ISO 27001:2022 Anhang A - Controls
Wie wir inzwischen wissen, enhält Anhang A der ISO 27001, eine Liste von Controls, die je nach Unternehmenskontext ausgewählt und entsprechend umgesetzt werden müssen, um eine starke Infrastruktur für die Informationssicherheit zu schaffen.
Das übergeordnete Ziel der ISO 27001-Norm ist der Schutz der Vertraulichkeit, Integrität und Verfügbarkeit von Informationen. Die Umsetzung ermöglicht Organisationen:
- Die Erfüllung der sich ständig ändernden gesetzlichen Anforderungen durch ein einziges Regelwerk.
- Die Bedeutung von Informationssicherheit gegenüber internen und externen Stakeholdern zu demonstrieren, wodurch Sie zudem einen Wettbewerbsvorteil erlangen.
- Sicherheitsvorfälle zu eindemmen und Bußgelder zu vermeiden.
- Prozesse und Aufgaben zu definieren und die Organisationsstruktur zu verbessern. Aber was sind die Controls und wie setzt man sie effektiv ein?
ISO 27001:2022: Elf neue Controls
Die Controls aus der ISO 27001 Annex A (Anhang A) sind die Maßnahmen, Unternehmen an die Hand gegeben wird, um Risiken erheblich zu verringern. Welche Maßnahmen eine Organisation wählt, wird auf Basis einer Risikoanalyse ermittelt.
Seit 2022 wurden der ISO 27001 elf neue Controls hinzugefügt, die unterschiedlichen Kategorien zugeordnet werden:
A.5.7 Threat intelligence
Unternehmen sind dazu verpflichtet, Daten über potenzielle Gefahren für die Informationssicherheit zu erfassen und einer eingehenden Analyse zu unterziehen.
A.5.23 Information security for the use of cloud services
Unternehmen sind dazu angehalten, die Informationssicherheit für die Nutzung von Cloud-Diensten festzulegen und zu verwalten.
A.5.30 ICT readiness for business continuity
Unternehmen müssen einen ICT (Information and Communications Technology) -Kontinuitätsplan erstellen, um die betriebliche Widerstandsfähigkeit aufrechtzuerhalten.
A.7.4 Physical security monitoring
Es ist erforderlich, dass Unternehmen geeignete Überwachungsinstrumente einsetzen, um externe und interne Unbefugte zu erkennen und ihnen die Hände zu binden.
A.8.9 Configuration management
Unternehmen müssen Richtlinien für die Dokumentation, Implementierung, Überwachung und Überprüfung von Konfigurationen in ihrem gesamten Netzwerk festlegen.
A.8.10 Information deletion
Das Dokument enthält Anleitungen zur Verwaltung der Datenlöschung zur Einhaltung von Gesetzen und Vorschriften.
A.8.11 Data masking
Es werden Techniken zur Datenmaskierung für personenbezogene Daten (personal identifiable information, PII) zur Einhaltung von Gesetzen und Vorschriften bereitgestellt.
A.8.12 Data leakage prevention
Unternehmen sind verpflichtet, technische Maßnahmen zu ergreifen, um die Offenlegung und/oder Extraktion von Informationen zu erkennen und zu verhindern.
A.8.16 Monitoring activities
Es werden Richtlinien zur Verbesserung der Netzwerküberwachungsaktivitäten bereitgestellt, um anomales Verhalten zu erkennen und auf Sicherheitsereignisse und -vorfälle zu reagieren.
A.8.23 Web filtering
Unternehmen müssen Zugangskontrollen und Maßnahmen zur Beschränkung und Kontrolle des Zugangs zu externen Websites durchsetzen.
A.8.28 Secure coding
Die Unternehmen sind dazu verpflichtet, bewährte Grundsätze des secure coding zu implementieren, um Schwachstellen zu verhindern, die durch unzureichende Kodierungsmethoden verursacht werden könnten.
ISO 27001: Vier Control Gruppen
Der Einfachheit halber sind die Controls in Anhang A in verschiedene Gruppen eingeteilt. Dadurch wird der Kontext der Controls und der Bereich der anwendbaren Risiken unterteilt. Aber was sind die relevanten Kategorien und wo finden sie Anwendung?
