Zum Hauptinhalt springen

Welche ISO-Normen gibt es für Zugriffssicherheit?

Die für die Zugriffssicherheit relevanten ISO-Normen fallen hauptsächlich unter die ISO-27000-Reihe, wobei ISO 27001 und ISO 27002 die wichtigsten Normen darstellen. ISO 27001 legt Anforderungen an ein Informationssicherheits-Managementsystem (ISMS) fest und enthält spezifische Kontrollen für das Zugriffsmanagement, während ISO 27002 praktische Leitlinien für deren Implementierung bietet. Bei Fragen zu den Auswirkungen auf Ihr Unternehmen können Sie sich gerne an uns wenden. Kontakt mit Sellox. In diesem Artikel beantworten wir die am häufigsten gestellten Fragen zu ISO-Normen und Zugriffssicherheit.

Welche ISO-Normen gelten speziell für die Zugriffssicherheit?

Die wichtigsten ISO-Normen für Zugriffssicherheit sind ISO 27001 und ISO 27002. ISO 27001 ist die zertifizierbare Norm, die Anforderungen an die Informationssicherheit als Ganzes, einschließlich der Zugriffskontrolle, festlegt. ISO 27002 bietet zusätzliche Implementierungsrichtlinien. ISO 27001 ist zudem relevant, wenn sich Zugriffskontrolle mit Datenschutz und dem Schutz personenbezogener Daten überschneidet.

Zusätzlich zur ISO-27000-Reihe gibt es auch IEC 62443 Eine wichtige Rolle spielt das System in bestimmten Branchen, insbesondere in industriellen Umgebungen und der Betriebstechnik, wo physische und digitale Zugangssicherheit zusammenfließen. Darüber hinaus gelten für Organisationen, die mit zertifizierten Zutrittskontrollsystemen arbeiten, produktspezifische Normen, wie beispielsweise EN 60839 für elektronische Zutrittskontrollsysteme.

Es ist wichtig zu verstehen, dass die ISO-Normen für Zugriffssicherheit sowohl den logischen Zugriff (digitale Systeme, Netzwerke, Anwendungen) als auch den physischen Zugriff (Gebäude, Serverräume, Sicherheitszonen) abdecken. Beide Dimensionen sind in einem gut konzipierten Sicherheitssystem untrennbar miteinander verbunden.

Was schreibt die ISO 27001 in Bezug auf die Zutrittskontrolle vor?

ISO 27001 schreibt vor, dass Organisationen eine systematische Richtlinie für Zugangskontrolle, Der Standard basiert auf dem Prinzip der minimalen Zugriffsrechte. Das bedeutet, dass Mitarbeitern und Systemen nur Zugriff auf die Informationen und Ressourcen gewährt wird, die sie für ihre Tätigkeit benötigen. Der Standard schreibt vor, dass Zugriffsrechte anhand dokumentierter Verfahren erteilt, verwaltet, überwacht und widerrufen werden.

In ISO 27001 fällt die Zugangskontrolle unter Anhang A, der eine Reihe von Sicherheitsmaßnahmen beschreibt. Die relevanten Kontrollen beziehen sich auf:

  • Festlegung und Dokumentation einer Zugangsrichtlinie
  • Registrierung und Verwaltung von Benutzerkonten und Zugriffsrechten
  • Verwendung starker Authentifizierungsmethoden, einschließlich Multi-Faktor-Authentifizierung
  • Regelmäßige Überprüfung und Korrektur der Zugriffsrechte
  • Einschränkung der Administratorrechte und des privilegierten Zugriffs
  • Protokollierung und Überwachung von Zugriffsversuchen

ISO 27001 schreibt nicht genau vor, wie eine Organisation dies technisch umsetzen soll, sondern legt fest, dass die gewählten Maßnahmen nachweislich wirksam sein müssen. Dies gibt Organisationen die Freiheit, Lösungen zu wählen, die ihrer spezifischen Situation entsprechen, solange sie nachweisen können, dass die Risiken angemessen gemanagt werden.

