Was sind die Annex A Controls in ISO 27001:2022?

Übersicht

Annex A Controls sind die 93 Informationssicherheitskontrollen, die in Anhang A der ISO 27001:2022 aufgelistet sind und aus denen Organisationen auswählen können, um identifizierte Informationssicherheitsrisiken zu behandeln. Sie repräsentieren international anerkannte Sicherheits-Best Practices, die in vier Themenbereiche unterteilt sind: Organisatorisch, Personenbezogen, Physisch und Technologisch.

Was das in der Praxis bedeutet

Stellen Sie sich Annex A als ein umfassendes Menü von Sicherheitskontrollen vor. Basierend auf Ihrer Risikobewertung wählen Sie aus diesem Menü aus, welche Kontrollen Sie implementieren möchten. Sie müssen nicht alle 93 umsetzen – nur diejenigen, die Risiken adressieren, die in Ihrem spezifischen Kontext identifiziert wurden.

Die vier Kontrollthemen

Organisatorische Kontrollen (A.5.1 - A.5.37) - 37 Kontrollen

Kontrollen auf Managementebene für Governance, Richtlinien, Risikomanagement, Asset-Management, Lieferantensicherheit, Incident-Management, Business Continuity und Compliance.

Wichtige Beispiele:

• A.5.1 - Richtlinien für Informationssicherheit
• A.5.7 - Bedrohungsinformationen
• A.5.9 - Inventar von Informationen und Assets
• A.5.19 - Informationssicherheit in Lieferantenbeziehungen
• A.5.24 - Planung des Managements von Informationssicherheitsvorfällen

Personenbezogene Kontrollen (A.6.1 - A.6.8) - 8 Kontrollen

Kontrollen zur Verwaltung von sicherheitsrelevanten Risiken im Zusammenhang mit Personen während des gesamten Beschäftigungszyklus – von der Einstellung bis zur Beendigung des Arbeitsverhältnisses.

Wichtige Beispiele:

• A.6.1 - Überprüfung (Hintergrundchecks)
• A.6.3 - Schulung und Sensibilisierung für Informationssicherheit
• A.6.7 - Telearbeit
• A.6.8 - Meldung von Informationssicherheitsereignissen

Physische Kontrollen (A.7.1 - A.7.14) - 14 Kontrollen

Kontrollen zum Schutz der physischen Umgebung, in der Informationsassets gespeichert oder verarbeitet werden.

Wichtige Beispiele:

• A.7.1 - Physische Sicherheitsperimeter
• A.7.2 - Physische Zugangskontrollen
• A.7.4 - Physische Sicherheitsüberwachung
• A.7.10 - Verwaltung von Speichermedien

Technologische Kontrollen (A.8.1 - A.8.34) - 34 Kontrollen

Technische und IT-Sicherheitskontrollen, einschließlich Zugriffsmanagement, Kryptographie, Netzwerksicherheit, sichere Entwicklung und Schwachstellenmanagement.

Wichtige Beispiele:

• A.8.2 - Rechte für privilegierten Zugriff
• A.8.5 - Sichere Authentifizierung
• A.8.8 - Management technischer Schwachstellen
• A.8.13 - Informationssicherung (Backups)
• A.8.16 - Überwachungsaktivitäten

Änderungen gegenüber ISO 27001:2013

Umstrukturiert und konsolidiert

Die Version 2022 reduzierte 114 Kontrollen in 14 Domänen auf 93 Kontrollen in 4 Themenbereichen, was das Framework übersichtlicher und logischer macht.

11 neue Kontrollen für moderne Bedrohungen

• A.5.7 - Bedrohungsinformationen
• A.5.23 - Informationssicherheit bei der Nutzung von Cloud-Diensten
• A.8.9 - Konfigurationsmanagement
• A.8.10 - Löschung von Informationen
• A.8.11 - Datenmaskierung
• A.8.12 - Verhinderung von Datenlecks
• A.8.16 - Überwachungsaktivitäten
• A.8.23 - Webfilterung
• A.8.28 - Sichere Programmierung
• A.7.4 - Physische Sicherheitsüberwachung
• A.8.9 - Konfigurationsmanagement

24 Kontrollen zusammengeführt

Verwandte Kontrollen aus dem Jahr 2013 wurden konsolidiert, um Dopplungen zu reduzieren. Beispielsweise wurden mehrere Anforderungen an die Zugriffskontrolle in optimierte Kontrollen zusammengefasst.

Auswahl der Kontrollen

Schritt 1: Risikobewertung durchführen

Identifizieren Sie die Informationssicherheitsrisiken, denen Ihre Organisation ausgesetzt ist. Kontrollen werden ausgewählt, um diese Risiken zu adressieren, nicht blind implementiert.

Schritt 2: Anwendbarkeit der Kontrollen bestimmen

Für jedes identifizierte Risiko prüfen Sie Annex A, um Kontrollen zu finden, die das Risiko auf ein akzeptables Niveau reduzieren würden.

