Abschnitt 1 von 9 · Bezug: DIN EN ISO/IEC 27001:2024-01, Einleitung und Kapitel 1 bis 3, ergänzt um Begriffe aus ISO/IEC 27000
Grundlagen der Informationssicherheit
Der erste Abschnitt legt das Fundament: warum Informationssicherheit für eine Organisation überhaupt ein Führungsthema ist, welche Werte geschützt werden, welche Schutzziele gelten und wie Informationssicherheit sich von Datenschutz und reiner IT-Sicherheit unterscheidet.
Auf einen Blick
Die Kernzusammenhänge dieses Abschnitts als SchaubildHinweis zu diesem AbschnittDie Lektionen 2 und 3 (Carbanak, Historie der Norm) stehen nicht in der Norm. Sie beruhen auf öffentlich berichteten Sachverhalten und auf der Normenhistorie; sie dienen der Einordnung, nicht der Prüfungsvorbereitung im engeren Sinn.
Die drei Schutzziele der Informationssicherheit
Vertraulichkeit, Integrität und Verfügbarkeit — was das ISMS über den Risikomanagementprozess wahrt (Einleitung 0.1, Kap. 6.1.2 c) 1))
Vertraulichkeit verletzt
Ein Datenabfluss aus der Kundendatenbank. System läuft weiter, Daten sind korrekt — nur eben nicht mehr geheim.
A.5.15 A.8.24
Integrität verletzt
Ein fehlerhafter Import vertauscht Antragsdaten. Alles ist verfügbar und vertraulich — aber falsch.
A.8.32 A.8.15
Verfügbarkeit verletzt
Das Bürgerportal fällt vier Stunden aus. Nichts ist abgeflossen, nichts verfälscht — nur nicht erreichbar.
A.8.13 A.8.14
Von BS 7799 zur DIN EN ISO/IEC 27001:2024-01
Die Ausgabenfolge der Norm und ihre Übernahme nach Europa und Deutschland
Die 9 Lektionen
Anklicken zum Aufklappen · Häkchen links markiert eine Lektion als erledigtInformationssicherheit ist eine strategische Entscheidung der Leitung
Strategische Entscheidung
Einführung, Ausgestaltung und Umfang richten sich nach Zielen, Anforderungen und Struktur der Organisation.
Einleitung 0.1Teil der Steuerung
Das ISMS wird in die übergreifende Steuerungsstruktur und die Abläufe integriert, nicht daneben betrieben.
Einleitung 0.1Wandel eingeplant
Ziele, Anforderungen und Struktur ändern sich im Zeitverlauf; das ISMS muss darauf reagieren können.
Einleitung 0.1Marktzugang
Zertifikate werden zunehmend in Ausschreibungen und Lieferantenaudits verlangt.
Praxis
Merken: Prüfungsfalle: Die Norm nennt die ISMS-Einführung ausdrücklich als strategische, nicht als technische Entscheidung. Informationen sind für eine Organisation ein Vermögenswert, vergleichbar mit Personal, Gebäuden oder Kapital. Ein ISMS schützt diesen Wert planmäßig über einen Risikomanagementprozess und schafft dadurch Vertrauen bei internen und externen interessierten Parteien.
Kapitel 1- Die Anforderungen sind allgemein gehalten und auf alle Organisationen anwendbar, ungeachtet ihrer Art und Größe.
Praxis- Externe Treiber sind heute vor allem gesetzliche Vorgaben, Anforderungen aus Ausschreibungen und Lieferantenaudits sowie die Haftung der Leitung.
Praxisbeispiel
Eine Landesbehörde vergibt den Betrieb eines Fachverfahrens. Im Vergabeverfahren fordert sie ein gültiges ISO/IEC-27001-Zertifikat für den Betriebsbereich des Auftragnehmers. Für den Bieter ist das ISMS damit kein Selbstzweck, sondern Zugangsvoraussetzung zum Markt – und der Anwendungsbereich des Zertifikats muss genau die Leistung abdecken, die angeboten wird.
Wissenscheck zu Lektion 1
2 FragenFrage Welche Aussagen zur Einführung eines Informationssicherheitsmanagementsystems (ISMS) sind nach der Einleitung der ISO/IEC 27001 zutreffend?
