ISO/IEC 27002

ISO/IEC 27002 ist ein Informationssicherheit Standard veröffentlicht von der Internationale Standardisierungsorganisation (ISO) und durch die Internationale Elektrotechnische Kommission (IEC) mit dem Titel " Informationssicherheit, Cybersicherheit und Datenschutzschutz - Informationssicherheitskontrollen.

Das ISO/IEC 27000-Serie Die Standards stammen von einem von Unternehmenssicherheitsstandard ab, der von gespendet wurde Hülse an eine britische Regierungsinitiative Anfang der neunziger Jahre.[1] Der Shell-Standard wurde Mitte der neunziger Jahre zu British Standard BS 7799 entwickelt und im Jahr 2000 als ISO/IEC 17799 übernommen. Der ISO/IEC-Standard wurde 2005 überarbeitet und 2007 nummerierte ISO/IEC 27002, um sich mit den anderen auszurichten ISO/IEC 27000-Serie Standards. Es wurde 2013 und jetzt im Jahr 2022 erneut überarbeitet ISO/IEC 27017 wurde aus diesem Standard erstellt, um zusätzliche Sicherheitskontrollen für die Cloud vorzuschlagen, die in ISO/IEC 27002 nicht vollständig definiert waren.

ISO/IEC 27002 bietet beste Übung Empfehlungen zu Informationssicherheitskontrollen zur Verwendung durch diejenigen, die für die Initiierung, Implementierung oder Wartung verantwortlich sind Systeme für Informationssicherheitsmanagementsysteme (ISMS). Informationssicherheit wird im Standard im Kontext des CIA Triade:

die Erhaltung von Vertraulichkeit (Stellen Sie sicher, dass die Informationen nur für diejenigen zugänglich sind, die zu Zugang zugelassen sind.) Integrität (Schutz der Genauigkeit und Vollständigkeit von Informationen und Verarbeitungsmethoden) und Verfügbarkeit (Stellen Sie sicher, dass autorisierte Benutzer bei Bedarf Zugriff auf Informationen und zugehörige Vermögenswerte haben.).[2]

Umriss

Umriss für ISO/IEC 27002: 2013

Der Standard beginnt mit 5 Einführungskapiteln:

  1. Einführung
  2. Zielfernrohr
  3. Normative Verweisungen
  4. Begriffe und Definitionen
  5. Struktur dieses Standards

Darauf folgen 14 Hauptkapitel:

  1. Informationssicherheitsrichtlinien
  2. Organisation der Informationssicherheit
  3. Personalsicherheit
  4. Anlagenmanagement
  5. Zugangskontrolle
  6. Kryptographie
  7. Körperliche und Umweltsicherheit
  8. Operation Security- Verfahren und Verantwortlichkeiten, Schutz vor Malware, Sicherung, Protokollierung und Überwachung, Kontrolle der operativen Software, technischer Verwaltungsmanagement- und Informationssystem-Audit-Koordination
  9. Kommunikationssicherheit - Netzwerksicherheitsmanagement und Informationstransfer
  10. Systemakquisition, Entwicklung und Wartung - Sicherheitsanforderungen von Informationssystemen, Sicherheit in Entwicklungs- und Unterstützungsprozessen und Testdaten
  11. Lieferantenbeziehungen - Informationssicherheit in Lieferantenbeziehungen und Lieferantendienstleistungsmanagement
  12. Incident Management für Informationssicherheit - Verwaltung von Vorfällen und Verbesserungen der Informationssicherheit
  13. Informationssicherheitsaspekte des Geschäftskontinuitätsmanagements - Kontinuität für Informationssicherheit und Entlassungen
  14. Compliance - Einhaltung rechtlicher und vertraglicher Anforderungen sowie Überprüfungen zur Informationssicherheit

In jedem Kapitel Informationen Sicherheitskontrollen und ihre Ziele werden angegeben und umrissen. Die Informationssicherheitskontrollen gelten allgemein als bewährtes Mittel zur Erreichung dieser Ziele. Für jedes der Kontrollen wird die Anleitung zur Implementierung erteilt.

