ISO 27001-Prompts zur Umsetzung von Kontrollen

Übersicht

Sie entdecken praktische Prompts für die Umsetzung der ISO 27001:2022 Annex A-Kontrollen mit ISMS Copilot – vom Entwurf technischer Konfigurationen bis zur Erstellung operativer Workflows, die eine wirksame Umsetzung von Sicherheitskontrollen nachweisen.

Zielgruppe

Diese Prompts sind konzipiert für:

• IT- und Sicherheitsteams, die Annex A-Kontrollen umsetzen
• Systemadministratoren, die Sicherheitskontrollen konfigurieren
• DevOps-Ingenieure, die Sicherheit in die Infrastruktur einbauen
• Compliance-Experten, die die Umsetzung von Kontrollen dokumentieren

Vorbereitung

Organisatorische Kontrollen (A.5) Prompts

Gestaltung von Informationssicherheitsrollen (A.5.1-A.5.3)

"Gestalten Sie die Organisationsstruktur für Informationssicherheitsrollen gemäß den ISO 27001:2022-Kontrollen A.5.1-A.5.3. Definieren Sie: die Governance-Struktur für Informationssicherheit (Ausschüsse, Berichtslinien), Rollendefinitionen und Verantwortlichkeiten (CISO, Sicherheitsteam, IT-Team, Fachabteilungen), eine Matrix zur Funktionstrennung, um Interessenkonflikte zu vermeiden, Eskalationswege für Sicherheitsentscheidungen, die Integration in die Gesamtorganisationsstruktur, Mechanismen zur Demonstration des Management-Commitments und die Ressourcenallokation für die Sicherheitsfunktion. Geeignet für [Unternehmensgröße und -struktur]."

Implementierung eines Richtlinienmanagementsystems (A.5.2)

"Gestalten Sie ein Richtlinienmanagementsystem zur Pflege unserer ISO 27001-Richtlinien gemäß Kontrolle A.5.2. Enthalten sein sollten: die Struktur des Richtlinien-Repositorys und Zugriffskontrollen, der Richtlinien-Lebenszyklus-Workflow (Entwurf, Prüfung, Genehmigung, Veröffentlichung, Außerbetriebnahme), Versionskontrolle und Änderungsnachverfolgung, Richtlinien-Überprüfungsplan und Erinnerungen, der Konsultationsprozess mit Stakeholdern, Genehmigungsbefugnisse nach Richtlinientyp, Nachverfolgung der Richtlinienkommunikation und -kenntnisnahme, Ausnahmeverwaltung für Richtlinien und Integration in die Einarbeitung neuer Mitarbeiter."

Konfiguration des Asset-Managements (A.5.9)

"Implementieren Sie ein Asset-Inventar- und Managementsystem für die ISO 27001-Kontrolle A.5.9. Gestalten Sie: Methoden zur Asset-Erkennung (automatisiertes Scannen, manuelle Registrierung), zu erfassende Asset-Attribute (Eigentümer, Klassifizierung, Standort, Abhängigkeiten, Lebenszyklusstatus), Workflow zur Zuweisung von Asset-Eigentümern, Klassifizierungs- und Kennzeichnungsprozess, Mechanismen zur Durchsetzung der akzeptablen Nutzung, Integration mit CMDB oder IT-Asset-Management, Lebenszyklusverfolgung von Assets (von der Beschaffung bis zur Entsorgung) und Reporting-Dashboards für die Asset-Überwachung."

Gestaltung eines Zugriffskontrollrahmens (A.5.15-A.5.18)

"Gestalten Sie einen umfassenden Zugriffskontrollrahmen für die ISO 27001-Kontrollen A.5.15-A.5.18 unter Verwendung von [Ihr Identitätssystem, z. B. Azure AD, Okta]. Enthalten sein sollten: Identitätslebenszyklusmanagement (Bereitstellung, Änderungen, Deprovisionierung), rollenbasiertes Zugriffskontrollmodell (RBAC) mit Rollen, die auf Jobfunktionen abgebildet sind, Workflow für Zugriffsanfragen und -genehmigungen, Strategie für das Management privilegierter Zugriffe, Authentifizierungsmechanismen (SSO, MFA, passwortlos), Autorisierungsmodelle (RBAC, ABAC), Zugriffsüberprüfungsprozess und -plan sowie die technische Implementierung in [Ihr Verzeichnissystem]."