Mehrfachauswahl: eine bis drei Antworten sind richtig.
ErläuterungEinleitung 0.1 nennt die Einführung des ISMS als strategische Entscheidung, die in die Steuerungsstruktur zu integrieren ist; Ausgestaltung und Umfang richten sich dagegen nach Bedürfnissen, Zielen, Größe und Struktur und sind daher nicht einheitlich.Frage Für welchen Kreis von Organisationen gelten die Anforderungen der ISO/IEC 27001 nach Kapitel 1?
Mehrfachauswahl: eine bis drei Antworten sind richtig.
ErläuterungKapitel 1 legt den Anwendungsbereich für alle Organisationen unabhängig von Art und Größe fest; ein bestehendes Qualitätsmanagementsystem oder eine bestimmte Rechtsform sind keine Voraussetzung.Carbanak zeigt eine Angriffskette mit legitimen Rechten
- 1Phishing-MailEin präparierter Anhang verschafft den Angreifern den Einstieg über Beschäftigte.Hintergrund
- 2Unentdeckte BeobachtungMonatelange Beobachtung der Arbeitsabläufe mit regulären Berechtigungen.Hintergrund
- 3Missbrauch der RechteÜberweisungen und Auszahlungen werden mit legitimen Berechtigungen veranlasst.Hintergrund
- 4Meldung und ReaktionEin geübter Vorfallprozess mit Beurteilung, Reaktion und Auswertung begrenzt den Schaden.A.5.24 bis A.5.27
Merken: Der Angriff nutzte keine technische Lücke, sondern Menschen und reguläre Berechtigungen – Technik allein hätte ihn nicht gestoppt. Der Fall Carbanak ist kein Bestandteil der Norm, sondern ein Lehrbeispiel dafür, wie lange unentdeckte Angriffe innerhalb legitimer Berechtigungen ablaufen können. Er verdeutlicht, weshalb Gegenmaßnahmen alle drei Ebenen – Personal, Prozesse und Technik – zugleich betreffen müssen.
Hintergrund- Nach dem Einstieg agierten die Angreifer lange unentdeckt mit regulären Berechtigungen – Angriffe wirken dann wie normaler Betrieb.
A.6.3- Gegenmaßnahme auf der personellen Seite: Bewusstsein, Ausbildung und Schulung des Personals.
A.8.16- Gegenmaßnahme auf der technischen Seite: Überwachung von Netzwerken, Systemen und Anwendungen auf anormales Verhalten.
A.5.24 bis A.5.27- Gegenmaßnahme auf der Prozessseite: geplante Handhabung von Vorfällen, Beurteilung von Ereignissen, dokumentierte Reaktion und Auswertung der Erkenntnisse.
Praxisbeispiel
Eine Kommunalverwaltung wertet den Fall in einer Awareness-Schulung aus und formuliert daraus zwei konkrete Regeln: Erstens meldet jede Person einen verdächtigen Anhang über einen festgelegten Kanal, auch bei Unsicherheit und ohne Angst vor Konsequenzen (A.6.8). Zweitens werden Zahlungsfreigaben oberhalb eines Betrags im Vier-Augen-Prinzip erteilt (A.5.3 Aufgabentrennung).
Wissenscheck zu Lektion 2
2 FragenFrage Welche Lehre für ein ISMS lässt sich aus einem Angriff ziehen, bei dem ausschließlich mit erschlichenen, aber legitimen Berechtigungen gehandelt wird?
Mehrfachauswahl: eine bis drei Antworten sind richtig.
ErläuterungA.8.16 verlangt die Überwachung auf anormales Verhalten als Ergänzung zur Prävention; ein Angreifer, der mit legitimen Rechten agiert, wird von rein präventiven Maßnahmen nicht erkannt.Frage Welche Maßnahmen des Anhangs A adressieren die Schwachstellen, die in einem Angriff wie Carbanak ausgenutzt wurden?
Mehrfachauswahl: eine bis drei Antworten sind richtig.