Spezifische Kontrollen sind nicht vorgeschrieben, da:

  1. Von jeder Organisation wird erwartet, dass sie einen strukturierten Informationssicherheitsrisikobewertungsprozess durchführt, um ihre spezifischen Anforderungen zu ermitteln, bevor die Kontrollen ausgewählt werden, die ihren bestimmten Umständen angemessen sind. Der Abschnitt zur Einführung beschreibt einen Risikobewertungsprozess, obwohl es spezifischere Standards gibt, die diesen Bereich abdecken, wie z. B. ISO/IEC 27005. Die Verwendung der Risikoanalyse der Informationssicherheit zur Auswahl und Implementierung von Informationssicherheitskontrollen ist ein wichtiges Merkmal der ISO/IEC 27000-Serie Standards: Dies bedeutet, dass die generische gute Praxisberatung in diesem Standard auf den spezifischen Kontext jeder Benutzerorganisation zugeschnitten wird, anstatt von Rote angewendet zu werden. Nicht alle 39 Kontrollziele sind beispielsweise für jede Organisation notwendigerweise relevant, weshalb keine Kontrollkategorien nicht als notwendig erachtet werden. Die Standards sind auch offen in dem Sinne, dass die Informationssicherheitskontrollen „vorgeschlagen“ werden, sodass die Tür den Benutzern geöffnet werden, um alternative Steuerelemente zu übernehmen, wenn sie dies wünschen, sofern die wichtigsten Steuerungsziele in Bezug auf die Minderung von Risiken für Informationssicherheit. sind zufrieden. Dies hilft, den Standard trotz der sich entwickelnden Natur von Bedrohungen für Informationssicherheit, Schwachstellen und Auswirkungen und Trends bei der Verwendung bestimmter Informationssicherheitskontrollen relevant zu halten.
  2. Es ist praktisch unmöglich, alle denkbaren Kontrollen in einem allgemeinen Standard -Standard aufzulisten. Branchenspezifische Implementierungsrichtlinien für ISO/IEC 27001: 2013 und ISO/IEC 27002 bieten Ratschläge, die auf Organisationen in der Telekommunikationsbranche (siehe ISO/IEC 27011) und Gesundheitswesen (siehe siehe siehe ISO/IEC 27011) zugeschnitten sind. ISO 27799).

Die meisten Organisationen implementieren eine breite Palette von Kontrollen im Zusammenhang mit Informationssicherheit, von denen viele von ISO/IEC 27002 im Allgemeinen empfohlen werden. Die Strukturierung der Infrastruktur für Informationssicherheit in Übereinstimmung mit ISO/IEC 27002 kann vorteilhaft sein, da sie:

  • Ist mit einem angesehenen internationalen Standard verbunden
  • Vermeiden Sie die Abdeckung von Lücken und Überlappungen
  • Wird wahrscheinlich von denen erkannt, die mit dem ISO/IEC -Standard vertraut sind

Implementierungsbeispiel für ISO/IEC 27002

Hier einige Beispiele für typische Richtlinien für Informationssicherheit und andere Kontrollen in Bezug auf drei Teile von ISO/IEC 27002. (Hinweis: Dies ist lediglich eine Abbildung. Die Liste der Beispielkontrollen ist unvollständig und nicht allgemein anwendbar.)