Beispiel: "Gestalten Sie einen umfassenden Zugriffskontrollrahmen für die Kontrollen A.5.15-A.5.18 unter Verwendung von Azure AD mit bedingtem Zugriff. Unsere Umgebung: 200 Benutzer, SaaS-Anwendungen, Azure-Cloud-Infrastruktur, privilegierte Zugriffsworkstations für Administratoren."

Personenbezogene Kontrollen (A.6) Prompts

Aufbau eines Sicherheitsüberprüfungsprozesses (A.6.1)

"Erstellen Sie einen Prozess zur Sicherheitsüberprüfung und Hintergrundprüfung von Mitarbeitern für die ISO 27001-Kontrolle A.6.1. Definieren Sie: Überprüfungsanforderungen nach Rollensensitivität (Standard, erhöht, privilegiert), Vorstellungsgesprächsprüfungen (Strafregister, Beschäftigungsverlauf, Ausbildung, Referenzen, Bonitätsprüfung für finanzielle Rollen), Zeitplan für die Überprüfung im Einstellungsprozess, Anforderungen an Drittanbieter für Überprüfungen, Überlegungen zu internationalen Kandidaten, Auslöser für laufende Überprüfungen (Rollenwechsel, Sicherheitsvorfälle), Einwilligung und Datenschutz-Compliance der Kandidaten, Aufbewahrung von Unterlagen und Integration in den HR-Einarbeitungsworkflow."

Implementierung eines Sicherheitsbewusstseinsprogramms (A.6.3)

"Gestalten Sie ein umfassendes Programm zur Sensibilisierung und Schulung in Sachen Sicherheit für die ISO 27001-Kontrolle A.6.3. Enthalten sein sollten: grundlegende Sicherheitsschulungen (Inhaltsthemen, Durchführungsmethode, Dauer, Häufigkeit), Checkliste für die Sicherheitseinführung neuer Mitarbeiter, rollenbasierte Schulungspfade (Entwickler, Administratoren, Manager, alle Mitarbeiter), Phishing-Simulationsprogramm (Häufigkeit, Schwierigkeitsgrade, Auslöser für Nachschulungen), Strategie für Sicherheitskommunikation (Newsletter, Warnungen, Kampagnen), Messung der Schulungseffektivität (Quizze, Umfragen, Korrelation mit Vorfällen), Integration in das Lernmanagementsystem sowie Compliance-Nachverfolgung und Reporting."

Konfiguration eines Disziplinarverfahrens (A.6.4)

"Entwickeln Sie ein Disziplinarverfahren für Verstöße gegen Sicherheitsrichtlinien gemäß der ISO 27001-Kontrolle A.6.4. Definieren Sie: Kategorien und Schweregrade von Verstößen, Untersuchungsverfahren bei Verdacht auf Verstöße, Disziplinarmaßnahmen nach Verstößen (Verwarnung, Suspendierung, Kündigung), Eskalations- und Genehmigungsbefugnisse, Dokumentationsanforderungen, Rechte und ordnungsgemäßes Verfahren für Mitarbeiter, Integration in HR-Disziplinarverfahren, Datenschutz und Vertraulichkeit während der Untersuchungen sowie Kommunikationsprotokolle für sensible Fälle."

Physische Kontrollen (A.7) Prompts

Gestaltung physischer Zugangskontrollen (A.7.1-A.7.2)

"Gestalten Sie physische Sicherheitskontrollen für unsere Einrichtungen gemäß den ISO 27001-Kontrollen A.7.1-A.7.2. Enthalten sein sollten: Definition des Sicherheitsperimeters und physische Barrieren, Zugangspunkte und Zugangskontrollmechanismen (Ausweisleser, Biometrie, Schleusen), Besucher-Managementprozess (Registrierung, Begleitung, Ausweiserückgabe), Sicherheitszonen und Zugangsbeschränkungen (öffentlich, Mitarbeiter, eingeschränkt, Serverraum), Überwachungssysteme (CCTV-Platzierung, Aufzeichnung, Aufbewahrung), Sicherheitsmitarbeiter und Patrouillenverfahren, Verfahren für den Zugang außerhalb der Geschäftszeiten sowie die Integration zwischen physischen und logischen Zugangssystemen."