Worin besteht der Unterschied zwischen ISO 27001 und ISO 27002 im Hinblick auf Zugriffssicherheit?

Der Hauptunterschied besteht darin, dass ISO 27001 die Anforderungen festlegt, die eine Organisation für die Zertifizierung erfüllen muss, während ISO 27002 praktische Umsetzungsrichtlinien bietet. Im Bereich der Zugriffssicherheit bedeutet dies, dass ISO 27001 das Vorhandensein einer Zugriffsrichtlinie vorschreibt, während ISO 27002 deren Inhalt erläutert.

ISO 27001: Die Norm mit Anforderungen

ISO 27001 ist ein auditierbarer und zertifizierbarer Standard. Eine externe Zertifizierungsstelle prüft, ob die Organisation die festgelegten Anforderungen erfüllt, einschließlich der in Anhang A aufgeführten Kontrollen zum Zugriffsmanagement. Der Standard ist für Organisationen, die ein ISO 27001-Zertifikat erhalten möchten, verbindlich.

ISO 27002: Die Norm mit Leitlinien

ISO 27002 ist kein zertifizierbarer Standard, sondern ein detailliertes Handbuch. Für jede der in ISO 27001 beschriebenen Kontrollmaßnahmen bietet ISO 27002 Erläuterungen, Beispiele und Empfehlungen zur Implementierung. Im Bereich der Zugriffssicherheit gibt ISO 27002 konkrete Hinweise zu Themen wie Passwortrichtlinien, rollenbasierter Zugriffskontrolle und der Verwaltung externer Benutzer. Organisationen nutzen ISO 27002 als Referenzrahmen für die Konzeption und Verbesserung ihrer Sicherheitsmaßnahmen.

In welchem Zusammenhang steht die physische Zugangssicherheit mit den ISO-Normen?

Physische Zugangssicherheit ist ein integraler Bestandteil der ISO 27001 und wird in den Kontrollen zur physischen und umweltbezogenen Sicherheit explizit behandelt. Die Norm verpflichtet Organisationen, Maßnahmen zu ergreifen, um unbefugten physischen Zugriff auf sensible Bereiche, Geräte und Informationen zu verhindern. Beispiele hierfür sind die Zugangskontrolle in Serverräumen, Sicherheitszonen und an Arbeitsplätzen mit vertraulichen Informationen.

Zu den konkreten Maßnahmen, die ISO 27001 in Bezug auf den physischen Zugang erwartet, gehören:

  • Definition sicherer Zonen mit klaren Zugangsbeschränkungen
  • Nutzung von Zugangskontrollsystemen wie Karten, PIN-Codes oder Biometrie
  • Besucherregistrierung und -führung in Sicherheitsbereichen
  • Schutz der Ausrüstung vor unbefugtem Zugriff oder Diebstahl
  • Verfahren für die Verwaltung von Schlüsseln und Zugangsmitteln

Physische und logische Zugriffssicherheit werden in ISO-Normen als komplementär betrachtet. Eine strenge digitale Zugriffsrichtlinie ist wenig wert, wenn Unbefugte physischen Zugriff auf Server oder Arbeitsstationen haben. Die Norm empfiehlt Organisationen daher, beide Aspekte gemeinsam zu bewerten und abzusichern.

Wie erlangt eine Organisation eine ISO-Zertifizierung für Zugriffssicherheit?

Eine Organisation erlangt die ISO 27001-Zertifizierung durch die Einrichtung, Implementierung und das Audit eines vollständigen Informationssicherheits-Managementsystems (ISMS) durch eine akkreditierte Zertifizierungsstelle. Die Zugriffskontrolle ist einer der obligatorischen Schwerpunkte, die Zertifizierung deckt jedoch die gesamte Informationssicherheit der Organisation ab.