ErläuterungDer Einstieg erfolgte über Phishing, dem Schulung (A.6.3) entgegenwirkt, und blieb lange unentdeckt, weil Ereignisse nicht gemeldet wurden (A.6.8); reine Verschlüsselung ruhender Daten verhindert den Missbrauch legitimer Zugänge nicht.Von 114 Maßnahmen in 14 Kapiteln zu 93 Maßnahmen in vier Themen
- 2005Erste internationale Ausgabehervorgegangen aus BS 7799-2
- 2013 / 2022Folgeausgaben2022 ist Basis der aktuellen Fassung
- 93Maßnahmen im Anhang Avorher 114 in 14 Kapiteln (Fassung 2013)
- 2024-01Aktuelle deutsche FassungDIN EN ISO/IEC 27001:2024-01
Merken: Prüfungsfalle: Nicht die Zahl der Maßnahmen zählt, sondern die Anpassung an die harmonisierte Struktur für Managementsystemnormen. Die Versionshistorie ist reines Hintergrundwissen und selbst kein Prüfungsgegenstand der Normanforderungen, hilft aber, unterschiedliche Fassungsangaben in Literatur und Zertifikaten richtig einzuordnen. Wer ein Zertifikat prüft, sollte erkennen, auf welche Ausgabe es sich bezieht, da sich Anhang A und Kapitelstruktur zwischen den Fassungen unterscheiden.
Nationales Vorwort- Die DIN EN ISO/IEC 27001:2024-01 ersetzt die DIN EN ISO/IEC 27001:2017-06.
Vorwort- Die dritte Ausgabe ersetzt die zweite Ausgabe (ISO/IEC 27001:2013) einschließlich der Berichtigungen Cor 1:2014 und Cor 2:2015.
Frühere Ausgaben- Deutsche Ausgabenfolge: DIN ISO/IEC 27001:2008-09, 2015-03, Berichtigung 1:2017-03, DIN EN ISO/IEC 27001:2017-06.
Praxisbeispiel
Ein Unternehmen mit einem Zertifikat nach der Fassung 2013 muss beim Übergang auf die Fassung 2022 seine Erklärung zur Anwendbarkeit vollständig überarbeiten: Maßnahmen werden zusammengeführt, elf Maßnahmen sind neu hinzugekommen, und die Nummerierung ändert sich durchgängig. Ein Mapping der alten auf die neuen Maßnahmen ist deshalb der erste Arbeitsschritt.
Wissenscheck zu Lektion 3
2 FragenFrage Welche Aussagen zur aktuellen Ausgabe der ISO/IEC 27001 gegenüber ihrer Vorgängerfassung sind zutreffend?
Mehrfachauswahl: eine bis drei Antworten sind richtig.
ErläuterungDas Vorwort nennt die Anpassung an Anhang SL und ISO/IEC 27002:2022 als wesentliche Änderung; der Anhang A wurde von 114 auf 93 Maßnahmen umgestellt. Eine gesetzliche Zertifizierungspflicht begründet die Norm nicht.Frage Was folgt für eine Organisation, deren Zertifikat noch auf der Fassung 2013 beruht, beim Übergang auf die aktuelle Ausgabe?
Mehrfachauswahl: eine bis drei Antworten sind richtig.
ErläuterungDie grundlegende Neuordnung des Anhangs A macht ein Mapping der alten auf die neuen Maßnahmen und eine Überarbeitung der Erklärung zur Anwendbarkeit erforderlich; ein Wechsel der Zertifizierungsstelle oder eine unveränderte Weiterverwendung sind daraus nicht zwingend.Die 93 Maßnahmen verteilen sich ungleich auf vier Themen
Angaben in Maßnahmen
Merken: Organisatorische und technologische Maßnahmen bilden zusammen mehr als drei Viertel des Anhangs A. Informationssicherheit umfasst Menschen, Prozesse und Technologie gleichermaßen und schützt Informationen unabhängig von ihrer Erscheinungsform – digital, auf Papier oder im Gespräch. Die Norm verankert diese Ganzheitlichkeit über Anforderungen an Kontext, Führung, Planung, Unterstützung, Betrieb, Bewertung und Verbesserung.
