Zum Hauptinhalt springen
Alle Maßnahmen

Maßnahme · ISO 27001 und weitere Standards

Systemänderung prüfen und kontrolliert übernehmen

Verbinde Anforderungen, sicheren Entwurf, Entwicklung und Abnahme mit der kontrollierten Übernahme. Nutze den vorhandenen Änderungsauftrag oder Entwicklungsvorgang für den geprüften Stand und seine Folgearbeit.

Verantwortlich: Verantwortliche für das System mit Fachbereich, Entwicklung und IT-BetriebFachlich geprüft am

Vorhandene Unterlagen nutzen

Nutze eure Entwicklungswerkzeuge, Versionsverwaltung und vorhandenen Änderungsvorgänge weiter. Die gemeinsame Richtlinie führt den Ablauf. Berechtigungen, Informationsschutz und Lieferantensteuerung bleiben an ihren führenden Stellen. Eine neue Policy, Changeliste oder Abnahmevorlage pro Control ist nicht erforderlich.

Was du konkret tun musst

  1. 1

    Anforderungen und sicheren Entwurf festlegen

    Öffne den vorhandenen Vorgang und beschreibe Zweck, betroffene Systeme, Informationen und Abhängigkeiten. Leite Sicherheitsanforderungen und prüfbare Kriterien ab und lass den maßgeblichen Stand bestätigen. Kläre an Datenfluss und Schnittstellen, wo Zugriffe, Eingaben und Fehler behandelt werden. Nutze anwendbare Grundsätze wie minimale Rechte und sichere Voreinstellungen. Prüfe, ob Schutzmaßnahmen zusammenwirken und welche Abweichungen entschieden werden müssen. Vereinbare bei beauftragter Entwicklung passende Regeln, Liefergegenstände, Nutzungsrechte und Nachweise über die bestehende Lieferantensteuerung.

  2. 2

    Code, Entwicklungszugriffe und Komponenten beherrschen

    Nutze die festgelegten sicheren Praktiken für eure Sprachen und Werkzeuge. Prüfe relevante Fehler, etwa fehlende serverseitige Berechtigungen, unsichere Datenbankaufrufe oder Geheimnisse im Code. Halte Komponenten und Versionen aus vertrauenswürdigen Quellen nachvollziehbar und bearbeite bekannte Schwachstellen. Vergib Lese- und Schreibrechte auf Code, Bibliotheken und Entwicklungswerkzeuge getrennt nach Aufgabe, auch für technische Identitäten. Lass Rechte und Änderungen nach dem führenden Berechtigungsablauf freigeben, setze sie im Zielsystem um und prüfe ihre Wirkung. Halte Zugriffe und Codeänderungen dort nachvollziehbar protokolliert.

  3. 3

    Umgebungen und Testinformationen vorbereiten

    Richte risikogerechte Schutzgrenzen zwischen Entwicklung, Test und Produktion sowie kontrollierte Übernahmewege ein. Prüfe mit passenden Rollen, ob unerlaubte Zugriffe oder Änderungen möglich sind. Schütze auch Entwicklungswerkzeuge und Testumgebungen. Wähle möglichst künstliche, für den Prüffall geeignete Daten. Kläre jede benötigte betriebliche Kopie gesondert, begrenze Zugriffe, entferne oder maskiere sensible Inhalte soweit möglich und halte Kopieren und Nutzung nachvollziehbar. Plane ihre sichere Entfernung nach dem Test.

  4. 4

    Sicherheit prüfen und den konkreten Stand abnehmen

    Teste erwartete und unerlaubte Fälle gegen die bestätigten Anforderungen unter passenden Zielbedingungen. Wähle manuelle oder automatisierte Methoden nach Technik und Auswirkung. Prüfe auch geeignete Konfiguration und Komponenten. Halte Version, Ergebnis, Fehler und Nachtests im vorhandenen Vorgang. Bei Eigenentwicklung kommt eine unabhängige Abnahme zur Entwicklerprüfung hinzu. Prüfe beauftragte Lieferungen gegen die vereinbarten Kriterien und kläre verbleibende Abweichungen, bevor die befugte Rolle entscheidet. Ein grüner Scannerbericht oder Anbieterzertifikat ersetzt diese Entscheidung nicht.

