Was ist eine Kontrolle in ISO 27001?

Eine Kontrolle in ISO 27001 ist eine Maßnahme, die das Informationssicherheitsrisiko verändert oder reduziert. Kontrollen sind Richtlinien, Verfahren, Praktiken, organisatorische Strukturen oder technische Mechanismen, die die Vertraulichkeit, Integrität und Verfügbarkeit von Informationswerten schützen.

Übersicht

Eine Kontrolle in ISO 27001 ist eine Maßnahme, die das Informationssicherheitsrisiko verändert oder reduziert. Kontrollen sind Richtlinien, Verfahren, Praktiken, organisatorische Strukturen oder technische Mechanismen, die die Vertraulichkeit, Integrität und Verfügbarkeit von Informationswerten schützen.

Was es in der Praxis bedeutet

Kontrollen sind das „Wie“ der Sicherheit – die spezifischen Maßnahmen, die ergriffen werden, um identifizierte Risiken zu adressieren. Nach der Risikobewertung, die Bedrohungen aufdeckt, sind Kontrollen die Gegenmaßnahmen, die implementiert werden, um diese Risiken auf ein akzeptables Niveau zu reduzieren.

Praktisches Beispiel: Wenn die Risikobewertung „unbefugter Zugriff auf die Kundendatenbank“ als hohes Risiko identifiziert, könnten Kontrollen implementiert werden, darunter: Zugriffskontrollrichtlinie (organisatorische Kontrolle), Multi-Faktor-Authentifizierung (technische Kontrolle) und Sicherheitsschulungen (personenbezogene Kontrolle). Zusammen reduzieren diese Kontrollen das Risiko.

Arten von Kontrollen

Nach Funktion

Präventive Kontrollen: Verhindern Sicherheitsvorfälle, bevor sie auftreten (Zugriffskontrollen, Firewalls, Verschlüsselung)
Detektive Kontrollen: Identifizieren Sicherheitsvorfälle, wenn sie auftreten (Überwachung, Protokollierung, Intrusion Detection)
Korrektive Kontrollen: Reduzieren die Auswirkungen nach dem Auftreten von Vorfällen (Wiederherstellung von Backups, Incident-Response-Verfahren)

Nach Art

Technische Kontrollen: Technologiebasierte Maßnahmen (Verschlüsselung, Authentifizierung, Malware-Schutz)
Organisatorische Kontrollen: Richtlinien, Verfahren und Managementpraktiken (Risikomanagement, Klassifizierung von Assets)
Physische Kontrollen: Schutz der physischen Umgebung (Schlösser, Überwachung, Zutrittskontrolle zu Gebäuden)
Personenbezogene Kontrollen: Menschlich fokussierte Maßnahmen (Schulungen, Überprüfungen, Vertraulichkeitsvereinbarungen)

Nach Implementierungsansatz

Administrative Kontrollen: Dokumentierte Regeln und Verfahren
Logische Kontrollen: Software- und systembasierte Kontrollen
Physische Kontrollen: Greifbare Schutzmaßnahmen

Anhang-A-Kontrollen

ISO 27001:2022 Anhang A listet 93 spezifische Kontrollen auf, die in vier Themenbereiche unterteilt sind und von Organisationen basierend auf der Risikobewertung ausgewählt werden können:

Organisatorische Kontrollen (A.5.1-A.5.37): 37 Kontrollen für Governance, Richtlinien, Asset-Management, Lieferantenmanagement, Incident-Management
Personenbezogene Kontrollen (A.6.1-A.6.8): 8 Kontrollen für den Beschäftigungszyklus und menschliche Risiken
Physische Kontrollen (A.7.1-A.7.14): 14 Kontrollen für Gebäudesicherheit und Schutz physischer Assets
Technologische Kontrollen (A.8.1-A.8.34): 34 Kontrollen für IT-Sicherheit, Zugriffsmanagement und technische Schutzmaßnahmen

Kontrollauswahl: Es ist nicht erforderlich, alle 93 Anhang-A-Kontrollen zu implementieren. Ihre Risikobewertung bestimmt, welche Kontrollen notwendig sind. Dokumentieren Sie die Entscheidungen zur Kontrollauswahl in Ihrer Erklärung zur Anwendbarkeit.