Kapitel 4 bis 10- Die Anforderungsstruktur deckt den vollständigen Managementkreis ab; keines der Kapitel darf ausgeschlossen werden.
Einleitung 0.1- Informationssicherheit ist bereits bei der Konzeption von Prozessen und Informationssystemen zu berücksichtigen, nicht nachträglich aufzusetzen.
A.5.35- Die Vorgehensweise für die Handhabung der Informationssicherheit und ihre Umsetzung einschließlich Mitarbeiter, Prozesse und Technologien wird unabhängig überprüft.
Praxis- Sicherheit ist so stark wie ihr schwächstes Glied – und das ist selten die Verschlüsselung.
Praxisbeispiel
Eine Abteilung führt eine gut abgesicherte Fachanwendung ein: Verschlüsselung, Mehr-Faktor-Anmeldung, gehärtete Server. Die Ausdrucke der Bearbeitungslisten liegen aber offen im Flurdrucker. Die technische Maßnahme läuft ins Leere, weil die physische Ebene (A.7.7 aufgeräumte Arbeitsumgebung) und die organisatorische Ebene (A.5.13 Kennzeichnung von Informationen) fehlen.
Wissenscheck zu Lektion 4
2 FragenFrage Welche Aussagen zur Gliederung der Maßnahmen im Anhang A der ISO/IEC 27001 sind zutreffend?
Mehrfachauswahl: eine bis drei Antworten sind richtig.
ErläuterungAnhang A gliedert die Maßnahmen in A.5 bis A.8 nach den vier genannten Themen; diese Einteilung ist unabhängig von den PDCA-Phasen, die sich stattdessen in den Kapiteln 4 bis 10 widerspiegeln.Frage Welche Aussagen entsprechen dem Verständnis von Informationssicherheit als Zusammenspiel von Mensch, Prozess und Technik?
Mehrfachauswahl: eine bis drei Antworten sind richtig.
ErläuterungEinleitung 0.1 und A.5.35 fordern die frühzeitige Berücksichtigung von Sicherheitsanforderungen und die unabhängige Überprüfung; das Beispiel offen liegender Ausdrucke zeigt, dass technische Maßnahmen ohne physische (A.7.7) und organisatorische Ebene (A.5.13) wirkungslos bleiben.Ein Vermögenswert durchläuft vier geregelte Schritte
- 1InventarisierenWerte und ihre Eigentümer werden erfasst und gepflegt.A.5.9
- 2KlassifizierenEinstufung nach Vertraulichkeit, Integrität, Verfügbarkeit und Anforderungen.A.5.12
- 3Gebrauch regelnRegeln und Verfahren für den zulässigen Umgang werden festgelegt.A.5.10
- 4ZurückgebenBei Beendigung von Beschäftigung oder Vertrag werden Werte zurückgegeben.A.5.11
Merken: Ohne gepflegtes Inventar fehlt die Grundlage für Klassifizierung, Zugangssteuerung und Risikobeurteilung. Ein Vermögenswert ist alles, was für die Organisation einen Wert hat – von Informationen und IT-Systemen bis zu Wissen und Reputation. Ohne ein gepflegtes Inventar dieser Werte einschließlich ihrer Eigentümer ist keine belastbare Risikobeurteilung möglich.
Praxis- Der Werteigentümer ist nicht die IT, sondern die Fachseite, die über Nutzung und Schutzbedarf entscheidet.
A.5.9- Das Inventar ist keine einmalige Aufnahme, sondern muss bei Veränderungen an den Werten fortlaufend aktualisiert werden.
Praxisbeispiel
Ein Fachbereich führt eine Kundendatenbank. Im Inventar stehen: der Informationswert „Vertragsdaten der Auftraggeber“, die Anwendung, der Datenbankserver, die Sicherungskopien und der Serverraum. Eigentümerin ist die Fachbereichsleiterin, nicht die Administratorin – diese ist Verwalterin. Erst diese Zuordnung macht klar, wer über Zugriffsrechte und über die Akzeptanz von Restrisiken entscheidet.