Schritt 3: Optionen zur Risikobehandlung berücksichtigen

Sie können Risiken behandeln durch:

• Implementierung von Kontrollen: Anwendung von Annex A-Kontrollen zur Risikoreduzierung
• Risikovermeidung: Eliminierung der riskanten Aktivität
• Risikotransfer: Nutzung von Versicherungen oder Auslagerung an Dritte
• Risikoakzeptanz: Formelle Akzeptanz von Risiken unterhalb Ihrer Schwelle

Schritt 4: Dokumentation in der Erklärung zur Anwendbarkeit (Statement of Applicability)

Erstellen Sie Ihr SoA, das alle 93 Kontrollen mit ihrem Ein- oder Ausschlussstatus sowie Begründungen basierend auf der Risikobewertung auflistet.

Schritt 5: Implementierung der ausgewählten Kontrollen

Setzen Sie die eingeschlossenen Kontrollen mit angemessenem Umfang, Zeitplan und Ressourcen basierend auf der Risikopriorität um.

Leitfaden zur Kontrollimplementierung

Begleitstandard ISO 27002:2022

Während ISO 27001 die Kontrollziele auflistet, bietet ISO 27002 detaillierte Implementierungsleitlinien für jede Kontrolle, einschließlich Zweck, Implementierungsanleitung und verwandten Informationen.

Kontrollattribute in ISO 27002

Die Version 2022 führte Kontrollattribute ein, die Ihnen helfen zu verstehen:

• Kontrolltyp: Präventiv, detektiv oder korrektiv
• Eigenschaften der Informationssicherheit: Vertraulichkeit, Integrität, Verfügbarkeit
• Cybersicherheitskonzepte: Identifizieren, Schützen, Erkennen, Reagieren, Wiederherstellen
• Operative Fähigkeiten: Welche Sicherheitsfunktionen die Kontrolle unterstützt
• Sicherheitsdomänen: Governance, Schutz, Verteidigung, Resilienz

Anpassung der Kontrollen an den Kontext

ISO 27001 erwartet, dass Kontrollen proportional implementiert werden. Die „sichere Programmierung“ (A.8.28) eines 10-Personen-Startups wird sich von der eines Bankhauses unterscheiden, aber beide können konform sein, wenn sie ihrem Risiko und Kontext angemessen sind.

Häufige Muster bei der Kontrollimplementierung

Hochpriorisierte Kontrollen für die meisten Organisationen

Basierend auf gängigen Risikoprofilen werden diese Kontrollen typischerweise eingeschlossen:

• Organisatorisch: A.5.1 (Richtlinien), A.5.9 (Asset-Inventar), A.5.15 (Zugriffskontrolle), A.5.24 (Incident-Management)
• Personenbezogen: A.6.3 (Schulung), A.6.8 (Meldung von Vorfällen)
• Technologisch: A.8.2 (Privilegierter Zugriff), A.8.5 (Authentifizierung), A.8.8 (Schwachstellenmanagement), A.8.13 (Backups), A.8.16 (Überwachung)

Häufig ausgeschlossene Kontrollen

Abhängig vom Kontext schließen Organisationen üblicherweise aus:

• Physische Kontrollen (A.7.x): Cloud-only-Organisationen ohne eigene Rechenzentren
• Entwicklungskontrollen (A.8.25-A.8.34): Organisationen, die keine Software entwickeln
• Lieferantenkontrollen (A.5.19-A.5.22): Organisationen mit minimalen Abhängigkeiten von Dritten

Vertiefung zu organisatorischen Kontrollen (A.5.x)

Richtlinien für Informationssicherheit (A.5.1 - A.5.4)

• A.5.1 - Richtlinien für Informationssicherheit
• A.5.2 - Rollen und Verantwortlichkeiten für Informationssicherheit
• A.5.3 - Funktionstrennung
• A.5.4 - Verantwortlichkeiten des Managements

Kontaktmanagement (A.5.5 - A.5.6)

• A.5.5 - Kontakt zu Behörden
• A.5.6 - Kontakt zu speziellen Interessengruppen

Bedrohungs- und Projektmanagement (A.5.7 - A.5.8)

• A.5.7 - Bedrohungsinformationen
• A.5.8 - Informationssicherheit im Projektmanagement

Asset-Management (A.5.9 - A.5.14)

• A.5.9 - Inventar von Informationen und anderen zugehörigen Assets
• A.5.10 - Akzeptable Nutzung von Informationen und anderen zugehörigen Assets
• A.5.11 - Rückgabe von Assets
• A.5.12 - Klassifizierung von Informationen
• A.5.13 - Kennzeichnung von Informationen
• A.5.14 - Informationsübermittlung

Zugriffskontrolle (A.5.15 - A.5.18)