Körperliche und Umweltsicherheit

  • Physischer Zugang zu Räumlichkeiten und Unterstützungsinfrastruktur (Kommunikation, Strom, Klimaanlage usw.) muss überwacht und beschränkt werden, um die Auswirkungen von unbefugtem und unangemessenem Zugang, Manipulationen, Vandalismus, krimineller Schäden, Diebstahl usw. zu verhindern, zu erkennen und zu minimieren.
  • Die Liste der Personen, die für den Zugriff auf sichere Bereiche befugt sind, muss regelmäßig (mindestens einmal im Jahr) von Verwaltung oder Abteilung für physische Sicherheit überprüft und genehmigt und von ihren Abteilungsleitern geprüft werden.
  • Die Fotografie oder Videoaufzeichnung ist in eingeschränkten Bereichen ohne vorherige Erlaubnis der benannten Behörde verboten.
  • Geeignete Videoüberwachungskameras müssen sich an allen Eingängen und Ausgaben an den Räumlichkeiten und anderen strategischen Punkten wie eingeschränkten Bereichen befinden, die mindestens einen Monat lang aufgezeichnet und gespeichert und rund um die Uhr von geschultem Personal überwacht werden.
  • Zugriffskarten, die zeitlich begrenzten Zugang zu allgemeinen und/oder bestimmten Bereichen ermöglichen, können Auszubildenden, Anbietern, Beratern, Dritten und anderen Mitarbeitern zur Verfügung gestellt werden, die identifiziert, authentifiziert und berechtigt sind, auf diese Bereiche zuzugreifen.
  • Abgesehen von öffentlichen Bereichen wie dem Empfangsfoyer und privaten Bereichen wie Resträumen sollten Besucher jederzeit von einem Mitarbeiter in den Räumlichkeiten begleitet werden.
  • Das Datum und die Uhrzeit des Eintritts und der Abreise von Besuchern sowie der Zweck der Besuche müssen in einem Register erfasst werden, das von der Sicherheit oder dem Empfang vor Ort gewartet und kontrolliert wird.
  • Jeder vor Ort (Mitarbeiter und Besucher) muss jederzeit ihren gültigen, ausgegebenen Pass tragen und auf Anfrage eines Managers, eines Sicherheitsbeamten oder eines betroffenen Angestellten auf Anfrage vorlegen.
  • Zugangskontrollsysteme müssen selbst an ausreichend nicht autorisierten/unangemessenen Zugriff und anderen Kompromissen gesichert werden.
  • Brand-/Evakuierungsübungen müssen regelmäßig (mindestens einmal im Jahr) durchgeführt werden.
  • Rauchen ist in den Räumlichkeiten als in ausgewiesenen Raucherzonen verboten.

Personalsicherheit

  • Alle Mitarbeiter müssen vor der Beschäftigung untersucht werden, einschließlich der Identitätsüberprüfung unter Verwendung eines Reisepasses oder einer ähnlichen Foto -ID und mindestens zwei zufriedenstellende berufliche Referenzen. Für Mitarbeiter, die vertrauenswürdige Positionen einnehmen, sind zusätzliche Schecks erforderlich.
  • Alle Mitarbeiter müssen formell eine verbindliche Vertraulichkeits- oder Nichtoffenlegungsvereinbarung über persönliche und proprietäre Informationen akzeptieren, die im Laufe der Beschäftigung von ihnen bereitgestellt oder von ihnen generiert wurden.
  • Die Personalabteilung muss die Verwaltung, Finanzierung und Operationen informieren, wenn ein Mitarbeiter eingesetzt, übertragen, zurücktritt, ausgesetzt oder in langfristigem Urlaub freigelassen wird, oder deren Beschäftigung wird beendet.
  • Nach Erhalt der Benachrichtigung von der Personalabteilung, dass sich der Status eines Mitarbeiters geändert hat, muss die Verwaltung ihre physischen Zugriffsrechte aktualisieren und die IT -Sicherheitsverwaltung muss ihre logischen Zugriffsrechte entsprechend aktualisieren.
  • Der Manager eines Mitarbeiters muss sicherstellen, dass alle Zugriffskarten, Schlüssel, IT -Geräte, Speichermedien und andere wertvolle Unternehmensgüter vom Mitarbeiter an oder vor seinem letzten Tag der Beschäftigung zurückgegeben werden.

