Aktualisierung. Durch die sorgfältige Dokumentation der Auswahl, Umsetzung und Begründung von Kontrollen unterstützt die SoA die ISO 27001:2022-Compliance und stärkt Ihr Informationssicherheits-Managementsystem (ISMS). Für detailliertere Anleitungen verweisen wir auf die ISO 27002.

ISO 27001:2022: Elf neue Controls

Seit 2022 wurden der ISO 27001 elf neue Controls hinzugefügt, die unterschiedlichen Kategorien zugeordnet werden:

• A.5.7 Threat intelligence
  Unternehmen sind dazu verpflichtet, Daten über potenzielle Gefahren für die Informationssicherheit zu erfassen und einer eingehenden Analyse zu unterziehen.
• A.5.23 Information security for the use of cloud services
  Unternehmen sind dazu angehalten, die Informationssicherheit für die Nutzung von Cloud-Diensten festzulegen und zu verwalten.
• A.5.30 ICT readiness for business continuity
  Unternehmen müssen einen ICT (Information and Communications Technology)-Kontinuitätsplan erstellen, um die betriebliche Widerstandsfähigkeit aufrechtzuerhalten.
• A.7.4 Physical security monitoring
  Es ist erforderlich, dass Unternehmen geeignete Überwachungsinstrumente einsetzen, um unbefugte Zugriffe von innen und außen frühzeitig zu erkennen und wirksam zu unterbinden.
• A.8.9 Configuration management
  Unternehmen müssen Richtlinien für die Dokumentation, Implementierung, Überwachung und Überprüfung von Konfigurationen in ihrem gesamten Netzwerk festlegen.
• A.8.10 Information deletion
  Das Dokument enthält Anleitungen zur Datenlöschung, um gesetzliche Vorgaben und regulatorische Anforderungen einzuhalten.
• A.8.11 Data masking
  Es werden Techniken zur Datenmaskierung für personenbezogene Daten (personal identifiable information, PII) zur Einhaltung von Gesetzen und Vorschriften bereitgestellt.
• A.8.12 Data leakage prevention
  Unternehmen sind verpflichtet, technische Maßnahmen zu ergreifen, um die Offenlegung und/oder Extraktion von Informationen zu erkennen und zu verhindern.
• A.8.16 Monitoring activities
  Es werden Richtlinien zur Verbesserung der Netzwerküberwachungsaktivitäten bereitgestellt, um anomales Verhalten zu erkennen und auf Sicherheitsvorfälle zu reagieren.
• A.8.23 Web filtering
  Unternehmen müssen Zugangskontrollen und Maßnahmen zur Beschränkung und Kontrolle des Zugangs zu externen Websites durchsetzen.
• A.8.28 Secure coding
  Die Unternehmen sind dazu verpflichtet, bewährte Secure-Coding-Grundsätze zu implementieren, um Schwachstellen zu vermeiden, die durch unzureichende Kodierungsmethoden entstehen können.

ISO 27001: Vier Control-Gruppen

Die 93 Controls im Anhang A der ISO 27001 sind in vier Gruppen unterteilt, um den Kontext und die relevanten Risiken besser zu verstehen. Diese Einteilung erleichtert es Ihnen, die passenden Maßnahmen gezielt anzuwenden und Verantwortlichkeiten klar zu definieren.

Hier sind die vier Kategorien:

• Organisational Controls (37 Maßnahmen)
• People Controls (8 Maßnahmen)
• Physical Controls (14 Maßnahmen)
• Technological Controls (34 Maßnahmen)

Die Einteilung der Controls in vier Kategorien hilft Ihnen zu entscheiden, wer für die Umsetzung der Maßnahmen verantwortlich ist und welche Maßnahmen für die jeweilige Organisation gelten. Während technologische Controls oft von der IT umgesetzt werden, können organisatorische Maßnahmen beispielsweise vom Operations-Team übernommen werden.

Oranisational Controls: Maßnahmen zur organisatorischen Sicherheit

Organisatorische Maßnahmen beziehen sich in der Regel auf alle Bereiche, die nicht direkt mit Menschen, Technik oder physischer Sicherheit zu tun haben. Dazu zählen zum Beispiel das Identitätsmanagement, klare Zuständigkeiten sowie das Erfassen von Nachweisen.

Neue organisatorische Maßnahmen:

• 5.7: Threat Intelligence
• 5.23: Information security for the use of cloud services
• 5.30: ICT readiness for business continuity

Insbesondere Threat Intelligence ist eine spannende Innovation in diesem Bereich – diese Maßnahme geht über die Erkennung bösartiger Domänennamen hinaus. Threat Intelligence hilft Ihrer Organisation, besser zu verstehen, wie sie angegriffen werden kann.

People Controls: Personalbezogene Maßnahmen

Der Bereich der personellen Controls umfasst nur acht Maßnahmen. Hier geht es darum, wie Mitarbeitenden bei ihrer täglichen Arbeit mit sensiblen Informationen umgehen. Dazu gehören zum Beispiel die Themen Homeoffice/Remote Work, Geheimhaltungsvereinbarungen und Screenings. Darüber hinaus sind auch Onboarding- und Offboarding-Prozesse sowie Zuständigkeiten für die Meldung von Vorfällen relevant.

Physical Controls: Physische Maßnahmen für den Schutz der Organisation

Zu den physischen Maßnahmen gehören die Sicherheitsüberwachung, die Wartung, die Sicherheit der Einrichtungen und die Speichermedien. In dieser Kategorie geht es darum, wie Sie sich gegen physische und umweltbedingte Bedrohungen wie Diebstahl, Naturkatastrophen und vorsätzliche Zerstörung zu schützen.

Neue physische Maßnahmen:

• 7.4: Physical security monitoring

Technological Controls: Technologische Maßnahmen für die technische Sicherheit

Technologische Maßnahmen umfassen die Bereiche Authentifizierung, Verschlüsselung und Verhinderung von Datenverlusten. Zum Schutz der Daten muss die Technik entsprechend gesichert werden. Verschiedene Ansätze wie Zugriffsrechte, Netzwerksicherheit und Datenmaskierung tragen dazu bei, dies zu erreichen.

Neue technologische Maßnahmen:

• 8.1: Data masking
• 8.9: Configuration management
• 8.10: Information deletion
• 8.12: Data leakage prevention
• 8.16: Monitoring activities
• 8.23: Web filtering
• 8.28: Secure coding

Ein besonders wichtiger Aspekt in diesem Bereich ist der Schutz vor Datenlecks (Data Leak Prevention). Aber auch die Webfilterung spielt eine zentrale Rolle: Sie legt fest, wie Organisationen den Online-Verkehr steuern sollten, um zu verhindern, dass Nutzer auf potenziell gefährliche Websites zugreifen.