Information Security Management Standard Die wichtigsten Neuerungen in ISO 27002:2022

Anbieter zum Thema

MicroConsult Microelectronics Consulting & Training GmbH

Axivion GmbH

Parasoft® Deutschland GmbH

Tripwire

Der Sicherheitsstandard ISO/IEC 27001 hat im ersten Quartal 2022 umfassende Änderungen erhalten. Wer nach ISO 27001:2013 zertifiziert ist hat jetzt zwei Jahre Zeit, Neuerungen entsprechend umzusetzen.

Im ersten Quartal 2022 ist eine neue Version der ISO/IEC 27002 veröffentlicht worden. Der Standard definiert allgemeine Sicherheitsmaßnahmen nach dem Stand der Technik und ist der Standard-Leitfaden zur Umsetzung der Anforderungen aus dem Annex A der ISO/IEC 27001. Dabei handelt es sich um die längst überfällige Aktualisierung des Standards von 2013.

Angesichts der nahezu explodierten Anforderungen an die IT-Sicherheit von Unternehmen, spielen die Neuerungen eine enorm wichtige Rolle für die Sicherheit in der Informationstechnik. Im Rahmen der Aktualisierung findet auch eine Neustrukturierung des Leitfadens statt.

Auswirkungen der Überarbeitung auf die Zertifizierung

Mit ISO27002:2022 erhält der Information Security Management Standard neue Maßnahmen. Wer nach ISO27001:2013 zertifiziert ist, hat in etwa zwei Jahre Zeit die Zertifizierung zum neuen Standard durchzuführen. Das ist kein Grund zur Panik, es bleibt noch genügend Zeit, sich mit den Änderungen auseinanderzusetzen. Allerdings ist es empfehlenswert, dass sich Unternehmen und Organisationen so schnell wie möglich mit den Änderungen befassen.

Das Kapitel 4.1 der ISO27001 erfordert ohnehin die Analyse und Untersuchung von Auswirkungen externer Bereiche auf das ISMS. Je früher sich zertifizierte Unternehmen mit den aktualisierten Maßnahmen beschäftigen, desto effektiver lassen sich die Neuerungen in das eigene Regelwerk implementieren.

Elf neue Maßnahmen, aktualisierte Struktur

Die wichtigsten Neuerungen der Version bestehen in einer verbesserten und aktualisierten Struktur sowie den erwähnten elf weiteren Maßnahmen. ISO27001:2013 (Annex A) zählt 114 Maßnahmen in 14 verschiedenen Bereichen. Die neue Version gliedert 93 Maßnahmen in vier Bereiche:

• People controls (8 Maßnahmen);

• Organizational controls (37);

• Physical controls (14); und

• Technological controls (34 Maßnahmen)

Darüber hinaus definiert der neue Standard explizit auch Ziele der Maßnahmen und führt weitere Attribute aus, wie zum Beispiel die Wirkungsweise. Im Fokus steht jetzt der Zweck der Maßnahme. Attribute dienen als alternative Sortiermöglichkeit der Maßnahmen und bieten mehr Flexibilität. Parallel dazu wurden 58 Maßnahmen auf den neusten Stand gebracht und 24 weitere zusammengefasst. Es gibt also einiges zu tun, um die Maßnahmen des Leitfadens im eigenen Netzwerk umzusetzen und auf den neusten Stand zu bringen.

Durch die Änderung der ISO 27002 wird auch ISO 27001 angepasst, um ihre Synchronizität wieder herzustellen. Bei näherer Betrachtung des neuen Standards fällt auf, dass verschiedene Maßnahmen gestrichen wurden. Dafür gibt es elf neue Maßnahmen, welche die aktuellen Sicherheitsanforderungen in den nächsten Jahren adressieren. In der nachfolgenden Tabelle beleuchten wir die aktualisierten Maßnahmen im Detail.

Diese Maßnahmen sind nicht unbedingt revolutionär. Es handelt sich eher um die Weiterentwicklung einer Norm, die schon seit einiger Zeit einer Aktualisierung bedurfte. Jedenfalls wenn man den Anforderungen an die IT-Sicherheit in den nächsten Jahren gerecht werden will.