• A.5.15 - Zugriffskontrolle
• A.5.16 - Identitätsmanagement
• A.5.17 - Authentifizierungsinformationen
• A.5.18 - Zugriffsrechte

Lieferantenbeziehungen (A.5.19 - A.5.23)

• A.5.19 - Informationssicherheit in Lieferantenbeziehungen
• A.5.20 - Berücksichtigung der Informationssicherheit in Lieferantenverträgen
• A.5.21 - Management der Informationssicherheit in der IKT-Lieferkette
• A.5.22 - Überwachung, Überprüfung und Änderungsmanagement von Lieferantendiensten
• A.5.23 - Informationssicherheit bei der Nutzung von Cloud-Diensten (NEU in 2022)

Incident-Management (A.5.24 - A.5.28)

• A.5.24 - Planung und Vorbereitung des Managements von Informationssicherheitsvorfällen
• A.5.25 - Bewertung und Entscheidung über Informationssicherheitsereignisse
• A.5.26 - Reaktion auf Informationssicherheitsvorfälle
• A.5.27 - Lernen aus Informationssicherheitsvorfällen
• A.5.28 - Sammlung von Beweisen

Business Continuity (A.5.29 - A.5.30)

• A.5.29 - Informationssicherheit während einer Unterbrechung
• A.5.30 - IKT-Bereitschaft für Business Continuity

Compliance (A.5.31 - A.5.37)

• A.5.31 - Rechtliche, gesetzliche, regulatorische und vertragliche Anforderungen
• A.5.32 - Rechte an geistigem Eigentum
• A.5.33 - Schutz von Aufzeichnungen
• A.5.34 - Datenschutz und Schutz personenbezogener Daten (PII)
• A.5.35 - Unabhängige Überprüfung der Informationssicherheit
• A.5.36 - Einhaltung von Richtlinien und Standards für Informationssicherheit
• A.5.37 - Dokumentierte Betriebsverfahren

Nachweisanforderungen für Kontrollen

Was Auditoren prüfen

Für jede eingeschlossene Kontrolle fordern Auditoren Nachweise, dass:

• Die Kontrolle existiert: Dokumentierte Richtlinien, Verfahren oder Konfigurationen
• Die Kontrolle funktioniert: Aufzeichnungen, Protokolle oder Ausgaben, die den laufenden Betrieb zeigen
• Die Kontrolle wirksam ist: Ergebnisse belegen die Risikoreduzierung (z. B. zeigen Schwachstellen-Scans die Wirksamkeit von Patches)

Beispiele für Nachweise nach Kontrolltyp

• Richtlinienkontrollen: Genehmigte Richtliniendokumente, Bestätigungsnachweise
• Prozesskontrollen: Verfahrensdokumente, Checklisten, Workflow-Tickets
• Technische Kontrollen: Konfigurations-Screenshots, Systemprotokolle, Scan-Berichte
• Schulungskontrollen: Schulungsabschlussnachweise, Testergebnisse, Anwesenheitsprotokolle

Zusätzliche Kontrollen außerhalb von Annex A

Wenn Annex A nicht ausreicht

Wenn Ihre Risikobewertung Risiken identifiziert, die durch die 93 Standardkontrollen nicht ausreichend adressiert werden, können Sie zusätzliche, auf Ihren Kontext zugeschnittene Kontrollen implementieren.

Dokumentation zusätzlicher Kontrollen

Führen Sie zusätzliche Kontrollen in Ihrer Erklärung zur Anwendbarkeit (Statement of Applicability) auf oder pflegen Sie ein ergänzendes Kontrollregister. Verknüpfen Sie sie klar mit den spezifischen Risiken, die sie adressieren.

Beispiele für zusätzliche Kontrollen

• Branchenspezifische Kontrollen (PCI DSS-Anforderungen für Zahlungsabwickler)
• Regulatorische Anforderungen (HIPAA-Kontrollen für das Gesundheitswesen)
• Kontrollen für neue Technologien (KI/ML-Sicherheit, die im Standard nicht vollständig abgedeckt ist)
• Organisationsspezifische Risiken (einzigartige betriebliche oder geografische Risiken)

Verwandte Konzepte

• Statement of Applicability (SoA) - Dokument, das auflistet, welche Kontrollen Sie implementieren
• Risikobewertung - Prozess, der bestimmt, welche Kontrollen implementiert werden sollen
• Kontrolle - Sicherheitsmaßnahme zur Risikoreduzierung
• ISO 27001:2022 - Der Standard, der die Annex A-Kontrollen definiert
• Wie man ISO 27001 Annex A-Kontrollen mit KI implementiert

Hilfe erhalten

Beschleunigen Sie die Auswahl und Implementierung von Kontrollen mit ISMS Copilot. Erhalten Sie Anleitungen, welche Kontrollen Ihre spezifischen Risiken adressieren, generieren Sie Implementierungsdokumentation und erstellen Sie Pläne zur Nachweiserhebung für die Prüfungsbereitschaft.