Zugangskontrolle

  • Benutzerzugriff auf Unternehmenssysteme, Netzwerke, Anwendungen und Informationen müssen gemäß den von den relevanten Informationsanlageneigentümern angegebenen Zugriffsanforderungen normalerweise gemäß der Rolle des Benutzers gesteuert werden.
  • Generische oder Test -IDs dürfen auf Produktionssystemen nicht erstellt oder aktiviert werden, es sei denn, Eigentümer der relevanten Information Asset.
  • Nach einer vordefinierten Anzahl erfolgloser Anmeldeversuche müssen Sicherheitsprotokolleinträge und (gegebenenfalls entsprechende) Sicherheitswarnungen generiert werden und Benutzerkonten müssen nach Bedarf der relevanten Eigentümer von Information Asset gesperrt werden.
  • Passwörter oder Pass -Phrasen müssen langwierig und komplex sein, bestehend aus einer Mischung aus Buchstaben, Ziffern und Sonderzeichen, die schwer zu erraten wären.
  • Passwörter oder Pass -Phrasen dürfen nicht in lesbarem Format abgeschrieben oder gespeichert werden.
  • Authentifizierungsinformationen wie Passwörter, Sicherheitsprotokolle, Sicherheitskonfigurationen usw. müssen angemessen gegen unbefugten oder unangemessenen Zugriff, Änderung, Beschädigung oder Verlust gesichert werden.
  • Privilegierte Zugriffsrechte, die normalerweise zur Verwaltung, Konfiguration, Verwaltung, Sicherung von IT-Systemen erforderlich sind, müssen regelmäßig (mindestens zweimal im Jahr) durch Informationssicherheit überprüft und von den entsprechenden Abteilungsleitern überprüft werden.
  • Benutzer müssen ihre Sitzungen entweder abmelden oder Kennwort verkaufen, bevor sie unbeaufsichtigt bleiben.
  • Kennwortgeschützte Bildschirmschoner mit einer Inaktivitätszeitüberschreitung von nicht mehr als 10 Minuten müssen auf allen Workstations/PCs aktiviert werden.
  • Schreibzugriff auf abnehmbare Medien (USB -Laufwerke, CD/DVD -Autoren usw.) müssen auf allen Desktops deaktiviert werden, sofern nicht aus legitimen geschäftlichen Gründen ausdrücklich autorisiert werden.

Geschichte

Jahr Beschreibung
2005 ISO/IEC 27002 (1. Auflage)
2013 ISO/IEC 27002 (2. Auflage)
2022 ISO/IEC 27002 (3. Auflage)


Nationale äquivalente Standards

ISO/IEC 27002 hat in mehreren Ländern direkt gleichwertige nationale Standards. Übersetzungs- und lokale Veröffentlichungen führt häufig zu einer Verzögerung von mehreren Monaten, nachdem der Haupt -ISO/IEC -Standard überarbeitet und veröffentlicht wurde. Die nationalen Standardkörper sind jedoch große Anstrengungen, um sicherzustellen, dass der übersetzte Inhalt genau und vollständig ISO/IEC 27002 widerspiegelt.