Implementierung von Gerätesicherheit (A.7.7-A.7.8)

"Erstellen Sie klare Richtlinien für den „Clean Desk“, „Clear Screen“ und die Gerätesicherheit für die ISO 27001-Kontrollen A.7.7-A.7.8. Definieren Sie: Anforderungen an den „Clean Desk“ (am Ende des Tages, Umgang mit vertraulichem Material), Richtlinien für den „Clear Screen“ (Sperrzeitüberschreitung, Sichtschutzfilter, Monitorpositionierung), sichere Aufbewahrungsmöglichkeiten (abschließbare Schränke, Safes), Geräteplatzierung zur Verhinderung unbefugter Einsichtnahme, Beschränkungen für Besucherbereiche, Anwendbarkeit im Homeoffice, Prüfungen und Compliance-Kontrollen, Schulungen und Erinnerungen für Mitarbeiter sowie Durchsetzungsmechanismen."

Gestaltung eines sicheren Entsorgungsprozesses (A.7.10, A.7.14)

"Implementieren Sie einen sicheren Entsorgungsprozess für Geräte und Medien gemäß den ISO 27001-Kontrollen A.7.10 und A.7.14. Enthalten sein sollten: im Scope befindliche Medientypen (Papier, Festplatten, SSDs, USB-Laufwerke, Mobilgeräte, Backup-Bänder), Entsorgungsmethoden nach Medientyp (Schreddern, Entmagnetisierung, kryptografische Löschung, physische Zerstörung), Verfahren zur Überprüfung der Datensanierung, Anforderungen an Zertifikate der Vernichtung, Management und Überwachung von Entsorgungsdienstleistern, Nachverfolgung und Audit-Logs der Entsorgung, Genehmigungsworkflow für die Entsorgung sensibler Systeme sowie Einhaltung von Umwelt- und gesetzlichen Vorschriften."

Technologische Kontrollen (A.8) Prompts

Konfiguration sicherer Authentifizierung (A.8.5)

"Implementieren Sie sichere Authentifizierungskontrollen für die ISO 27001-Kontrolle A.8.5 unter Verwendung von [Ihr Identitätsanbieter]. Konfigurieren Sie: Multi-Faktor-Authentifizierung (MFA) – Registrierung und Durchsetzung nach Benutzer-Risikostufe, Authentifizierungsmethoden (Authenticator-Apps, Hardware-Tokens, Biometrie, SMS als Fallback), Richtlinien für bedingten Zugriff (Standort, Gerät, Risikostufe), Single Sign-On (SSO) für integrierte Anwendungen, Sitzungsmanagement (Timeout, gleichzeitige Sitzungen), Dienstkonto-Authentifizierung, API-Authentifizierung und -Autorisierung, passwortlose Authentifizierungsoptionen sowie Überwachung von Authentifizierungsfehlern und Anomalien."

Beispiel: "Implementieren Sie sichere Authentifizierung für die Kontrolle A.8.5 unter Verwendung von Azure AD. Konfigurieren Sie MFA für alle Benutzer, bedingten Zugriff basierend auf Anmelderisiko, Geräte-Compliance und Standort. Aktivieren Sie passwortlose Authentifizierung für Führungskräfte mit Windows Hello und FIDO2-Schlüsseln."