Wissenscheck zu Lektion 5
2 FragenFrage Welche Rolle nimmt der Werteigentümer (Asset Owner) nach A.5.9 typischerweise ein?
Mehrfachauswahl: eine bis drei Antworten sind richtig.
ErläuterungA.5.9 verlangt ein Inventar einschließlich der Eigentümer; Eigentümerin ist die Fachseite, die über Schutzbedarf und Zugriff entscheidet, während die IT-Administration den Wert lediglich verwaltet.Frage Welche Anforderungen stellt der Anhang A an den Umgang mit Informationswerten?
Mehrfachauswahl: eine bis drei Antworten sind richtig.
ErläuterungA.5.9 fordert das Inventar, A.5.11 die Rückgabe von Werten. A.5.12 verlangt dagegen eine Klassifizierung nach Schutzbedarf – gerade keine einheitliche Kennzeichnung unabhängig davon.Jedes Schutzziel hat eigene Verletzungsformen und Gegenmaßnahmen
Schutzziel Verletzung (Beispiel) Gegenmaßnahme (Beispiel) Vertraulichkeit Unbefugter Zugriff oder Datenabfluss Zugangssteuerung (A.5.15), Kryptographie (A.8.24) Integrität Daten werden unbemerkt verändert oder vertauscht Änderungssteuerung (A.8.32), Protokollierung (A.8.15) Verfügbarkeit System- oder Verfahrensausfall Redundanz (A.8.14), Datensicherung (A.8.13) Merken: Ein Vorfall kann mehrere Schutzziele zugleich verletzen, etwa Ransomware Verfügbarkeit, Vertraulichkeit und Integrität. Die Trennung der Schutzziele ist nötig, weil ein Vorfall sie unterschiedlich stark treffen kann und der Schutzbedarf je Ziel verschieden ausfallen darf. Erst die getrennte Betrachtung erlaubt es, im Risikoprozess gezielt passende Gegenmaßnahmen für jedes Ziel auszuwählen.
Einleitung 0.1- Das ISMS wahrt Vertraulichkeit, Integrität und Verfügbarkeit von Informationen über einen Risikomanagementprozess.
Kap. 6.1.2 c) 1)- Risiken werden im Zusammenhang mit dem Verlust von Vertraulichkeit, Integrität und Verfügbarkeit innerhalb des Anwendungsbereichs ermittelt.
Verfügbarkeit- Verfügbarkeit schließt auch Versorgungseinrichtungen wie Strom und Klimatisierung ein (A.7.11), zusätzlich zu Redundanz und Sicherung.
Praxisbeispiel
Ein Bürgerportal fällt für vier Stunden aus. Betroffen ist nur die Verfügbarkeit; Vertraulichkeit und Integrität sind gewahrt. Werden dagegen bei einem fehlerhaften Import Antragsdaten vertauscht, ist die Integrität verletzt, während das System verfügbar bleibt. Die Trennung der Schutzziele erlaubt es, den Schutzbedarf je Ziel unterschiedlich einzustufen und Maßnahmen gezielt zu wählen.
Wissenscheck zu Lektion 6
2 FragenFrage An welcher Stelle des Risikoprozesses werden die drei Schutzziele nach ISO/IEC 27001 operativ wirksam?
Mehrfachauswahl: eine bis drei Antworten sind richtig.
ErläuterungKap. 6.1.2 c) 1) verlangt die Ermittlung von Risiken bezogen auf den Verlust der drei Schutzziele; die Rechtsform der Organisation hat mit der Risikobeurteilung nichts zu tun.Frage Was folgt daraus, dass Vertraulichkeit, Integrität und Verfügbarkeit voneinander unabhängige Eigenschaften sind?
Mehrfachauswahl: eine bis drei Antworten sind richtig.
