Preslikava na ISO/IEC 27001:2022 in BSI IT-Grundschutz
Kdor upravlja sistem upravljanja informacijske varnosti (SUVI) po ISO/IEC 27001 ali po BSI IT-Grundschutz, vsakemu ukrepu pripiše izvedbo in dokazila. Preglednici prikazujeta, katere funkcije WKL Database Gateway Manager prispevajo k posameznemu ukrepu, kakšen dokaz pri tem nastane in kaj ostane pri vas. Ne nadomeščata ne izjave o uporabnosti ne preverjanja IT-Grundschutz.
Ukrepi so navedeni s številko in angleškim naslovom iz ISO/IEC 27001:2022, Priloga A; slovenski standard SIST EN ISO/IEC 27001:2023 (Sistemi upravljanja informacijske varnosti – Zahteve) uporablja iste številke. Moduli BSI so iz zbirke IT-Grundschutz-Kompendium, izdaja 2023.
ISO/IEC 27001:2022, Priloga A
| Ukrep | Kaj prispeva aplikacija | Dokaz | Kaj ostane pri vas |
|---|---|---|---|
| A.5.15 Access control | pravila po osebi in objektu (tabela, pogled, metoda); pravilnik za prijavo po omrežju in načinu prijave | poročilo Rechteübersicht (Pregled pravic) | politika nadzora dostopa; pravice v podatkovnih zbirkah |
| A.5.16 Identity management | osebe z računom Windows, prijavo SQL in ključi na enem mestu; uvoz več oseb | poročilo Rechteübersicht; delovni seznam Ohne Zugang (Brez dostopa) | življenjski cikel identitet v Active Directory in SQL Server |
| A.5.17 Authentication information | ključi le kot enkratna povezava in kot zgoščena vrednost SHA-256 v shrambi; datum poteka; ponovna izdaja namesto ponovne uporabe | zavihek Schlüssel (Ključi) po osebi; poročilo Rechteübersicht | pravila za predajo povezav osebam |
| A.5.18 Access rights | dodeljevanje, spreminjanje in odvzem pravic; več oseb hkrati; delovna seznama Ohne Regel (Brez pravila) in Ohne Zugang | poročili Verwaltungsänderungen (Spremembe upravljanja) in Austritte und Sperren (Odhodi in zaklepanja) | redni pregled pravic s strani odgovornih |
| A.5.19 Information security in supplier relationships | podatki proizvajalca, kontaktna točka za ranljivosti, obdobje podpore | Informativni list o dobavitelju | ocena in izbira dobavitelja |
| A.5.20 Addressing information security within supplier agreements | obveznosti proizvajalca po Aktu o kibernetski odpornosti | Informacije o izdelku in varnosti po Prilogi II CRA | pogodba z dobaviteljem ali prodajnim partnerjem |
| A.5.21 Managing information security in the ICT supply chain | sestavni deli dobave s proizvajalcem; kosovnice programske opreme, če jih dobava vsebuje | Informativni list o dobavitelju, razdelek „Celovitost in sestava“ | ocena sestavnih delov, na primer glede znanih ranljivosti; Priporočila za upravljanje tveganj dobavnih verig (URSIV, različica 1.0, avgust 2026) kot praktični pripomoček, ki sam po sebi ne pomeni skladnosti z ZInfV-1 |
| A.5.22 Monitoring, review and change management of supplier services | spremembe vsake različice v seznamu sprememb; varnostna obvestila proizvajalca | Spremembe; SECURITY.sl.md | pregled novih različic pred uvedbo |
| A.8.2 Privileged access rights | pravica do upravljanja kot lastno pravilo z virom admin; podatkovni prehod zanjo vedno zahteva drugi faktor | poročilo Rechteübersicht (kdo ima admin); poročilo Verwaltungsänderungen (kaj so storili) | malo skrbnikov; pravice na strežniku in na datoteki shrambe |
| A.8.5 Secure authentication | drugi faktor (TOTP); pravilnik za prijavo, na primer „od zunaj le s kodo“; zaklepanje po neuspelih poskusih v podatkovnem prehodu | poročilo MFA-Abdeckung (Pokritost z MFA) | odločitev, kje je koda potrebna |
| A.8.8 Management of technical vulnerabilities | usklajeno razkritje ranljivosti in brezplačne popravne različice proizvajalca | SECURITY.sl.md | uvedba novih različic; posodabljanje Accessa in Windows |
| A.8.15 Logging | dnevnik sprememb z izvajalcem in vrednostmi pred spremembo in po njej; revizijska sled vsakega dostopa | zavihka Änderungsprotokoll (Dnevnik sprememb) in Audit (Revizijska sled); poročila za obdobje | hramba in zaščita dnevnikov (ZInfV-1: vsaj šest mesecev); dnevnik sprememb ni zaščiten pred ponarejanjem |
| A.8.16 Monitoring activities | področje Anmeldungen (Prijave) z zavrnitvami in izvorom; kartica Abgewiesene Anfragen (Zavrnjene zahteve) na pregledu | področje Anmeldungen, zavihek Audit | kdo pregleduje, kako pogosto in kako se odziva na nepravilnosti |
BSI IT-Grundschutz
| Modul | Kaj prispeva aplikacija | Dokaz | Kaj ostane pri vas |
|---|---|---|---|
| ORP.4 Identitäts- und Berechtigungsmanagement | osebe, ključi, pravila in dodelitve na enem mestu; odhod s Person sperren … (Zakleni osebo …); ključi z datumom poteka | poročili Rechteübersicht in Austritte und Sperren | postopki ob prihodu, premestitvi in odhodu; imeniška storitev in podatkovne zbirke |
| OPS.1.1.3 Patch- und Änderungsmanagement | nove različice le prek mape dobave, ki jo napolnite vi; vrnitev na prejšnjo različico je mogoča | Uvedba nove različice | postopek in roki za uvedbo |
| OPS.1.1.5 Protokollierung | dnevnik sprememb in revizijska sled podatkovnega prehoda, berljiva v aplikaciji; vsi časi v UTC | zavihka Änderungsprotokoll in Audit; poročila za obdobje | koncept beleženja, hramba, vrednotenje |
| DER.2.1 Behandlung von Sicherheitsvorfällen | takojšnje zaklepanje osebe ali ključa; končanje sej; blokiranje izvora; dnevniki za sledenje | poročili Austritte und Sperren in Verwaltungsänderungen; zavihek Audit | postopek ob incidentih, poti poročanja, priglasitev pristojni skupini CSIRT |
Sorodne teme
sl/wiki/data-conectivity/database-gateway/admin/security-and-evidence/iso-27001-and-grundschutz.txt · Zadnja sprememba: uporabnika Wolfgang van der Stille