Die Maßnahmen bieten unterschiedliche Ansätze, um Netzwerke besser als bisher zu schützen. Tabelle 1 zeigt die neuen Maßnahmen im Überblick.

Fünf Attribute mit verschiedenen Werten je Maßnahme

Neben Neuerungen bei Maßnahmen und Struktur verfügt jede Maßnahme nun über fünf verschiedene Attribute. Diese und die ihnen zugewiesenen Attributwerte sind für die meisten Organisationen umsetzbar:

• Control Type: Wirkung der Maßnahme (Vorbeugend, aufdeckend, korrigierend);

• Information Security Property: Auswirkung auf Sicherheitsziele (Vertraulichkeit, Integrität, Verfügbarkeit);

• Cybersecurity Concepts: Einordnung in Frameworks für Cybersecurity;

• Operational Capabilities: Operative Fähigkeiten (siehe unten); und

• Security Domains: NIS Sicherheitsdomänen (ENISA) (Governance, Ökosystem, Schutz, Verteidigung, Resilienz).

Privatsphäre und Cybersicherheit müssen gewahrt werden

Zu den operativen Fähigkeiten zählen Maßnahmen aus der Sicht von Praktikern, wie Governance, Asset Management, Informationsschutz, physische Sicherheit, System- und Netzwerksicherheit, Anwendungssicherheit, sichere Konfiguration, Identitäts- und Zugriffsmanagement, Bedrohungs- und Schwachstellenmanagement, Kontinuität, Sicherheit von Lieferantenbeziehungen, Recht und Compliance, Management von Informationssicherheitsereignissen und Gewährleistung der Informationssicherheit.

Mit den Aktualisierungen hat ISO27001 einige wichtige und längst überfällige Updates erhalten. Im Rahmen der Neuerung wurde auch die Bezeichnung angepasst. ISO27002:2013 trägt die Bezeichnung „Informationstechnologie – Sicherheitstechniken – Verhaltenskodex für Informationssicherheitskontrollen“. Die neue Version trägt den Namen „Informationssicherheit, Cybersicherheit und Schutz der Privatsphäre – Informationssicherheitsmaßnahmen“.

Der Begriff „Informationstechnologie“ wurde durch „Informationssicherheit“ ersetzt und mit „Cybersicherheit“ und „Schutz der Privatsphäre“ erweitert. Der Leitfaden hebt sehr deutlich hervor, dass der Schwerpunkt nicht auf der Technologie liegt, sondern auf dem Schutz der Privatsphäre UND der Cybersicherheit. Der Begriff „Verhaltenskodex“ wurde gestrichen. Der neue Name spiegelt, genauso wie die aktualisierten Maßnahmen, die Anforderungen an die IT-Sicherheit in den nächsten Jahren wider.

Bestimmte Vorgaben beziehen sich dabei speziell auf das Anforderungsprofil in IT-Umgebungen. Ein automatisiertes Monitor­ing der Attribute und Veränderungen der Systeme erleichtert die ansonsten komplexe Administration und verbessert das Management. Dazu ermittelt man zunächst wie eine sichere Konfiguration im Unternehmen aussehen sollte und definiert dementsprechend die Richtlinien.

Dabei helfen vordefinierte Richtlinienpakete. Im Rahmen eines solchen automatisierten Monitorings wird sofort eine Meldung ausgelöst, sollte ein System von diesem vordefinierten Zustand abweichen. Technolo­gien zur Änderungsüberwachung (wie das File Integrity Monitoring, kurz FIM) werden deshalb inzwischen von so gut wie allen führenden Sicherheits-Frameworks und Compliance-Vorgaben verlangt.

Im Idealfall lassen sich diese Tools auch zum Erstellen von Berichten verwenden, die wiederum bei Audits eingesetzt werden können. Die Übergangszeit in den nächsten beiden Jahren sollten Firmen dazu nutzen, sich mit der neuen Norm auseinanderzusetzen und einen Plan zu erarbeiten, wie sie die Neuerungen erfolgreich und mithilfe geeigneter Tools umsetzen können. //SG

* Frank Augenstein ...ist Senior Sales Engineer, DACH, bei Tripwire.

(ID:48204341)