ErläuterungEin Ausfall eines Systems kann allein die Verfügbarkeit betreffen, während Vertraulichkeit und Integrität gewahrt bleiben; alle drei Eigenschaften sind im Risikoprozess nach 6.1.2 c) 1) zu berücksichtigen.Informationssicherheit und Datenschutz schützen unterschiedliche Güter
Informationssicherheit
Schutzgut: alle Informationen der Organisation- Schützt Vertraulichkeit, Integrität, Verfügbarkeit aller Informationen
- Interesse der Organisation steht im Vordergrund
- Maßnahmen aus Anhang A, unabhängig vom Personenbezug
Datenschutz
Schutzgut: informationelle Selbstbestimmung- Schützt personenbezogene Daten natürlicher Personen
- Interesse der betroffenen Person steht im Vordergrund
- Eigene Pflichten wie Zweckbindung und Löschung (A.8.10)
Merken: Ein sicheres System kann datenschutzwidrig betrieben werden – Sicherheit ersetzt keine Zweckbindung oder Löschpflicht. Informationssicherheit schützt das Interesse der Organisation an allen ihren Informationen, Datenschutz das Interesse der betroffenen Person an ihren personenbezogenen Daten. Weil die Schutzgüter verschieden sind, ersetzen die Maßnahmen aus Anhang A datenschutzrechtliche Pflichten wie Zweckbindung oder Löschung nicht automatisch.
A.5.34- Die Norm verlangt, Anforderungen an Privatsphäre und Schutz personenbezogener Daten nach geltenden Gesetzen und Verträgen zu ermitteln und zu erfüllen.
A.5.31- Rechtliche, gesetzliche, behördliche und vertragliche Anforderungen müssen ermittelt, dokumentiert und aktuell gehalten werden.
Kap. 4.2- Betroffene Personen und Aufsichtsbehörden sind typische interessierte Parteien, deren Anforderungen im ISMS zu bestimmen sind.
Praxis- Technische und organisatorische Maßnahmen nach Datenschutzrecht lassen sich weitgehend aus den Maßnahmen des Anhangs A ableiten – die Nachweispflichten bleiben aber getrennt.
Praxisbeispiel
Ein Verfahren speichert Bewerbungsunterlagen verschlüsselt, mit strenger Zugangssteuerung und lückenloser Protokollierung – informationssicherheitstechnisch vorbildlich. Es speichert die Unterlagen jedoch unbefristet. Das ist ein Datenschutzverstoß, kein Sicherheitsmangel. Die Maßnahme, die hier greift, ist A.8.10 Löschung von Informationen: Daten müssen gelöscht werden, wenn sie nicht mehr benötigt werden.
Wissenscheck zu Lektion 7
2 FragenFrage Worin unterscheiden sich Informationssicherheit und Datenschutz?
Mehrfachauswahl: eine bis drei Antworten sind richtig.
ErläuterungDie Schutzgüter unterscheiden sich (Organisation gegenüber betroffener Person); ein Verfahren kann trotz vorbildlicher Verschlüsselung und Zugangssteuerung gegen Löschpflichten des Datenschutzrechts verstoßen.Frage Welche Maßnahme des Anhangs A verknüpft das ISMS unmittelbar mit datenschutzrechtlichen Anforderungen?
Mehrfachauswahl: eine bis drei Antworten sind richtig.
ErläuterungA.5.34 verlangt die Ermittlung und Erfüllung von Anforderungen zum Schutz personenbezogener Daten nach geltendem Recht; die beiden anderen Maßnahmen betreffen Monitoring bzw. physische Infrastruktur.Erst die Beurteilung macht aus einem Ereignis einen Vorfall
Definition Beispiel Nächster Schritt Ereignis Beobachtetes Vorkommnis mit möglicher Bedeutung Rechner reagiert nach Anhang ungewöhnlich langsam Melden über festgelegten Kanal (A.6.8) Vorfall Ereignisfolge mit wahrscheinlicher Beeinträchtigung Schadsoftwarebefund mit Netzzugriff bestätigt Reagieren (A.5.26) und Beweise sichern (A.5.28) Merken: Die Einstufung nach A.5.25 entscheidet, nicht das Bauchgefühl der meldenden Person. Ein Informationssicherheitsereignis ist ein beobachtetes Vorkommnis mit möglicher Bedeutung für die Informationssicherheit; erst die Beurteilung entscheidet, ob daraus ein Vorfall mit wahrscheinlicher Beeinträchtigung wird. Für diese Kette von Meldung bis Auswertung verlangt die Norm einen geplanten, dokumentierten Prozess.