Gestaltung des Managements privilegierter Zugriffe (A.8.2-A.8.3)

"Implementieren Sie ein System für das Management privilegierter Zugriffe für die ISO 27001-Kontrollen A.8.2-A.8.3. Gestalten Sie: Inventar und Klassifizierung privilegierter Konten, Workflow für Anfragen und Genehmigungen privilegierter Zugriffe (Just-in-Time-Zugriff), privilegierte Zugriffsworkstations (PAWs) für administrative Aufgaben, Sitzungsaufzeichnung und -überwachung für privilegierte Aktivitäten, Passwort-Tresor für privilegierte Anmeldedaten (unter Verwendung von [PAM-Lösung]), automatische Passwortrotation, Notfall-Break-Glass-Verfahren, Überprüfungen und Rezertifizierungen privilegierter Zugriffe sowie Audit-Logging privilegierter Aktivitäten."

Implementierung von Zugriffsbeschränkungen (A.8.1)

"Konfigurieren Sie Netzwerk- und Informationszugriffsbeschränkungen für die ISO 27001-Kontrolle A.8.1. Implementieren Sie: Strategie für Netzwerksegmentierung und Mikrosegmentierung, Firewall-Regeln nach dem Prinzip der geringsten Privilegien, Zugriffskontrollen auf Anwendungsebene (Authentifizierung, Autorisierung), Datenzugriffsbeschränkungen nach Klassifizierungsstufe, Durchsetzung des Need-to-Know-Prinzips, Trennung von Entwicklungs-, Test- und Produktionsumgebungen, Fernzugriffskontrollen (VPN, Zero Trust, bedingter Zugriff) sowie Zugriffsprotokollierung und -überwachung für alle eingeschränkten Ressourcen."

Konfiguration der Sicherheit von Informationssystemen (A.8.9-A.8.11)

"Implementieren Sie Konfigurationsmanagement und Härtung für die ISO 27001-Kontrollen A.8.9-A.8.11. Enthalten sein sollten: Sicherheits-Baseline-Konfigurationen für [Ihre Betriebssysteme/Plattformen], Pflege der Konfigurationsmanagement-Datenbank (CMDB), Härtungsstandards und Checklisten, Erkennung und Behebung von Konfigurationsabweichungen, sichere Konfigurationstemplates für neue Systeme, regelmäßige Konfigurationsaudits, Change Control für Konfigurationsänderungen, Backup und Wiederherstellung von Konfigurationen sowie Integration mit dem Schwachstellenmanagement zur Identifizierung von Fehlkonfigurationen."

Gestaltung der Verhinderung von Datenlecks (A.8.12)

"Implementieren Sie Kontrollen zur Verhinderung von Datenlecks für die ISO 27001-Kontrolle A.8.12. Gestalten Sie: Integration der Datenklassifizierung (automatische Kennzeichnung), DLP-Richtlinien für verschiedene Datentypen (personenbezogene Daten, Zahlungsdaten, geistiges Eigentum, vertrauliche Informationen), Überwachungskanäle (E-Mail, Web, USB, Cloud-Apps, Drucken), Richtlinienaktionen (Warnung, Blockieren, Verschlüsseln, Quarantäne), Benutzerschulung für DLP-Warnungen, Ausnahme- und Genehmigungsworkflow für DLP-Richtlinien, Incident Response bei DLP-Verstößen sowie Metriken und Anpassung der DLP-Effektivität."

Implementierung von Backup-Kontrollen (A.8.13)

"Konfigurieren Sie ein Backup- und Wiederherstellungssystem für die ISO 27001-Kontrolle A.8.13. Implementieren Sie: Backup-Umfang (alle kritischen Systeme und Daten), Backup-Häufigkeit nach Systemebene (kontinuierlich, stündlich, täglich, wöchentlich), Backup-Aufbewahrungsrichtlinie (GFS – Großvater-Vater-Sohn), Backup-Speicher (vor Ort, extern, Cloud), Backup-Verschlüsselung während der Übertragung und im Ruhezustand, Überprüfung der Backup-Integrität, Zeitplan für Wiederherstellungstests, automatisierte Backup-Überwachung und Alarmierung sowie Integration der Notfallwiederherstellung mit RTO/RPO-Zielen."

