ISO 27001: Welche Maßnahmen (Controls) enthält die Norm?

Die ISO 27001 ist eine internationale Norm der Internationalen Organisation für Normung (ISO), die Organisationen ein Modell für das Management der Informationssicherheit bietet. Die erste zertifizierbare Fassung wurde 2005 veröffentlicht. Normen zur Informationssicherheit legen bewährte Verfahren fest, die Organisationen helfen, ihre Informationssysteme gegen vorsätzliche und zufällige Risiken und Bedrohungen zu schützen und zu steuern. Diese Normen sind zertifizierbar, sodass eine Organisation gegenüber Dritten nachweisen kann, dass sie ihre Informationssicherheit korrekt managt.

Mit einer Maßnahme (Control) meint die ISO 27001 die Sicherheitsvorkehrungen, die angewendet werden, um mögliche Risiken für die Organisation zu mindern. Allgemein unterscheidet man:

• Präventive Maßnahmen, die die Eintrittswahrscheinlichkeit einer Bedrohung senken.
• Korrektive Maßnahmen, die die tatsächliche Auswirkung einer Bedrohung mindern, nachdem sie eingetreten ist.

Ziel der Sicherheitsmaßnahmen einer Organisation ist es, jederzeit die Vertraulichkeit, Integrität und Verfügbarkeit der Informationen in ihren Systemen gegen jede Art von negativem Ereignis zu gewährleisten.

Ein Beispiel für eine präventive Maßnahme ist ein Virenschutz oder Antimalware-Programm: Es erkennt und blockiert Schadsoftware, die in unsere Systeme gelangen könnte, und senkt damit die Wahrscheinlichkeit einer Infektion. Solche Programme sind jedoch nicht perfekt. Schadsoftware, die noch nicht bekannt ist, kann unter dem Radar bleiben und Informationen beschädigen oder zerstören, wie bei Ransomware.

Deshalb braucht es ergänzend auch korrektive Maßnahmen, in diesem Fall eine Datensicherung. Mit ihr lassen sich beschädigte oder gelöschte Informationen wiederherstellen, sowohl nach einem gezielten Malware-Angriff als auch nach einem Unfall, der Geräte und Systeme mit Informationen der Organisation beschädigt.

Andere Maßnahmen dienen der Verfügbarkeit der Systeme durch Redundanz der geschäftskritischsten Komponenten, zum Beispiel doppelte Kommunikationsleitungen bei verschiedenen Anbietern oder Verarbeitungskapazitäten an verschiedenen Standorten oder Rechenzentren. So kann die Organisation sowohl auf Vorfälle als auch auf steigende Nachfrage reagieren.

Besondere Aufmerksamkeit verdienen die Maßnahmen zum Zugang zu den Informationssystemen, sowohl für die eigenen Mitarbeitenden als auch für Dritte, die vorübergehend Zugang brauchen. Wichtig sind hier regelmäßige Überprüfungen der Personen mit Zugang und der jeweils vergebenen Berechtigungen, um Abweichungen zu erkennen, die ein Sicherheitsproblem darstellen können.

In der ISO 27001 sind die Maßnahmen in Anhang A festgelegt. In der Fassung von 2013 waren es 114 Maßnahmen in 14 Bereichen: Sicherheitsrichtlinien, Organisation der Informationssicherheit, Personalsicherheit, Verwaltung der Werte, Zugangssteuerung, Kryptographie, physische Sicherheit, Betriebssicherheit, Kommunikationssicherheit, Anschaffung, Entwicklung und Instandhaltung von Systemen, Lieferantenbeziehungen, Management von Sicherheitsvorfällen, Business Continuity und Compliance.

In der aktuellen Fassung, der ISO/IEC 27001:2022, veröffentlicht am 25. Oktober 2022, wurden die Maßnahmen in Anhang A in vier Themen neu geordnet und auf 93 reduziert:

• Organisatorische Maßnahmen (Abschnitt 5): 37.
• Personenbezogene Maßnahmen (Abschnitt 6): 8.
• Physische Maßnahmen (Abschnitt 7): 14.
• Technologische Maßnahmen (Abschnitt 8): 34.

Die meisten entstanden durch Zusammenlegen oder Umbenennen von Maßnahmen aus 2013, aber 11 sind neu: Informationen über die Bedrohungslage (5.7), Informationssicherheit für die Nutzung von Cloud-Diensten (5.23), IKT-Bereitschaft für Business Continuity (5.30), physische Sicherheitsüberwachung (7.4), Konfigurationsmanagement (8.9), Löschung von Informationen (8.10), Datenmaskierung (8.11), Verhinderung von Datenlecks (8.12), Überwachung von Aktivitäten (8.16), Webfilterung (8.23) und sichere Codierung (8.28).

Die vom IAF im Dokument MD 26 festgelegte Übergangsfrist endete am 31. Oktober 2025. Seitdem sind Zertifikate nach der Fassung von 2013 nicht mehr gültig, und alle Zertifizierungen erfolgen nach der Fassung von 2022.

Anhang A ist also eine Sammlung bewährter Verfahren, die zeigt, auf welche Sicherheitselemente und Maßnahmen sich eine Organisation wirksam konzentrieren sollte, damit Bedrohungen keine erheblichen Auswirkungen auf ihre Infrastruktur und ihre Informationssysteme haben.

Die Norm ISO 27002 liefert eine Reihe bewährter Verfahren für die Umsetzung der Maßnahmen aus Anhang A der ISO 27001.

Hat eine Organisation Sicherheitsmaßnahmen eingeführt, müssen sie gepflegt und gesteuert werden, damit ihre Wirksamkeit kontinuierlich steigt. Dafür empfiehlt es sich, Kriterien und Kennzahlen festzulegen, die Auskunft über ihre Leistung und ihren Reifegrad geben.

Der beste Hinweis darauf, dass die Maßnahmen funktionieren, ist ein Rückgang der Vorfälle, sowohl bei der Wahrscheinlichkeit, also der Häufigkeit negativer Ereignisse, als auch bei ihrer Auswirkung, wenn sie doch eintreten.

Die Einführung eines Informationssicherheits-Managementsystems (ISMS) und die Einhaltung der Maßnahmen der Norm ISO 27001 sind unverzichtbar, um die Informationen einer Organisation zu schützen. GlobalSuite® ist eine Plattform mit einer vollständigen Lösung für Einführung und Betrieb eines ISMS und hilft Organisationen, ihre Sicherheitsmaßnahmen effizienter zu steuern.

Kontaktieren Sie uns und erfahren Sie, wie unsere GRC-Software mit ISO-27001-Modul Ihrer Organisation hilft, die festgelegten Maßnahmen einzuhalten, ihre Informationen zu schützen und die Informationssicherheit zu verbessern.