Es gibt 93 Controls nach ISO 27001 Anhang A, die mehrere Bereiche einer Organisation abdecken - diese Maßnahmen sind in vier verschiedene Kategorien (Sets) unterteilt.
Das erleichtert es, die jeweiligen Controls selektiv auf Ihre Organisation anzuwenden.
Jede Kategorie kann einem bestimmten Schwerpunktbereich innerhalb Ihrer Organisation zugeordnet werden. Entgegen der landläufigen Meinung sind sie nicht alle IT-bezogen.
Die Einteilung der Controls in vier Kategorien hilft Organisationen zu entscheiden, wer für die Umsetzung der Maßnahmen verantwortlich ist und welche Maßnahmen für die jeweilige Organisation gelten.
So können beispielsweise technologische Controls von der IT-Abteilung durchgeführt werden, während organisatorische Controls von Ihrem Operations-Team durchgeführt werden können.
Um einen besseren Überblick zu erhalten, finden Sie hier eine Liste der vier verschiedenen Kategorien von Kontrollen:
- Organisational Controls (37 Maßnahmen)
- People Controls (8 Maßnahmen)
- Physical Controls (14 Maßnahmen)
- Technological Controls (34 Maßnahmen)
Organisational Controls: Maßnahmen zur organisatorischen Sicherheit
Organisatorische Controls umfassen in der Regel alles, was nicht unter die Themen Menschen, Technik oder physische Sicherheit fällt. Dazu gehören zum Beispiel das Identitätsmanagement, die Zuständigkeiten und die Sammlung von Beweisen.
Neue organisatorische Maßnahmen umfassen:
- 5.7: Threat Intelligence
- 5.23: Information security for the use of cloud services
- 5.30: ICT readiness for business continuity
Insbesondere Threat Intelligence ist eine spannende Innovation in diesem Bereich – diese Maßnahme geht über die Erkennung bösartiger Domänennamen hinaus. Threat Intelligence hilft Organisationen, besser zu verstehen, wie sie angegriffen werden können.
People Controls: Personalbezogene Maßnahmen zum Schutz des Personals
Der Bereich der personellen Controls umfasst nur acht Maßnahmen. Hier geht es darum, wie Mitarbeiter bei ihrer täglichen Arbeit mit sensiblen Informationen umgehen - dazu gehören zum Beispiel die Themen Homeoffice/Remote Work, Geheimhaltungsvereinbarungen und Screenings. Darüber hinaus sind auch Onboarding- und Offboarding-Prozesse sowie Zuständigkeiten für die Meldung von Vorfällen relevant.
Physical Controls: Physische Maßnahmen für den Schutz der Organisation
Zu den physischen Controls gehören die Sicherheitsüberwachung, die Wartung, die Sicherheit der Einrichtungen und die Speichermedien. In dieser Kategorie geht es darum, wie Sie sich gegen physische und umweltbedingte Bedrohungen wie Diebstahl, Naturkatastrophen und vorsätzliche Zerstörung schützen.
Unter den physischen Controls gibt es eine neue Maßnahme:
- 7.4: Physical security monitoring
Technological Controls: Technologische Maßnahmen für die technische Sicherheit
Technologische Controls umfassen die Bereiche Authentifizierung, Verschlüsselung und Verhinderung von Datenverlusten. Zum Schutz der Daten muss die Technik entsprechend gesichert werden. Verschiedene Ansätze wie Zugriffsrechte, Netzwerksicherheit und Datenmaskierung tragen dazu bei, dies zu erreichen.
Zu den neuen technologischen Controls gehören:
- 8.1: Data masking
- 8.9: Configuration management
- 8.10: Information deletion
- 8.12: Data leakage prevention
- 8.16: Monitoring activities
- 8.23: Web filtering
- 8.28: Secure coding
In diesem Bereich ist eine Innovation besonders wichtig: die Verhinderung von Datenlecks (Data leak prevention). Aber auch die Webfilterung ist erwähnenswert: Dieser Control beschreibt, wie Organisationen den Online-Verkehr filtern sollten, um zu verhindern, dass Nutzer potenziell schädliche Websites besuchen.
