Maßnahme · ISO 27001
Betriebsanweisungen am Systembestand führen
Brauchbare Betriebsanweisungen, Zuständigkeiten und sichere Konfiguration am vorhandenen Dienst verbinden. Fehlende Angaben gezielt ergänzen.
Vorhandene Unterlagen nutzen
Nutze vorhandene Dienstunterlagen, Konfigurationsprofile, Jobs und Vorgänge. Die Betriebsrichtlinie führt gemeinsame Anforderungen, die Dienstanweisung ihre konkrete Ausführung.
Was du konkret tun musst
- 1
Bestand und Zuständigkeiten verbinden
Wähle einen zusammengehörigen Dienst oder Standort aus dem vorhandenen Bestand. Prüfe Verantwortung, Versionen, Abhängigkeiten und Schutzanforderungen. Verlinke vorhandene brauchbare Anweisungen. Priorisiere seltene oder riskante Tätigkeiten, Aufgaben mit mehreren Ausführenden und Übergaben an Vertretungen.
- 2
Ausführbare Anweisungen vervollständigen
Ergänze am Dienst nur fehlende Angaben: zuständige Rollen, Voraussetzungen, sichere Einrichtung, Durchführung, erwartete Ergebnisse, Zeitabhängigkeiten und Fehlerbehandlung. Beziehe benötigte Sicherungs-, Medien-, Neustart-, Protokollierungs-, Überwachungs- und Wartungsschritte ein. Halte freigegebene sichere Zielkonfigurationen dort führend fest und verweise auf Zugriffs-, Informationsschutz-, Lösch-, Änderungs- und Wiederanlaufregeln.
- 3
Geräte- und Schadsoftwareschutz konkret einrichten
Lege je Gerätegruppe die freigegebenen Einstellungen fest und setze sie technisch um: erlaubte Software und Updates, Zugriffe und Sperren, Netzwerkverbindungen, Verschlüsselung passend zum Schutzbedarf, Sicherung und nötige Einschränkungen für lokale oder wechselbare Speicher. Nutze bei erlaubten privaten Geräten die führenden BYOD-Regeln zu Trennung und Befugnissen. Richte aktuellen Schadsoftwareschutz für betroffene Endgeräte, Server und Datei-, Mail- oder Webwege ein. Prüfe Schutzstatus und einen geeigneten ungefährlichen Testalarm. Begründe technisch nötige Ausnahmen mit Freigabe, Ersatzschutz und erneuter Prüfung; nutze vorhandene Melde- und Wiederanlaufwege.
- 4
Nutzbarkeit und tatsächlichen Zustand prüfen
Lass eine befugte Vertretung den Ablauf finden und nachvollziehen. Prüfe erforderliche Erreichbarkeit auch für das vorgesehene Ausfallszenario. Vergleiche die reale Konfiguration mit dem Zielzustand und bearbeite Abweichungen im vorhandenen Betriebsvorgang. Gib Änderungen kontrolliert frei und prüfe Anweisungen bei Bedarf erneut. Ein zweites Inventar oder eigenes Protokoll je Schritt ist nicht nötig. Halte Konfigurationsversion, wesentliche Änderungen und Abhängigkeiten am geschützten bestehenden Bestand nachvollziehbar. Prüfe regelmäßig sowie bei neuen Versionen oder Bedrohungen und aktualisiere passende Profile. Die Nutzenden kennen sicheren Umgang sowie den Meldeweg bei verdächtigen Dateien, Diebstahl oder Verlust.
Praxisbeispiel
Eine seltene Wiederherstellung
Fiktives Beispiel: Eine Vertretung soll eine unterbrochene Verarbeitung sicher neu starten.
- Neustart
- FestlegungDie Anweisung nennt Voraussetzungen, abhängige Dienste, Schritte, Erfolgskontrolle und den Eskalationskontakt für Fehler.
- NachweisErreichbarer freigegebener Stand und nachvollziehbar geprüfte Anwendung im bestehenden Betriebsvorgang.
Ergebnis festhalten
- Gültige erreichbare Anweisung mit der nötigen konkreten Ausführung und Fehlerbehandlung.
- Geprüfte Nutzbarkeit, reale Konfiguration und kontrolliert übernommene Änderungen.
Häufige Fehler bei der Umsetzung
Eine allgemeine Richtlinie als Runbook behandeln
Die Richtlinie ersetzt keine Systemparameter und ausführbaren Schritte am konkreten Dienst. Verlinke die führende Regel und ergänze nur die konkrete Ausführung.
Eine Umsetzung für mehrere Anforderungen nutzen
Die Zuordnungen zeigen, zu welchen Anforderungen diese Maßnahme beiträgt.
Controls und Standards ansehen
- A.5.37 · Dokumentierte Betriebsverfahren
Vorhandene Verfahren werden anhand der nötigen Tätigkeiten vervollständigt, erreichbar gehalten, in der Anwendung geprüft und kontrolliert aktualisiert.
- A.8.9 · Konfigurationsmanagement
Sichere Zielkonfiguration und tatsächlicher Zustand werden am bestehenden Systembestand verbunden. Technische Durchsetzung und Behandlung von Abweichungen bleiben konkrete Betriebsarbeit.
- A.8.1 · Endbenutzergeräte
Der Ablauf verbindet den Gerätebestand mit erlaubter Nutzung, technisch umgesetzter sicherer Konfiguration, Schutz, Unterweisung und Verlust- oder Vorfallweg. BYOD nutzt die führenden Regeln.
- A.8.7 · Schutz vor Schadsoftware
Schutzmaßnahmen werden am tatsächlichen Geräte- und Übertragungsbestand eingerichtet, aktuell und funktionsfähig gehalten. Nutzerhinweise, begründete Ausnahmen und Reaktionswege ergänzen die Software.