Der Zertifizierungsprozess verläuft im Wesentlichen in folgenden Schritten:

  1. Geltungsbereich definieren: Die Organisation legt fest, welche Systeme, Prozesse und Standorte unter das ISMS fallen.
  2. Führen Sie eine Risikoanalyse durch: Risiken im Zusammenhang mit der Informationssicherheit, einschließlich Zugriffsrisiken, werden identifiziert und bewertet.
  3. Maßnahmen umsetzen: Auf Grundlage der Risikoanalyse werden geeignete Kontrollmechanismen implementiert, wie z. B. Zugriffsrichtlinien, Authentifizierungssysteme und Protokollverwaltung.
  4. Interne Revision: Die Organisation selbst überprüft, ob das ISMS ordnungsgemäß funktioniert und dokumentiert ist.
  5. Externe Prüfung (Phase 1): Eine Zertifizierungsstelle prüft die Dokumentation und die Richtlinien.
  6. Externe Prüfung (Phase 2): Die tatsächliche Umsetzung und Funktionsweise der Maßnahmen werden in der Praxis erprobt.
  7. Ausstellung des Zertifikats: Bei positiver Bewertung erhält die Organisation das ISO 27001-Zertifikat, das drei Jahre gültig ist und jährlichen Überwachungsaudits unterliegt.

Eine sorgfältige Vorbereitung erfordert Zeit und Engagement von der gesamten Organisation. Die Zugriffskontrolle spielt dabei eine zentrale Rolle, da sie mit nahezu allen anderen Aspekten der Informationssicherheit verknüpft ist. Möchten Sie erfahren, wie Sellox Ihre Organisation beim Aufbau einer soliden Zugriffssicherheit unterstützen kann? Kontaktieren Sie uns und wir freuen uns, mit Ihnen gemeinsam zu denken.

Häufig gestellte Fragen

Muss jede Organisation nach ISO 27001 zertifiziert sein, um die gesetzlichen Anforderungen an die Zugriffssicherheit zu erfüllen?

Nein, eine ISO 27001-Zertifizierung ist in den meisten Fällen nicht gesetzlich vorgeschrieben, kann aber indirekt von Kunden, Partnern oder branchenspezifischen Vorschriften wie NIS2 oder DSGVO gefordert werden. Organisationen können die gesetzlichen Anforderungen auch ohne Zertifikat erfüllen, indem sie die Richtlinien der ISO 27001 und ISO 27002 als Orientierungshilfe nutzen. Eine Zertifizierung bietet jedoch einen nachweisbaren Vorteil: Sie gibt externen Parteien die Gewissheit, dass die Informationssicherheit, einschließlich der Zugriffskontrolle, professionell umgesetzt ist.

Wie lange dauert es im Durchschnitt, bis ein mittelständisches Unternehmen die ISO 27001-Zertifizierung erhält?

Für mittelständische Unternehmen dauert der Zertifizierungsprozess in der Regel zwischen sechs Monaten und zwei Jahren, abhängig vom aktuellen Reifegrad der Informationssicherheit, dem Umfang des Projekts und den verfügbaren internen Kapazitäten. Unternehmen mit einer bereits etablierten Zugriffsrichtlinie und entsprechenden Verfahren können diesen Prozess deutlich verkürzen. Ein schrittweises Vorgehen, bei dem die wichtigsten Kontrollmechanismen, wie beispielsweise das Zugriffsmanagement, zuerst implementiert werden, trägt dazu bei, den Prozess überschaubar zu halten.

Was sind die häufigsten Fehler, die Organisationen bei der Einrichtung der Zutrittskontrolle gemäß ISO 27001 begehen?

Ein häufiger Fehler ist die uneinheitliche Anwendung des Grundsatzes der minimalen Zugriffsrechte: Mitarbeitern werden mehr Rechte eingeräumt, als sie benötigen, oft aus Bequemlichkeit oder weil die Rechte nach einem Stellenwechsel nicht überprüft werden. Weitere häufige Fehler sind fehlende regelmäßige Zugriffsüberprüfungen, unzureichende Protokollierung von Zugriffsversuchen und das verspätete Entziehen von Zugriffsrechten bei Beendigung des Arbeitsverhältnisses. Ein strukturierter und dokumentierter Prozess zur Erteilung, Überprüfung und zum Entzug von Zugriffsrechten ist unerlässlich, um diese Fallstricke zu vermeiden.