  5. 5

    Den freigegebenen Stand kontrolliert übernehmen

    Plane Zeitpunkt, zuständige kompetente Administration und einen gangbaren Rücknahme- oder Ersatzweg. Prüfe Quelle, Integrität und Wartungsstand des vorgesehenen Releases. Übernimm nur den getesteten und autorisierten Stand mit den nötigen Rechten. Halte tatsächlich installierte Version, Konfiguration und Updates nachvollziehbar protokolliert. Bewahre benötigte Altstände samt Einstellungen und Abhängigkeiten für Rücknahme und die Verarbeitung aufbewahrter Daten auf. Gib externen Installierenden nur erforderliche freigegebene Zugänge und überwache die Arbeit. Dringende Änderungen bleiben entschieden und kontrolliert; ausgelassene Arbeit wird gezielt nachgeholt.

  6. 6

    Ergebnis prüfen und Pflege weiterführen

    Prüfe nach der Übernahme betroffene Funktionen und Schutzmaßnahmen. Nutze bei untragbaren Folgen den vorbereiteten Rücknahmeweg. Passe Betriebs- und nötige Wiederanlaufunterlagen an. Entferne nicht mehr benötigte Zugänge und betriebliche Testkopien nach den führenden Regeln und halte den Abschluss fest. Verfolge verbleibende Korrekturen am betroffenen Stand. Prüfe später neue Schwachstellen, Komponenten- und Technikänderungen und leite nötige Anpassungen im selben Entwicklungs- und Änderungsablauf ein.

Praxisbeispiel

Beispiel: Eine Anwendung erhält einen Datenexport

Ein Team ergänzt einen bestehenden Dienst um einen Export. Der vorhandene Entwicklungsvorgang verbindet Anforderungen, Codeprüfung, Test und Übernahme.

Anforderung und Entwurf
FestlegungNur die freigegebene Rolle darf Daten ihrer eigenen Organisation exportieren. Die Prüfung liegt serverseitig; Fehler dürfen keine fremden Daten oder Zugangsinformationen preisgeben.
NachweisBestätigte Anforderung und Entwurfsentscheidung stehen am Entwicklungsvorgang.
Prüfung und Abnahme
FestlegungDas Team testet erlaubten Export, fremde Datensatzbezüge, manipulierte Anfragen und Fehlerfälle mit künstlichen Daten. Eine unabhängige Person nimmt die Eigenentwicklung am geprüften Stand ab.
NachweisTestfälle, konkrete Version, Ergebnisse, Korrektur und Nachtest sowie Abnahme sind verknüpft.
Übernahme und Ergebnis
FestlegungDie berechtigte Administration übernimmt den freigegebenen Stand und prüft den Export im Betrieb. Der vorher vorbereitete Rücknahmeweg bleibt verfügbar.
NachweisInstallierter Stand, Konfiguration, Ergebnisprüfung und nötige Folgearbeit bleiben im Änderungsvorgang nachvollziehbar.

Ergebnis festhalten

  • Der vorhandene Vorgang verbindet bestätigte Anforderungen und Entwurfsentscheidungen mit dem tatsächlich geprüften Code- oder Lieferstand.
  • Zugänge, Umgebungen und Testinformationen sind passend geschützt. Technische Identitäten und externe Zugänge sind ebenso berücksichtigt wie Personenrechte.
  • Tests, korrigierte Fehler, Nachtests und die passende Abnahme beziehen sich auf den konkreten Stand. Offene Abweichungen sind entschieden.
  • Die tatsächliche Übernahme, Ergebnisprüfung und nötige Rücknahme sind nachvollziehbar. Betriebsunterlagen, Testkopien, Zugänge und spätere Pflege werden geordnet weitergeführt.

Häufige Fehler bei der Umsetzung

Ein vorhandenes Tool als Prüfung behandeln

Eine Pipeline, ein Scanner oder ein Container belegt nicht automatisch sichere Entwicklung. Prüfe die relevanten Anforderungen und die tatsächliche Wirkung.

Die eigene Entwicklerprüfung als einzige Abnahme nutzen

Organisiere bei Eigenentwicklung eine unabhängige Abnahme am geprüften Stand. Dafür ist nicht pauschal ein externer Dienstleister nötig.

Für Entwicklung und Betrieb dieselben Vollrechte nutzen

Begrenze Personen- und technische Identitäten nach Aufgabe. Prüfe Freigaben und die tatsächliche Durchsetzung im Repository, Entwicklungswerkzeug und Zielsystem.

Eine Umsetzung für mehrere Anforderungen nutzen

Die Zuordnungen zeigen, zu welchen Anforderungen diese Maßnahme beiträgt.

