{"id":6321,"date":"2023-01-09T09:42:55","date_gmt":"2023-01-09T07:42:55","guid":{"rendered":"https:\/\/www.psw-consulting.de\/blog\/?p=6321"},"modified":"2023-01-10T16:37:51","modified_gmt":"2023-01-10T14:37:51","slug":"iso-27002-27001-update-was-ist-neu","status":"publish","type":"post","link":"https:\/\/www.psw-consulting.de\/blog\/iso-27002-27001-update-was-ist-neu\/","title":{"rendered":"ISO 27002\/27001 Update \u2013 Was ist neu?"},"content":{"rendered":"

Nach neun Jahren wurde die ISO 27002 grundlegend \u00fcberarbeitet und in allen Bereichen aktualisiert. In einem 4-j\u00e4hrigen Projekt von 2018 bis 2022 wurden umfangreiche \u00c4nderungen, sowohl an der Struktur, wie auch beim Inhalt der ISO 27002 vorgenommen. Die ISO 27001 wurde in diesem Zusammenhang k\u00fcrzlich ebenfalls \u00fcberarbeitet und an die neue Harmonized Structure<\/strong> angepasst. Bisher liegen die beiden Normen nur in englischer Sprache vor. Im nachfolgenden Artikel geben wir Euch einen guten \u00dcberblick \u00fcber die \u00c4nderungen.<\/p>\n

 <\/p>\n

ISO 27002 \u00c4nderungen: Der inhaltliche Aufbau und die Neustrukturierung der neuen Norm<\/h3>\n

Die erste \u00c4nderung, die gleich ins Auge sticht, ist die \u00c4nderung des Titels. Die Anpassung des Titels von fr\u00fcheren Versionen „Informationstechnik \u2013 Sicherheitsverfahren \u2013 Leitfaden f\u00fcr Informationssicherheitsma\u00dfnahmen“ auf „Informationssicherheit, Cybersicherheit und Datenschutz \u2013 Informationssicherheitsma\u00dfnahmen“ macht klar, dass ich auch die Schutzziele ver\u00e4ndert haben. Cybersicherheit und Datenschutz erhalten einen gr\u00f6\u00dferen Stellenwert und werden explizit hervorgehoben.<\/p>\n

Die wesentlichsten \u00c4nderungen der ISO 27002 erkennt man bereits bei der Betrachtung des Inhaltsverzeichnisses. Aus urspr\u00fcnglich 14 Abschnitten werden 4 Themenbereiche<\/strong>, die grob die Ma\u00dfnahmen nach personellen<\/strong>, physischen<\/strong> und technischen<\/strong> Ma\u00dfnahmen strukturieren. Ma\u00dfnahmen, die keinem dieser Bereiche zugeordnet werden k\u00f6nnen, finden sich im Thema der organisatorischen<\/strong> Ma\u00dfnahmen.<\/p>\n

Dieser Ansatz ist hilfreich, da die bisherigen 14 Abschnitte nicht immer sauber abzugrenzen waren. So gab es Ma\u00dfnahmen der Betriebssicherheit, die sich auch der Anwendungssicherheit zuzuordnen lassen w\u00fcrden. Mit der Neustrukturierung wurde dieses Dilemma bereinigt. Dabei sind die ehemaligen 14 Abschnitte nicht verloren gegangen, sondern finden sich in einem der 5 neuen Attributs-Typen<\/strong> wieder. Diese sind eine weitere wesentliche, aber durchaus hilfreiche, \u00c4nderung der neuen ISO 27002.<\/p>\n

 <\/p>\n

Hastags in der neuen ISO-Norm: F\u00fcr mehr \u00dcbersicht in der Informationssicherheit<\/h3>\n

Auf den ersten Blick k\u00f6nnte man vermuten, dass die neue Norm einfach nur mit der Zeit gehen m\u00f6chte, da nun auch hier Hashtags f\u00fcr jede Ma\u00dfnahme eingef\u00fchrt wurden. Die verwendeten Attribute sind aber eine wirklich sinnvolle Hilfe, um nicht nur ein angemessenes, sondern auch ein ausgewogenes Sicherheitskonzept zu erreichen und die \u00dcbersichtlichkeit zur verbessern.<\/p>\n

So werden sowohl die Art der Ma\u00dfnahme (#Preventive, #Detective, #Corrective), die adressierten Schutzziele (#Confidentiality, #Integrity, #Availability), die operativen F\u00e4higkeiten (#Identify, #Protect, #Detect, #Respond, #Recover), sowie die jeweiligen Sicherheitsdom\u00e4nen (bspw. unter anderem #Governace, #Secure_configuration, oder Supplier_relationship_security) , perfekt zum Abgleich mit den Ausbildungsprogrammen (#Governance_and_Ecosystem, #Protection, #Defence, #Resilience) f\u00fcr den notwendigen Kompetenzaufbau angepasst. Somit ist es relativ einfach nach den entsprechenden neuen Attributen oder auch Hashtags zu suchen und die passende Ma\u00dfnahme betrachten.<\/p>\n

 <\/p>\n

Der Aspekt Cybersicherheit und Datenschutz in der neuen ISO 27000-Normenfamilie<\/h3>\n

Auch das Thema Datenschutz kommt neben der Informationssicherheit st\u00e4rker zum Tragen, sowohl im Titel als auch in den Schutzma\u00dfnahmen. Die Erweiterung der Titel der neuen Normen sowie auch das verst\u00e4rkte Einflie\u00dfen jener Aspekte in die neuen Ma\u00dfnahmenbeschreibungen begr\u00fcndet sich mit der deutlichen Erweiterung der ISO 27000-Normenfamilie der letzten Jahre um Themen der Cybersicherheit und des Datenschutzes.<\/p>\n

So sind etliche Normen zu Datenschutz und Cybersicherheit dazu gekommen:<\/p>\n