Maßnahme · ISO 27001
Sicherheitsregeln im Betrieb prüfen
Eine geltende interne Regel mit ihrer tatsächlichen Anwendung vergleichen und Abweichungen im vorhandenen Vorgang wirksam korrigieren.
Vorhandene Unterlagen nutzen
Nutze vorhandene Berechtigungsprüfungen, Konfigurationskontrollen oder betriebliche Stichproben. Ergebnis und Korrektur bleiben im gleichen Review, Finding oder Ticket.
Was du konkret tun musst
- 1
Regel und passende Prüfung wählen
Benenne die gültige Vorgabe, ihren betroffenen Bestand und die zuständige Rolle. Lege eine angemessene regelmäßige Prüfung fest und nutze vorhandene Kontrollmöglichkeiten; automatische Messung oder Berichte können die Arbeit erleichtern.
- 2
Tatsächliche Anwendung vergleichen
Prüfe einen geeigneten aktuellen Umfang gegen die Vorgabe. Halte Stand, geprüfte Stichprobe und Ergebnis im bestehenden Vorgang fest. Eine unterschriebene Richtlinie oder ein Schulungsnachweis allein zeigt keine Einhaltung.
- 3
Ursache und Wirksamkeit nachhalten
Kläre die Ursache einer Abweichung, entscheide erforderliche Korrekturen, führe sie aus und prüfe ihre Wirksamkeit. Bearbeite risikogerecht. Ist die Arbeit beim nächsten Review noch offen, bewerte zumindest den Fortschritt. Halte Ergebnisse für unabhängige Prüfungen verfügbar.
Praxisbeispiel
Beispiel aus dem Betrieb
Fiktives Beispiel: Die interne Regel verlangt MFA für externe Zugänge. Der Serviceverantwortliche vergleicht diese Vorgabe mit den aktiven Kontoeinstellungen.
- Abweichendes Konto
- FestlegungDer bestehende IT-Vorgang enthält Ursache, aktivierte MFA und den erfolgreichen geprüften Anmeldeweg.
- NachweisPrüfumfang, Ergebnis und wirksame Korrektur im selben Vorgang.
Ergebnis festhalten
- Gültige Regel und nachvollziehbarer Vergleich mit der tatsächlichen Anwendung.
- Dokumentierte Ursachen, Korrekturen und Wirksamkeitsprüfung bei Abweichungen.
Häufige Fehler bei der Umsetzung
Richtlinienreview mit Anwendungskontrolle verwechseln
Der passende Text und seine Freigabe gehören zu A.5.1. Hier wird geprüft, ob der betroffene Betrieb tatsächlich danach arbeitet.
Bezug zur Anforderung
Die Zuordnungen zeigen, zu welchen Anforderungen diese Maßnahme beiträgt.
Controls und Standards ansehen
- A.5.36 · Einhaltung von Richtlinien, Regeln und Standards für die Informationssicherheit
Der Ablauf unterstützt regelmäßige Prüfung geltender interner Regeln durch die verantwortlichen Bereiche, Ursachenklärung, Umsetzung und Wirksamkeit von Korrekturen sowie Aufbewahrung der Ergebnisse.