Controls und Standards ansehen
  • A.8.4 · Zugang zu Quellcode

    Schritt 2 trennt Lese- und Schreibrechte für Code, Werkzeuge und Bibliotheken einschließlich technischer Identitäten. Freigabe, Durchsetzung und protokollierte Prüfung bleiben tatsächliche Arbeit im Zielsystem.

  • A.8.19 · Installation von Software auf Betriebssystemen

    Schritte 5 und 6 verbinden autorisierte kompetente Installation, vertrauenswürdigen geprüften Release, Konfiguration, Updateprotokollierung, Rücknahme, benötigte Altstände und kontrollierte externe Zugänge. Das tatsächliche Installationsverfahren muss eingerichtet und ausgeführt werden.

  • A.8.25 · Sicherer Entwicklungslebenszyklus

    Die Schritte verbinden Anforderungen, Entwurf, sichere Entwicklung, geschützte Umgebungen, Prüfung, Übernahme und Pflege im bestehenden Ablauf. Passende technische Regeln und deren Anwendung bleiben notwendig.

  • A.8.26 · Anforderungen an die Anwendungssicherheit

    Schritt 1 führt zu beschriebenen und bestätigten Sicherheitsanforderungen und prüfbaren Kriterien vor Entwicklung oder Beschaffung. Auswahl und Abnahme müssen auf den tatsächlichen Einsatz bezogen werden.

  • A.8.27 · Sichere Systemarchitektur und technische Grundsätze

    Schritt 1 prüft Schutzpunkte an Datenflüssen und Schnittstellen sowie das Zusammenwirken der Grundsätze. Der passende tatsächliche Systementwurf und entschiedene Ausnahmen bleiben erforderlich.

  • A.8.28 · Sicheres Coding

    Schritt 2 verbindet anwendbare Coding-Praktiken, konkrete Fehlerprüfung und Komponentenpflege mit dem Versionsstand. Die technischen Praktiken und wirksamen Codeprüfungen müssen im Entwicklungswerkzeug angewandt werden.

  • A.8.29 · Sicherheitstests in Entwicklung und Abnahme

    Schritt 4 verbindet anforderungsbezogene Tests, Ergebnisse, Nachtests und unabhängige Abnahme bei Eigenentwicklung. Tatsächliche Testfälle und Ergebnisse sind auszuführen und zu erhalten.

  • A.8.30 · Ausgelagerte Entwicklung

    Schritte 1 und 4 verbinden beauftragte Entwicklung mit vereinbarten Anforderungen, Liefergegenständen, Nutzungsrechten und Prüfung der tatsächlichen Lieferung. Die laufende Lieferantensteuerung wird wiederverwendet.

  • A.8.31 · Trennung von Entwicklungs-, Test- und Produktionsumgebungen

    Schritt 3 und die kontrollierte Übernahme in Schritt 5 verbinden risikogerechte Umgebungsgrenzen, Zugänge und tatsächliche Prüfung unerlaubter Übergänge. Die technische Trennung wird dadurch nicht automatisch hergestellt.

  • A.8.32 · Änderungsmanagement

    Der Ablauf verbindet Auswirkungen, Anforderungen, Prüfung, Entscheidung, kontrollierte Übernahme, Rücknahme und Ergebnisprüfung im bestehenden Änderungsvorgang. Reale Durchführung und Folgearbeit bleiben nötig.

  • A.8.33 · Testinformationen

    Schritt 3 und der Abschluss in Schritt 6 verbinden geeignete Testinformationen, gesonderte Erlaubnis betrieblicher Kopien, Schutz, nachvollziehbare Nutzung und sichere Entfernung. Gesetzliche Anforderungen werden dadurch nicht automatisch erfüllt.

  • TISAX · 5.2.1

    VDA ISA 6.0.3 · Teilweise Überschneidung

    Der konkrete Änderungsvorgang unterstützt Sicherheitsanforderungen, Auswirkungsprüfung, Freigabe, Tests, Rücknahme und Ergebnisprüfung. Reale Durchführung und anwendbare zusätzliche Anforderungen bleiben erforderlich.

    Referenz

  • TISAX · 5.2.2

    VDA ISA 6.0.3 · Teilweise Überschneidung

    Schritt 3 verbindet risikogerechte Trennung und Schutz von Entwicklungs-, Test- und Produktivumgebungen. Die tatsächliche Risikobeurteilung, Segmentierung und technische Umsetzung sind weiterhin nachzuweisen.

    Referenz

Vorlagen für die Umsetzung

Dazu passend

Quellen und weiterführende Informationen