Konfiguration von Protokollierung und Überwachung (A.8.15-A.8.16)

"Implementieren Sie umfassende Protokollierung und Überwachung für die ISO 27001-Kontrollen A.8.15-A.8.16 unter Verwendung von [Ihr SIEM-Tool]. Konfigurieren Sie: Protokollquellen und zu erfassende Ereignistypen (Authentifizierung, Zugriff, Änderungen, Sicherheitsereignisse, Fehler), Zentralisierung und Aggregation von Protokollen im SIEM, Protokollaufbewahrung nach Protokolltyp und regulatorischen Anforderungen, Schutz von Protokollen (Integrität, Zugriffskontrolle, Verschlüsselung), Echtzeit-Überwachung und Alarmierungsregeln, Sicherheitsanwendungsfälle und Erkennungslogik, Protokollprüfungsverfahren und Verantwortlichkeiten, Incident-Investigations-Workflows sowie Überwachungs-Dashboard für Sicherheitsoperationen."

Beispiel: "Implementieren Sie Protokollierung und Überwachung für die Kontrollen A.8.15-A.8.16 unter Verwendung von Microsoft Sentinel. Erfassen Sie Protokolle von Azure AD, Office 365, Azure-Ressourcen, lokalem AD, Firewalls und Endpunkten. Konfigurieren Sie Erkennungen für Brute-Force-Angriffe, Rechteausweitung, Datenexfiltration und Malware."

Gestaltung kryptografischer Kontrollen (A.8.24)

"Implementieren Sie kryptografische Kontrollen für die ISO 27001-Kontrolle A.8.24. Konfigurieren Sie: Verschlüsselung für ruhende Daten (Datenbanken, Dateispeicher, Backups) unter Verwendung von [Verschlüsselungsmethode], Verschlüsselung für Daten während der Übertragung (TLS 1.2+, genehmigte Chiffriersuiten), Schlüsselmanagementsystem (Generierung, Speicherung, Rotation, Vernichtung), Schlüsselhinterlegung für Wiederherstellungsszenarien, digitale Zertifikate und PKI-Management, genehmigte kryptografische Algorithmen und Schlüssellängen, Cloud-Verschlüsselung (kundenseitig verwaltete Schlüssel vs. anbieterverwaltete Schlüssel) sowie Prüfung und Compliance-Verifizierung kryptografischer Kontrollen."

Implementierung des Schwachstellenmanagements (A.8.8)

"Gestalten Sie ein Programm für das Schwachstellenmanagement für die ISO 27001-Kontrolle A.8.8 unter Verwendung von [Ihre Scan-Tools]. Implementieren Sie: Zeitplan für Schwachstellen-Scans (wöchentliche authentifizierte Scans für kritische Systeme, monatlich für alle Systeme), Scan-Abdeckung (Netzwerk, Anwendungen, Container, Cloud-Infrastruktur), Klassifizierung der Schwachstellenschwere und SLAs (kritisch innerhalb von 24 Stunden, hoch innerhalb von 7 Tagen, mittel innerhalb von 30 Tagen), Patch-Management-Workflow und -Tests, kompensierende Kontrollen für nicht patchbare Systeme, Umgang mit Schwachstellenmeldungen, Metriken und Reporting an das Management sowie Integration mit Asset- und Change-Management."

Konfiguration sicherer Entwicklung (A.8.25-A.8.31)

"Implementieren Sie einen sicheren Entwicklungslebenszyklus für die ISO 27001-Kontrollen A.8.25-A.8.31. Gestalten Sie: Sicherheitsanforderungen im Entwicklungsprozess, Bedrohungsmodellierung für neue Funktionen, sichere Codierungsstandards für [Ihre Programmiersprachen], Code-Review-Prozess mit Sicherheitsfokus, statische Anwendungssicherheitstests (SAST) in der CI/CD-Pipeline, dynamische Tests (DAST) vor der Bereitstellung, Scannen von Abhängigkeiten und Drittbibliotheken, Sicherheitstests in der QA-Phase, Management von Entwicklungs-/Testdaten (Datenmaskierung, synthetische Daten) sowie Sicherheitsprüfungen bei der Produktionsbereitstellung."