Wie handhaben wir Zugriffsrechte für externe Mitarbeiter, Lieferanten oder Freiberufler im Rahmen der ISO 27001?

ISO 27001 fordert, dass Zugriffsrechte für externe Parteien mit der gleichen Sorgfalt wie die von internen Mitarbeitern verwaltet werden, jedoch mit besonderem Augenmerk auf die zeitliche Begrenzung und den Umfang dieses Zugriffs. In der Praxis bedeutet dies, separate Konten für externe Benutzer anzulegen, den Zugriff auf die für die jeweilige Aufgabe notwendigen Systeme und Daten zu beschränken und ein klares Enddatum oder einen Deaktivierungszeitpunkt für diesen Zugriff festzulegen. Vertragliche Vereinbarungen zur Informationssicherheit, wie beispielsweise eine Datenverarbeitungsvereinbarung oder eine Vertraulichkeitsklausel, stellen eine zusätzliche Anforderung im Rahmen des ISMS dar.

Ist die biometrische Zutrittskontrolle vollständig mit den ISO-Normen und der DSGVO konform?

Technisch gesehen ist biometrische Zugangskontrolle im Rahmen der ISO 27001 vollständig anwendbar und gilt sogar als starke Authentifizierungsmethode. Da biometrische Daten jedoch gemäß DSGVO als besondere Kategorien personenbezogener Daten eingestuft werden, gelten für deren Verarbeitung zusätzliche rechtliche Anforderungen, wie beispielsweise eine explizite Rechtsgrundlage und eine Datenschutz-Folgenabschätzung (DSFA). Organisationen, die Biometrie einsetzen, sollten daher auch die ISO 27701 konsultieren, die sich als Erweiterung der ISO 27001 speziell mit dem Datenschutzmanagement befasst.

Was passiert, wenn eine externe Prüfung ergibt, dass unser Zugriffsmanagement nicht ordnungsgemäß funktioniert?

Stellt ein Auditor Mängel in der Zugangskontrolle fest, werden diese als ‘Nichtkonformität’ eingestuft. Der Schweregrad kann von einer geringfügigen Abweichung bis hin zu einem schwerwiegenden Mangel reichen. Bei einer geringfügigen Nichtkonformität erhält das Unternehmen die Möglichkeit, innerhalb eines vereinbarten Zeitraums Verbesserungen umzusetzen, ohne dass die Zertifizierung unmittelbar gefährdet ist. Eine schwerwiegende Nichtkonformität, wie beispielsweise das vollständige Fehlen einer Zugangsrichtlinie oder von Zugangsüberprüfungen, kann zur Verschiebung oder zum Entzug der Zertifizierung führen, bis das Problem nachweislich behoben ist.

Wie können wir unsere Zutrittsrichtlinie nach Erhalt der ISO 27001-Zertifizierung auf dem neuesten Stand halten?

Nach der Zertifizierung sind jährliche Überwachungsaudits verpflichtend. Dies bedeutet, dass die Zugriffsrichtlinie stets aktuell und nachweislich wirksam sein muss. In der Praxis umfasst dies regelmäßige Zugriffsüberprüfungen (mindestens jährlich oder bei jedem Rollenwechsel), die Anpassung der Richtlinie an organisatorische Veränderungen oder neue Technologien sowie die lückenlose Dokumentation aller Änderungen. Die Integration des Zugriffsmanagements in reguläre HR- und IT-Prozesse, wie z. B. Onboarding und Offboarding, stellt sicher, dass die Richtlinie im Unternehmen gelebt wird und nicht nur auf dem Papier existiert.