A.6.8- Es muss einen Mechanismus geben, über den Beschäftigte beobachtete Ereignisse rechtzeitig über geeignete Kanäle melden können.
A.5.25- Die Organisation muss Ereignisse beurteilen und entscheiden, ob sie als Informationssicherheitsvorfälle einzustufen sind.
A.5.24- Die Handhabung von Vorfällen ist zu planen und vorzubereiten: Prozesse, Rollen und Verantwortlichkeiten definieren, einführen, kommunizieren.
A.5.26- Auf Vorfälle muss entsprechend den dokumentierten Verfahren reagiert werden.
A.5.27 / A.5.28- Erkenntnisse aus Vorfällen müssen zur Verbesserung genutzt werden; für Beweismaterial gelten eigene Verfahren zu Ermittlung, Sammlung, Beschaffung und Aufbewahrung.
Praxisbeispiel
Eine Sachbearbeiterin meldet, dass ihr Rechner nach dem Öffnen eines Anhangs ungewöhnlich langsam ist. Das ist ein Ereignis. Die Beurteilung nach A.5.25 ergibt einen Schadsoftwarebefund mit Netzzugriff – damit ein Vorfall. Es greifen der Reaktionsprozess (A.5.26), die Beweissicherung (A.5.28) und anschließend die Auswertung (A.5.27), aus der eine Anpassung der Filterregeln folgt.
Wissenscheck zu Lektion 8
2 FragenFrage Welche Aussagen zum Unterschied zwischen Informationssicherheitsereignis und -vorfall treffen zu?
Mehrfachauswahl: eine bis drei Antworten sind richtig.
ErläuterungA.5.25 verlangt die Beurteilung von Ereignissen zur Einstufung als Vorfall; nicht jedes gemeldete Ereignis erfüllt automatisch die Kriterien eines Vorfalls.Frage Welche Schritte umfasst die Handhabung von Informationssicherheitsvorfällen nach Anhang A?
Mehrfachauswahl: eine bis drei Antworten sind richtig.
ErläuterungA.6.8, A.5.26 und A.5.27 bilden zusammen mit A.5.24 (Planung) und A.5.28 (Beweismittel) die Kette der Vorfallhandhabung.Überwachung hat eine Nachweis- und eine Erkennungsfunktion
Nachweisfunktion
Was, wie, wann und durch wen überwacht und bewertet wird, ist vorab festzulegen.
Kap. 9.1Erkennungsfunktion
Protokolle und Netzwerküberwachung erkennen anormales Verhalten im laufenden Betrieb.
A.8.15 / A.8.16Gemeinsame Zeitbasis
Ohne synchronisierte Uhren lassen sich Ereignisse verschiedener Systeme nicht korrelieren.
A.8.17
Merken: Kapitel 9.1 verlangt sechs Festlegungen: was, wie, wann, durch wen gemessen und wann, durch wen bewertet wird. Überwachung erfüllt zwei Funktionen: Sie liefert Nachweise über die Leistung des ISMS (Normkapitel 9.1) und sie erkennt sicherheitsrelevantes Verhalten im Betrieb (Maßnahmen A.8.15 und A.8.16). Beides ist verbunden – gemessen wird nur, was zuvor als Überwachungsgegenstand, Methode, Zeitpunkt und Verantwortlichkeit festgelegt wurde.
Kap. 9.1- Die Methoden sollten zu vergleichbaren und reproduzierbaren Ergebnissen führen; dokumentierte Information muss als Nachweis verfügbar sein.
A.8.15- Protokolle über Aktivitäten, Ausnahmen, Fehler und andere relevante Ereignisse müssen erstellt, gespeichert, geschützt und analysiert werden.
A.8.17- Uhren der verwendeten Informationsverarbeitungssysteme müssen mit zugelassenen Zeitquellen synchronisiert sein – ohne einheitliche Zeit ist keine Korrelation möglich.