Gestaltung des Change-Managements (A.8.32)

"Implementieren Sie ein Change-Management-System für die ISO 27001-Kontrolle A.8.32 unter Verwendung von [Ihr Change-Management-Tool]. Konfigurieren Sie: Change-Request-Prozess und Genehmigungen, Change-Kategorisierung (Standard, Normal, Notfall), Risikobewertung für Changes, Change Advisory Board (CAB)-Prozess, Testanforderungen vor der Implementierung, Implementierungsfenster und Sperrzeiten, Rollback-Verfahren und -Kriterien, Post-Implementierungs-Review, Notfall-Change-Prozess mit nachträglicher Genehmigung sowie Change-Analysen und Metriken (Erfolgsrate, durch Changes verursachte Vorfälle)."

Prompts zur Umsetzung des Incident-Managements

Aufbau einer Incident-Response-Fähigkeit (A.5.24-A.5.28)

"Implementieren Sie ein Programm für die Reaktion auf Sicherheitsvorfälle für die ISO 27001-Kontrollen A.5.24-A.5.28. Gestalten Sie: Quellen zur Vorfallserkennung (SIEM, EDR, Benutzerberichte, Threat Intelligence), Klassifizierung und Schweregrade von Vorfällen, Struktur des Incident-Response-Teams und Bereitschaftsrotation, Incident-Response-Playbooks nach Vorfalltyp (Ransomware, Datenpanne, DDoS, Insider-Bedrohung), Beweissammlung und forensische Verfahren, Kommunikationsplan (interne Eskalation, Kundenbenachrichtigung, regulatorische Meldung), Incident-Tracking und Fallmanagementsystem, Post-Incident-Review und Lessons-Learned-Prozess sowie Tabletop-Übungen und IR-Tests."

Konfiguration der Erkennung von Sicherheitsereignissen (A.8.16)

"Gestalten Sie die Erkennung und Reaktion auf Sicherheitsereignisse unter Verwendung von [Ihre SIEM/EDR-Tools]. Implementieren Sie: Sicherheitsanwendungsfälle und Erkennungsregeln (Authentifizierungsanomalien, laterale Bewegung, Datenexfiltration, Rechteausweitung, Malware-Ausführung), Integration von Threat Intelligence, Verhaltensanalysen und maschinelles Lernen zur Anomalieerkennung, Alert-Tuning und Reduzierung von Fehlalarmen, Alert-Triage- und Untersuchungs-Workflow, automatisierte Reaktionsmaßnahmen (Kontosperrung, Quarantäne, IP-Blockierung), SOC-Playbooks für gängige Szenarien sowie MTTR-Tracking (Mean Time to Respond) und Verbesserung."

Prompts zur Umsetzung der Geschäftskontinuität

Gestaltung eines Business-Continuity-Programms (A.5.29-A.5.30)

"Implementieren Sie ein Business-Continuity- und Disaster-Recovery-Programm für die ISO 27001-Kontrollen A.5.29-A.5.30. Erstellen Sie: eine Business-Impact-Analyse (BIA) zur Identifizierung kritischer Funktionen, Wiederherstellungszeitziele (RTO) und Wiederherstellungspunktziele (RPO) nach Geschäftsbereich, Kontinuitätsstrategien (Redundanz, Failover, Workarounds, manuelle Prozesse), alternative Verarbeitungsstandorte oder Cloud-DR, Kommunikationspläne während Unterbrechungen, BC-Team-Rollen und -Verantwortlichkeiten, BC-Plan-Testzeitplan (Tabletop jährlich, vollständiger Test alle 2 Jahre), Auslöser für die Planwartung sowie Integration mit Incident Response und Krisenmanagement."

Implementierung von ICT-Kontinuität (A.8.14)

"Gestalten Sie ICT-Kontinuität und Redundanz für die ISO 27001-Kontrolle A.8.14. Implementieren Sie: Systemredundanz und Hochverfügbarkeit für kritische Systeme, automatisierte Failover-Mechanismen, Datenreplikation (synchron für kritische, asynchron für andere), Disaster-Recovery-Standort oder Cloud-Region, Überprüfung von RTO und RPO durch Tests, Failback-Verfahren bei Wiederherstellung des Primärsystems, Lieferantenredundanz für kritische Dienste sowie Integration mit den Backup-Wiederherstellungsprozessen aus Kontrolle A.8.13."