Länder Äquivalenter Standard
 Argentinien IRAM-ISO-IC 27002: 2008
 Australien

 Neuseeland

AS/NZS ISO/IEC 27002: 2006
 Brasilien ISO/IEC NBR 17799/2007 - 27002
 Indonesien SNI ISO/IEC 27002: 2014
 Chile NCH2777 ISO/IEC 17799/2000
 China GB/T 22081-2008
 Tschechische Republik Čsn ISO/IEC 27002: 2006
 Kroatien HRN ISO/IEC 27002: 2013
 Dänemark DS/ISO27002: 2014 (DK)
 Estland EVS-ISO/IEC 17799: 2003, 2005 Version in Übersetzung
 Frankreich NF ISO/CEI 27002: 2014
 Deutschland DIN ISO/IEC 27002: 2008
 Japan JIS Q 27002
 Litauen LST ISO/IEC 27002: 2009 (adoptierte ISO/IEC 27002: 2005, ISO/IEC 17799: 2005)
 Mexiko NMX-I-27002-NYCE-2015
 Niederlande Nen-ISO/IEC 27002: 2013
 Peru NTP-ISO/IEC 17799: 2007
 Polen PN-ISO/IEC 17799: 2007, basierend auf ISO/IEC 17799: 2005
 Russland Го р р и и ээк 27002-2012 basierend auf ISO/IEC 27002: 2005
 Slowakei STN ISO/IEC 27002: 2006
 Südafrika SANS 27002: 2014/ISO/IEC 27002: 2013[3]
 Spanien UNE 71501
 Schweden SS-ISO/IEC 27002: 2014
 Truthahn TS ISO/IEC 27002
 Thailand Einheit/ISO
 Ukraine Дсту ISO/IEC 27002: 2015
 Vereinigtes Königreich BS ISO/IEC 27002: 2005
 Uruguay Einheit/ISO 17799: 2005

Zertifizierung

ISO/IEC 27002 ist ein Beratungsstandard, der nach den jeweiligen Informationssicherheitsrisiken, mit denen sie ausgesetzt sind, interpretiert und auf alle Arten und Organisationsgrößen angewendet werden soll. In der Praxis gibt diese Flexibilität den Benutzern viel Breitengrad, um die Informationssicherheitskontrollen zu übernehmen, die für sie sinnvoll sind, aber sie für die relativ einfachen Compliance -Tests, die in den meisten formalen Zertifizierungsschemata impliziert sind, ungeeignet sind.

ISO/IEC 27001: 2013 (Informationstechnologie - Sicherheitstechniken - Informationssicherheitsmanagementsysteme - Anforderungen) ist ein weithin anerkannter zertifizierbarer Standard. ISO/IEC 27001 gibt eine Reihe von Unternehmensanforderungen an die Festlegung, Implementierung, Wartung und Verbesserung eines ISMS an. In Anhang A gibt es eine Reihe von Kontrollpersonen für Informationssicherheit, die Organisationen ermutigt werden, gegebenenfalls innerhalb ihres ISMS zu übernehmen. Die Kontrollen in Anhang A sind abgeleitet und mit ISO/IEC 27002 ausgerichtet.

Laufende Entwicklung

Beide ISO/IEC 27001: 2013 und ISO/IEC 27002 werden von überarbeitet von überarbeitet von ISO/IEC JTC1/SC27 alle paar Jahre, um sie aktuell und relevant zu halten. Die Revision beinhaltet beispielsweise die Verweise auf andere herausgegebene Sicherheitsstandards (wie z. ISO/IEC 27000, ISO/IEC 27004 und ISO/IEC 27005) und verschiedene gute Sicherheitspraktiken, die seit ihrer letzten Veröffentlichung vor Ort aufgetaucht sind. Aufgrund der erheblichen "installierten Basis" von Organisationen, die bereits ISO/IEC 27002 verwenden, insbesondere in Bezug auf die Informationssicherheitskontrollen, die ein ISMS unterstützen, der sich einhält ISO/IEC 27001Änderungen müssen gerechtfertigt sein und, wo immer möglich, eher evolutionär als revolutionär.

Siehe auch

Verweise

  1. ^ "ISO27K Timeline". ISO27001security.com. Isect Ltd. Abgerufen 9. März 2016.
  2. ^ ISC CISSP Offizieller Studienführer. Sybex. 15. September 2015. ISBN 978-1119042716. Abgerufen 1. November 2016.
  3. ^ "SANS 27002: 2014 (Hrsg. 2.00)". SABS Web Store. Abgerufen 25. Mai 2015.

Externe Links