Kontrollziele vs. Kontrollen

Kontrollziel

Das gewünschte Ergebnis oder Sicherheitsziel (z. B. „Verhinderung unbefugten Zugriffs auf sensible Daten“).

Kontrolle

Die spezifische Maßnahme zur Umsetzung des Ziels (z. B. „Multi-Faktor-Authentifizierung für alle Benutzer, die auf die Kundendatenbank zugreifen“).

Warum die Unterscheidung wichtig ist

ISO 27001 Anhang A listet Kontrollziele auf. Wie jede Kontrolle implementiert wird, hängt vom organisatorischen Kontext, der Technologie und dem Risikoprofil ab. Zwei Organisationen können dasselbe Ziel mit unterschiedlichen Implementierungen erreichen.

Verhältnismäßige Implementierung: Ein kleines Start-up könnte „Sensibilisierungsschulungen zur Sicherheit“ (A.6.3) durch monatliche Teammeetings umsetzen, während ein Großunternehmen ein Lernmanagementsystem mit rollenbasierten Lehrplänen nutzen könnte. Beide erfüllen das Kontrollziel, wenn es ihrem Kontext angemessen ist.

Wirksamkeit von Kontrollen

Was eine Kontrolle wirksam macht

Kontrollen müssen das Risiko tatsächlich reduzieren, nicht nur auf dem Papier existieren. Wirksame Kontrollen sind:

Implementiert: Tatsächlich eingesetzt und funktionsfähig
Angemessen: Geeignet für das Risiko und den organisatorischen Kontext
Messbar: Sie können überprüfen, ob sie funktionieren
Konsistent: Einheitlich in der gesamten Organisation angewendet
Aktuell gehalten: Werden an sich ändernde Risiken und Umgebungen angepasst

Prüfung der Kontrollwirksamkeit

Dokumentenprüfung: Überprüfung, ob Kontrolldokumentation existiert und aktuell ist
Beobachtung: Kontrollen im Betrieb beobachten
Interview: Bestätigung, dass Mitarbeiter die Kontrollverfahren verstehen und befolgen
Technische Prüfung: Überprüfung, ob technische Kontrollen wie konfiguriert funktionieren
Stichprobenprüfung: Überprüfung von Aufzeichnungen, die den laufenden Betrieb der Kontrolle belegen

Häufiger Audit-Befund: Kontrollen sind in Richtlinien dokumentiert, werden aber nicht tatsächlich implementiert oder gepflegt. Auditoren überprüfen, ob Kontrollen wirksam funktionieren, nicht nur, ob Sie eine gute Dokumentation haben.

Kompensationskontrollen

Wann Kompensationskontrollen eingesetzt werden

Manchmal kann eine bestimmte Kontrolle aufgrund technischer Einschränkungen, Kostenbeschränkungen oder betrieblicher Gründe nicht implementiert werden. Kompensationskontrollen sind alternative Maßnahmen, die dieselbe Risikoreduktion erreichen.

Anforderungen an Kompensationskontrollen

Bieten eine ähnliche oder bessere Risikoreduktion als die ursprüngliche Kontrolle
Adressieren dasselbe Kontrollziel
Werden in Ihrer Erklärung zur Anwendbarkeit dokumentiert und begründet
Sind für Auditoren und Stakeholder akzeptabel

Beispiele

Ursprüngliche Kontrolle: Netzwerksegmentierung zur Isolierung sensibler Systeme
Kompensationskontrolle: Verstärkte Überwachung und Zugriffskontrollen, wenn die Netzwerkarchitektur eine Segmentierung verhindert
Ursprüngliche Kontrolle: Biometrischer Zugang für den Serverraum
Kompensationskontrolle: Ausweiszugang mit Videoüberwachung und Zugriffsprotokollen, wenn Biometrie nicht machbar ist

Kontrollnachweise

Wonach Auditoren suchen

Für jede implementierte Kontrolle fordern Auditoren Nachweise an, die Folgendes belegen:

Existenz: Die Kontrolle ist etabliert (Richtliniendokumente, Systemkonfigurationen)
Betrieb: Die Kontrolle funktioniert regelmäßig (Protokolle, Berichte, Aufzeichnungen)
Wirksamkeit: Die Kontrolle reduziert das Risiko (Metriken, Testergebnisse, Vorfalldaten)

Beispiele für Nachweise nach Kontrolltyp

Richtlinienkontrollen: Genehmigte Richtliniendokumente, Versionshistorie, Bestätigungen der Mitarbeiter
Technische Kontrollen: Konfigurationsscreenshots, Systemprotokolle, Scan-Berichte
Prozesskontrollen: Abgeschlossene Checklisten, Workflow-Tickets, Prüfungsaufzeichnungen
Schulungskontrollen: Teilnahmebestätigungen, Anwesenheitslisten, Testergebnisse

Nachweisstrategie: Integrieren Sie die Nachweiserhebung von Anfang an in den Kontrollbetrieb. Vierteljährliche Zugriffsprüfungen generieren Nachweise für Zugriffsmanagementkontrollen, Backup-Protokolle belegen den Betrieb von Backup-Kontrollen, Schulungsabschlussberichte unterstützen Sensibilisierungskontrollen.

Kontrolllebenszyklus

1. Auswahl (Planung)

Basierend auf der Risikobewertung werden Kontrollen identifiziert, die adressierte Risiken behandeln. Dokumentation erfolgt in der Erklärung zur Anwendbarkeit.

2. Implementierung (Bereitstellung)

Bereitstellung der ausgewählten Kontrollen mit angemessenem Umfang, Timing und Ressourcen. Erstellung von Richtlinien, Konfiguration von Systemen, Schulung von Mitarbeitern.

3. Betrieb (Tagesgeschäft)

Ausführung der Kontrollen im Rahmen des normalen Geschäftsbetriebs. Generierung von Nachweisen durch Protokolle, Berichte und Aufzeichnungen.

4. Überwachung (Laufend)

Verfolgung der Kontrollwirksamkeit durch Metriken, Überprüfungen und Tests. Frühzeitige Identifizierung von Kontrollfehlern oder Schwachstellen.

5. Überprüfung (Periodisch)

Bewertung, ob Kontrollen angesichts sich ändernder Risiken, Technologien und Geschäftsanforderungen weiterhin angemessen sind. Aktualisierung oder Außerbetriebnahme von Kontrollen nach Bedarf.

6. Verbesserung (Kontinuierlich)

Optimierung von Kontrollen basierend auf Vorfällen, Audit-Befunden, neuen Bedrohungen oder technologischen Verbesserungen.

Häufige Fehler bei der Kontrollimplementierung

Implementierung von Kontrollen ohne Risikobewertung

Auswahl von Kontrollen basierend auf Vorlagen oder „Best Practices“ anstelle der tatsächlichen Risikobewertung. Dies verschwendet Ressourcen und kann Lücken hinterlassen.

Überdokumentation, Unterimplementierung

Erstellung umfangreicher Richtlinien und Verfahren, ohne die Kontrollen tatsächlich bereitzustellen oder zu betreiben.

„Einmal-und-vergessen“-Mentalität

Implementierung von Kontrollen nur zur Vorbereitung auf die Zertifizierung, ohne sie zu pflegen oder laufende Nachweise zu sammeln.

Keine Messung der Wirksamkeit

Annahme, dass Kontrollen funktionieren, ohne ihre Auswirkungen auf die Risikoreduktion zu testen oder zu messen.

Punktlösungen statt gestaffelter Verteidigung

Abhängigkeit von einzelnen Kontrollen anstelle gestaffelter Abwehrmaßnahmen. Ein Kontrollversagen sollte nicht zu einer vollständigen Kompromittierung führen.

Best Practice: Implementieren Sie Kontrollen in Schichten (gestaffelte Verteidigung). Schützen Sie beispielsweise sensible Daten mit: Klassifizierungsrichtlinie (organisatorisch), Zugriffskontrollen (technisch), Verschlüsselung (technisch), Überwachung (detektiv) und Backups (korrektiv). Wenn eine Kontrolle versagt, bieten andere weiterhin Schutz.

Was ist eine Kontrolle in ISO 27001?

Auf dieser Seite