Prompts zur Umsetzung des Lieferantenmanagements

Gestaltung eines Lieferantensicherheitsprogramms (A.5.19-A.5.23)

"Implementieren Sie ein Programm für das Sicherheitsmanagement von Drittanbietern für die ISO 27001-Kontrollen A.5.19-A.5.23. Erstellen Sie: Lieferanten-Risikoklassifizierung (hoch/mittel/niedrig basierend auf Datenzugriff und Kritikalität), Sicherheitsbewertungsprozess und Fragebogen für Lieferanten, Sicherheitsanforderungen im Beschaffungsprozess, vertragliche Sicherheitsanforderungen (Sicherheitskontrollen, Audit-Rechte, Vorfallbenachrichtigung, Compliance-Verpflichtungen), Sicherheitsüberprüfung bei der Lieferantenintegration, laufende Überwachung und Leistungsbewertung von Lieferanten, Zugriffsmanagement und -beschränkungen für Lieferanten, Koordination der Incident Response mit Lieferanten sowie Verfahren zur Lieferantenausgliederung und Datenrückgabe."

Konfiguration der Sicherheit von Cloud-Diensten (A.5.23)

"Implementieren Sie Sicherheitskontrollen für Cloud-Dienste gemäß der ISO 27001-Kontrolle A.5.23 für [Ihre Cloud-Anbieter]. Berücksichtigen Sie: Verständnis und Dokumentation des Shared-Responsibility-Modells, Sicherheitsüberprüfung des Cloud-Anbieters (SOC 2, ISO 27001, FedRAMP), cloud-spezifische Sicherheitskonfigurationen (IAM, Verschlüsselung, Netzwerk, Protokollierung), Anforderungen an Datenhoheit und -residenz, Cloud-Security-Posture-Management-Tools (CSPM), Cloud Access Security Broker (CASB) bei Nutzung mehrerer SaaS-Dienste, Konsistenz der Sicherheit in Multi-Cloud-Umgebungen sowie Koordination der Incident Response mit dem Cloud-Anbieter."

Prompts zur Umsetzung von Compliance und rechtlichen Anforderungen

Implementierung von Datenschutzkontrollen (A.5.33-A.5.34)

"Gestalten Sie ein Datenschutzprogramm für die ISO 27001-Kontrollen A.5.33-A.5.34 und die DSGVO-Compliance. Implementieren Sie: Prozess zur Erfüllung von Betroffenenrechten (Zugriff, Berichtigung, Löschung, Datenübertragbarkeit), Datenschutz durch Technikgestaltung in neuen Projekten und Systemen, Auslöser und Prozess für Datenschutz-Folgenabschätzungen (PIAs), Einwilligungsmanagement für Marketing und optionale Verarbeitungen, Verzeichnis der Verarbeitungstätigkeiten und Inventar, Automatisierung der Datenaufbewahrung und -löschung, Mechanismen für grenzüberschreitende Datenübermittlungen (SCC, Angemessenheitsbeschlüsse) sowie Verantwortlichkeiten des Datenschutzbeauftragten (DSB) oder Datenschutzteams."

Gestaltung des Compliance-Managements (A.5.31)

"Implementieren Sie ein Compliance-Managementsystem für die ISO 27001-Kontrolle A.5.31. Erstellen Sie: Inventar der Compliance-Verpflichtungen (gesetzliche, regulatorische, vertragliche Anforderungen), Compliance-Überwachung und Kontrollzuordnung, Zeitplan für Compliance-Bewertungen, Prozess zur Überwachung regulatorischer Änderungen, Compliance-Schulungen für relevante Mitarbeiter, Compliance-Reporting an Management und Vorstand, Compliance-Risikobewertung, externe Compliance-Überprüfung (Audits, Bewertungen) sowie Aufbewahrung von Compliance-Nachweisen gemäß [anwendbaren Vorschriften]."

