Zuordnung zu ISO/IEC 27001:2022 und BSI IT-Grundschutz
Wer ein Informationssicherheits-Managementsystem nach ISO/IEC 27001 oder nach BSI IT-Grundschutz betreibt, ordnet jedem Baustein seine Umsetzung und seine Nachweise zu. Die Tabellen zeigen, welche Funktionen von WKL Database Gateway Manager zu welchen Maßnahmen beitragen, welcher Nachweis dazu entsteht und was bei Ihnen bleibt. Sie ersetzen weder Ihre Erklärung zur Anwendbarkeit noch Ihren IT-Grundschutz-Check.
Die Maßnahmen sind mit Nummer und englischem Titel aus ISO/IEC 27001:2022, Anhang A, genannt; die deutsche Fassung DIN EN ISO/IEC 27001:2024 verwendet dieselben Nummern. Die Bausteine des BSI stammen aus dem IT-Grundschutz-Kompendium, Edition 2023.
ISO/IEC 27001:2022, Anhang A
| Maßnahme | Beitrag der Anwendung | Nachweis | Beim Betreiber |
|---|---|---|---|
| A.5.15 Access control | Regeln je Person und Objekt (Tabelle, Sicht, Methode); Anmelderichtlinie je Netz und Anmeldeverfahren | Bericht Rechteübersicht | Zugangssteuerungsrichtlinie; Berechtigungen in den Datenbanken |
| A.5.16 Identity management | Personen mit Windows-Konto, SQL-Anmeldung und Schlüsseln an einer Stelle; Personenimport für viele Personen | Bericht Rechteübersicht; Arbeitsliste Ohne Zugang | Lebenszyklus der Identitäten in Active Directory und SQL Server |
| A.5.17 Authentication information | Schlüssel nur als Einmal-Link und als SHA-256-Hash im Speicher; Ablaufdatum; neu ausstellen statt wiederverwenden | Register Schlüssel je Person; Bericht Rechteübersicht | Regeln zur Weitergabe der Links an die Personen |
| A.5.18 Access rights | Rechte vergeben, ändern und entziehen; viele Personen auf einmal; Arbeitslisten Ohne Regel und Ohne Zugang | Berichte Verwaltungsänderungen und Austritte und Sperren | regelmäßige Überprüfung der Rechte durch die Verantwortlichen |
| A.5.19 Information security in supplier relationships | Angaben des Herstellers, Anlaufstelle für Schwachstellen, Unterstützungszeitraum | Lieferanten-Faktenblatt | Bewertung und Auswahl des Lieferanten |
| A.5.20 Addressing information security within supplier agreements | Pflichten des Herstellers nach der Cyberresilienz-Verordnung | Produkt- und Sicherheitsinformation nach CRA Anhang II | Vertrag mit dem Lieferanten oder Vertriebspartner |
| A.5.21 Managing information security in the ICT supply chain | Bestandteile der Lieferung mit Hersteller; Software-Stücklisten, wenn die Lieferung sie enthält | Lieferanten-Faktenblatt, Abschnitt „Integrität und Zusammensetzung“ | Bewertung der Bestandteile, etwa gegen bekannte Schwachstellen |
| A.5.22 Monitoring, review and change management of supplier services | Änderungen jeder Version im Änderungsverlauf; Sicherheitshinweise des Herstellers | Änderungen; SECURITY.de.md | Prüfen neuer Versionen vor dem Einspielen |
| A.8.2 Privileged access rights | Recht zur Verwaltung als eigene Regel mit der Ressource admin; der Datendienst verlangt dafür immer einen zweiten Faktor | Bericht Rechteübersicht (wer admin hat); Bericht Verwaltungsänderungen (was sie getan haben) | wenige Administratoren; Rechte am Server und an der Speicherdatei |
| A.8.5 Secure authentication | zweiter Faktor (TOTP); Anmelderichtlinie, etwa „von außen nur mit Code“; Sperre nach Fehlversuchen durch den Datendienst | Bericht MFA-Abdeckung | Entscheidung, wo ein Code verlangt wird |
| A.8.8 Management of technical vulnerabilities | koordinierte Offenlegung und kostenlose Korrekturversionen des Herstellers | SECURITY.de.md | Einspielen neuer Versionen; Aktualisieren von Access und Windows |
| A.8.15 Logging | Änderungsprotokoll mit Akteur und Werten vorher und nachher; Audit jedes Zugriffs | Register Änderungsprotokoll und Audit; Zeitraumberichte | Aufbewahrung und Schutz der Protokolle; das Änderungsprotokoll ist nicht fälschungssicher |
| A.8.16 Monitoring activities | Bereich Anmeldungen mit Abweisungen und Herkunft; Karte Abgewiesene Anfragen der Übersicht | Bereich Anmeldungen, Register Audit | wer wie oft hinsieht und wie auf Auffälligkeiten reagiert wird |
BSI IT-Grundschutz
| Baustein | Beitrag der Anwendung | Nachweis | Beim Betreiber |
|---|---|---|---|
| ORP.4 Identitäts- und Berechtigungsmanagement | Personen, Schlüssel, Regeln und Zuordnungen an einer Stelle; Austritt mit Person sperren …; Schlüssel mit Ablaufdatum | Berichte Rechteübersicht und Austritte und Sperren | Prozesse für Eintritt, Wechsel und Austritt; Verzeichnisdienst und Datenbanken |
| OPS.1.1.3 Patch- und Änderungsmanagement | neue Versionen nur über den Lieferordner, den Sie befüllen; Rückkehr zur vorigen Version möglich | Eine neue Version einspielen | Ablauf und Fristen für das Einspielen |
| OPS.1.1.5 Protokollierung | Änderungsprotokoll und Audit des Datendienstes, in der Anwendung lesbar; alle Zeiten in UTC | Register Änderungsprotokoll und Audit; Zeitraumberichte | Protokollierungskonzept, Aufbewahrung, Auswertung |
| DER.2.1 Behandlung von Sicherheitsvorfällen | Person oder Schlüssel sofort sperren; Sitzungen beenden; Herkunft sperren; Protokolle zum Nachvollziehen | Berichte Austritte und Sperren und Verwaltungsänderungen; Register Audit | Vorfallprozess, Meldewege, Meldung an das BSI |
Verwandte Themen
de/wiki/data-conectivity/database-gateway/admin/security-and-evidence/iso-27001-and-grundschutz.txt · Zuletzt geändert: von Wolfgang van der Stille