Die ISO/IEC 27001 definiert mit Annex A einen zentralen Katalog von Sicherheitsmaßnahmen, sogenannten Controls. Diese dienen der Behandlung von Informationssicherheitsrisiken und bilden die operative Grundlage eines Informationssicherheits-Managementsystems (ISMS).
Annex A umfasst 93 Controls, die in organisatorische, personelle, physische und technologische Bereiche gegliedert sind. Sie reichen von Richtlinien und Rollen über Awareness-Maßnahmen und Zutrittskontrollen bis hin zu Verschlüsselung, Zugriffsschutz, Logging und Monitoring.
Wichtig ist: Nicht alle Controls müssen zwingend umgesetzt werden. Sie werden risikobasiert ausgewählt, im Statement of Applicability (SoA) dokumentiert und entsprechend der Unternehmenssituation implementiert.
Der typische Ablauf beginnt mit der Risikoanalyse. Darauf folgen die Bewertung der Risiken, die Auswahl geeigneter Controls, deren Umsetzung sowie die regelmäßige Überprüfung der Wirksamkeit. Das SoA verbindet dabei Theorie und Praxis, indem es begründet, welche Maßnahmen angewendet werden und warum.
Controls werden direkt aus der Risikoanalyse abgeleitet: hohe Risiken erfordern stärkere Maßnahmen, mittlere standardisierte und niedrige können teilweise akzeptiert werden.
Typische Beispiele sind Zugriffskontrollen wie Multi-Faktor-Authentifizierung, Incident-Management-Prozesse, Backup- und Recovery-Konzepte, Lieferantensicherheitsbewertungen sowie Logging- und Monitoring-Systeme.
Häufige Fehler in der Praxis sind eine rein formale Umsetzung ohne Risikobezug, fehlende Wirksamkeitsprüfungen, unvollständige Dokumentation oder eine isolierte Betrachtung der Controls.
Annex A ist zudem eng mit dem kontinuierlichen Verbesserungsprozess verbunden. Neue Bedrohungen, technische Änderungen oder Auditfeststellungen führen regelmäßig zu Anpassungen. Im Audit wird geprüft, ob Controls passend ausgewählt, wirksam umgesetzt und korrekt dokumentiert sind.
Damit bildet Annex A das zentrale Element für ein nachvollziehbares und auditfähiges Sicherheitskonzept.
Quelle:
https://it-news-blog.com/?p=3704
Beratung & Umsetzung von NIS2 und KRITIS mit tec4net
https://www.tec4net.com/web/nis-2-richtlinie
Wir sind Experten für Datenschutz und IT-Sicherheit
Profitieren Sie von unserer umfassenden Beratung zu den Themen Datenschutz und IT-Sicherheit. Unser erfahrenes Team unterstützt Sie dabei, Ihre Website und digitalen Dienste datenschutzkonform zu gestalten um die gesetzlichen Vorgaben zu erfüllen.
Kontaktieren Sie uns noch heute und sichern Sie sich praxisnahe Beratung zur Umsetzung der DSGVO und Normen wie ISO 27001, PCI-DSS oder TISAX.
Datenschutz und IT-Sicherheit praktikabel umsetzen – tec4net GmbH
www.tec4net.com – www.it-news-blog.com – www.it-sachverstand.info – www.datenschutz-muenchen.com – www.it-sicherheit-muenchen.com
Alle unsere NEWS -> http://news.tec4net.com