34 Controls, 34 Nachweise.

Anhang A.8 ist der Teil der ISO 27001, den man nicht beschreiben kann, sondern bauen muss. Die Referenzarchitektur zeigt, womit.

  • Jedes Control mit Werkzeug, Einstellung und Nachweis
  • Erprobt in Umgebungen, die durch ein Audit gegangen sind
Kostenlos Kein Newsletter Vier Felder

Zwei der 34 Controls.

Jede Zeile hat dieselbe Form: das Control, das Werkzeug, das es erfüllt, und der Beleg, den der Auditor sehen will. Das Werkzeug ist austauschbar, der Beleg nicht.

  • A.8.15 Protokollierung: ein zentrales Sammelsystem mit festgelegter Aufbewahrung. Nachweis ist der Bericht über die Aufbewahrung, plus ein Auszug aus dem Protokoll selbst.
  • A.8.2 Privilegierte Zugriffsrechte: erhöhte Rechte nur auf Zeit und auf Antrag. Nachweis ist die quartalsweise Rechteprüfung, mit Datum und Unterschrift.
Arbeit an der Serverinfrastruktur

Bevor ihr eure Daten hier eintragt.

Für wen ist die Referenzarchitektur gedacht?
Für Firmen, die auf eine Erstzertifizierung zulaufen oder eine Rezertifizierung vorbereiten und deren technischer Teil die eigentliche Baustelle ist. Für Konzerne mit eigenem Sicherheitsteam und für sehr kleine Teams ohne konkreten Anlass passt sie nicht.
Ist das ein Ersatz für den Auditor?
Nein. Der Auditor prüft eure tatsächliche Umsetzung. Die Referenzarchitektur ist die Bauanleitung dazu, nicht die Prüfung.
Was kostet das?
Nichts. Wir schicken das PDF gegen eure Kontaktdaten, weil wir daraus einen Anlass für ein Gespräch machen wollen. Wenn ihr danach nicht reden wollt, ist das auch in Ordnung.
Was macht ihr mit meiner E-Mail-Adresse?
Wir schicken das PDF und eine einzelne Nachricht nach ein bis zwei Wochen. Danach hört ihr von uns nur, wenn ihr aktiv antwortet.
Müssen wir Kunde sein?
Nein. Wir teilen die Referenzarchitektur genauso mit Firmen, die die Umsetzung selbst machen oder mit einem anderen Partner arbeiten.

Wer das aufgeschrieben hat.

Felix Klauke Geschäftsführer, Klauke Enterprises
Klauke Enterprises betreibt Informationssicherheit in echten Umgebungen: Firewalls, Verzeichnisdienste, Protokollierung, Sicherung und Endgeräteschutz für über 150 Mittelständler und 3.500 Geräte. Was im PDF steht, kommt aus Aufbauten, die wir gebaut, betrieben und durch Audits gebracht haben.
Felix Klauke
  • Ambylon
  • Northh Medical
  • Cyclotron ITK
  • Asprova
  • LH Security
  • einfachISO
  • hostware
  • Adiuvat Steuerberatung