Prompts für Tests und Verifizierung

Gestaltung von Kontrollwirksamkeitstests

"Erstellen Sie ein Programm zur Prüfung und Validierung von Kontrollen, um die Wirksamkeit von Annex A-Kontrollen zu überprüfen. Für die Kontrolle [Kontrollnummer] gestalten Sie: Testziele und -umfang, Testmethodik (Dokumentenprüfung, Beobachtung, technische Tests, Nachvollzug), Stichprobenansatz und Stichprobengröße, Testhäufigkeit (kontinuierliche Überwachung, vierteljährlich, jährlich), erwartete Nachweise und Kriterien für Bestehen/Nicht-Bestehen, Testwerkzeuge und Automatisierung, Anforderungen an die Unabhängigkeit der Tester, Meldung und Behebung von Mängeln sowie Testdokumentation als Audit-Nachweis."

Durchführung eines Kontroll-Walkthroughs

"Erstellen Sie ein Walkthrough-Dokument für die Annex A-Kontrolle [Kontrollnummer und -name]. Enthalten sein sollten: Beschreibung und Ziel der Kontrolle, Verweise auf Richtlinien und Verfahren, schrittweiser Prozessablauf (Erzählung und Diagramm), Rollen und Verantwortlichkeiten in jedem Schritt, beteiligte Systeme und Tools, Eingaben und Ausgaben, Kontrollpunkte und Überprüfungen, Ausnahmen und Eskalationen sowie die durch die Kontrolle generierten Nachweise. Verwenden Sie dies zur Schulung von Mitarbeitern und zur Vorlage bei Auditoren."

Prompts für Integration und Automatisierung

Automatisierung der Kontrollumsetzung

"Gestalten Sie die Automatisierung für die ISO 27001-Kontrolle [Kontrollnummer] unter Verwendung von [Ihre Automatisierungstools, z. B. PowerShell, Terraform, Ansible]. Erstellen Sie: Ziele und Umfang der Automatisierung, technischen Implementierungsansatz, Automatisierungsskripte oder Infrastructure-as-Code, Testen und Validierung der Automatisierung, Fehlerbehandlung und Rollback, Planung und Orchestrierung, Protokollierung und Audit-Trail automatisierter Aktionen, manuelle Eingriffspunkte sowie Dokumentation für Wartung und Fehlerbehebung der Automatisierung."

Integration von Sicherheitstools

"Gestalten Sie eine Integrationsstrategie für Sicherheitstools zur Unterstützung von ISO 27001-Kontrollen. Integrieren Sie: Identitätsanbieter (AD/Azure AD/Okta), SIEM (Splunk/Sentinel/Chronicle), EDR (CrowdStrike/Defender/SentinelOne), Schwachstellenscanner (Qualys/Rapid7/Tenable), PAM-Lösung, DLP-Tool, CASB und Ticketsystem. Für jede Integration definieren Sie: Datenflüsse, API-Konfigurationen, Alert-Workflows, Automatisierungsmöglichkeiten sowie einheitliches Dashboard-Reporting."

Tipps zur effektiven Nutzung dieser Prompts

Verwandte Prompt-Bibliotheken

Vervollständigen Sie Ihre ISO 27001-Implementierung mit diesen verwandten Prompt-Sammlungen:

• [ISO 27001-Prompts zur Risikobewertung](/ISO 27001 prompt library)
• [ISO 27001-Prompts für Richtlinien und Verfahren](/ISO 27001 prompt library)
• [ISO 27001-Prompts zur Audit-Vorbereitung](/ISO 27001 prompt library)
• [SOC 2-Prompt-Bibliothek](/SOC 2 prompt library)

Hilfe erhalten

Für Unterstützung bei der Umsetzung von Kontrollen:

• Anforderungen verstehen: Lesen Sie den ISO 27001-Risikobewertungsleitfaden, um zu sehen, welche Kontrollen Ihre Risiken abdecken
• Dokumentation erstellen: Nutzen Sie die [Prompts für Richtlinien und Verfahren](/ISO 27001 prompt library), um Ihre Implementierungen zu dokumentieren
• KI verantwortungsvoll einsetzen: Lesen Sie Wie Sie ISMS Copilot verantwortungsvoll nutzen für Implementierungsleitfäden