Praxisbeispiel
Ein Betriebsteam definiert vier Kennzahlen: Anteil gepatchter Systeme nach 30 Tagen, Zahl der gemeldeten Ereignisse je Monat, mittlere Zeit bis zur Bearbeitung eines Vorfalls und Anteil erfolgreicher Wiederherstellungstests. Diese Kennzahlen gehen als Eingabe in die Managementbewertung nach 9.3.2 d) 2) ein und werden dort gegen die Informationssicherheitsziele nach 6.2 gehalten.
Wissenscheck zu Lektion 9
2 FragenFrage Was verlangt Kapitel 9.1 hinsichtlich der Festlegung von Überwachung und Messung?
Mehrfachauswahl: eine bis drei Antworten sind richtig.
ErläuterungKap. 9.1 verlangt ausdrücklich die Festlegung von Gegenstand, Methode, Zeitpunkt sowie Verantwortlichkeit für Durchführung und Auswertung der Überwachung, nicht nur eine Teilmenge davon.Frage Welche Maßnahmen tragen zu einem wirksamen Information Security Monitoring bei?
Mehrfachauswahl: eine bis drei Antworten sind richtig.
ErläuterungA.8.15 und A.8.16 liefern die Grundlage der Überwachung; A.8.17 verlangt dagegen die Synchronisation der Uhren mit zugelassenen Zeitquellen, weil ohne einheitliche Zeit keine Korrelation der Protokolle möglich ist.
Zum Vertiefen
Übersichten, Tabellen und Werkzeuge zum NachschlagenAngriffskette und die Maßnahmen, die sie unterbrechen
Der Ablauf der Carbanak-Kampagne — und wo Anhang A ansetzt
Vom Ereignis zum Vorfall — und was danach passiert
Die Beurteilung nach A.5.25 ist die Weiche: Erst sie macht aus einem Ereignis einen Vorfall
Informationssicherheit und Datenschutz — verwandt, nicht identisch
Zwei Schutzgüter, zwei Interessen, ein gemeinsamer Werkzeugkasten
Abschlusstest
12 Fragen quer über den Abschnitt · Bestehensgrenze 60 ProzentAbschlusstest Abschnitt 1
12 FragenFrage Was trifft auf den Begriff „Wirksamkeit“ zu?
Mehrfachauswahl: eine bis drei Antworten sind richtig.
Frage Welche weiteren Eigenschaften können gemäß ISO/IEC 27000 neben Vertraulichkeit, Integrität und Verfügbarkeit einbezogen werden?
Mehrfachauswahl: eine bis drei Antworten sind richtig.
Frage Was ist Verfügbarkeit gemäß ISO/IEC 27000?
Mehrfachauswahl: eine bis drei Antworten sind richtig.
Frage Wie unterscheiden sich Informationssicherheitsereignis und Informationssicherheitsvorfall?
Mehrfachauswahl: eine bis drei Antworten sind richtig.
Frage Ein Administrator soll erklären, was die ISO/IEC 27000 unter einer Schwachstelle versteht. Was trifft zu?
Mehrfachauswahl: eine bis drei Antworten sind richtig.
Frage Was ist eine Nichtkonformität gemäß ISO/IEC 27000?
Mehrfachauswahl: eine bis drei Antworten sind richtig.
Frage Was beschreibt der Begriff „Verfügbarkeit" gemäß ISO/IEC 27000?
Mehrfachauswahl: eine bis drei Antworten sind richtig.
Frage Ein Dienstleister fragt, was der Begriff Leistung in der ISO/IEC-27000-Familie bezeichnet. Was trifft zu?
Mehrfachauswahl: eine bis drei Antworten sind richtig.
Frage Muss die Risikoidentifikation nach der geltenden ISO/IEC 27001 über Werte, Bedrohungen und Schwachstellen erfolgen?
Mehrfachauswahl: eine bis drei Antworten sind richtig.
Frage Was trifft auf den Begriff „Risiko“ gemäß ISO/IEC 27000 zu?
Mehrfachauswahl: eine bis drei Antworten sind richtig.
Frage Was unterscheidet eine Korrektur von einer Korrekturmaßnahme?
Mehrfachauswahl: eine bis drei Antworten sind richtig.
Frage Was trifft auf den Begriff „interessierte Partei“ zu?
Mehrfachauswahl: eine bis drei Antworten sind richtig.