Funktionen
Maßnahmen und Kontrollen
Plane, betreibe und prüfe die Schutzmaßnahmen und Kontrollen deines ISMS.
Plane, betreibe und prüfe die Schutzmaßnahmen deines ISMS. Kontrollen meint hier prüfbare Schutzmaßnahmen, mit denen Anforderungen erfüllt und Risiken behandelt werden. Diese Seite beantwortet nicht nur, wo du klickst, sondern welche Entscheidung am Ende tragfähig ist.
| Baustein | Inhalt |
|---|
| Normziel | ISO 27001 Abschnitte 6.1.3, 8.1 und Anhang A. Maßnahmen behandeln Risiken und erfüllen Anforderungen. |
| Funktion | KaitoSec hält Maßnahmen mit Zweck, Status, verantwortlicher Person, verknüpften Anforderungen, Risiken, Assets, Nachweisen und Wirksamkeitsprüfungen fest. |
| Ergebnis | Eine prüfbare Maßnahme, die zeigt, welches Risiko oder welche Anforderung sie abdeckt und wie ihre Wirksamkeit belegt wird. |
| Feld | Beispiel |
|---|
| Maßnahme | Quartalsweise Zugriffsprüfung für CRM |
| Ziel | Nur berechtigte Personen haben Zugriff auf Kundendaten. |
| Verantwortliche Person | Leitung IT-Betrieb |
| Abdeckung | A.5.15 Zugriffskontrolle, Risiko unberechtigter Zugriff |
| Nachweis | Export geprüfter Benutzerliste und Freigabeprotokoll |
| Wirksamkeit | Keine unberechtigten Konten in Stichprobe gefunden |
Das ist ausreichend, wenn Zweck, Abdeckung, Betrieb, Nachweis und Wirksamkeitsprüfung der Maßnahme nachvollziehbar sind.
| Ausgangspunkt | Richtige Nutzung |
|---|
| ISO 27001 Anhang A | Für zentrale Maßnahmen und Erklärung zur Anwendbarkeit nutzen. |
| BSI IT-Grundschutz | Für detailliertere Umsetzungsanforderungen je Zielobjekt heranziehen. |
| NIST SP 800-53 | Nur nutzen, wenn die Organisation diese Prüftiefe wirklich steuern kann. |
| Fehler | Beraterhinweis |
|---|
| Maßnahme nur als Titel erfassen | Beschreibe, welches Sicherheitsproblem gelöst wird. |
| Nachweis ohne Wirksamkeit | Ein Screenshot zeigt Umsetzung, aber nicht immer Wirkung. |
| Keine verantwortliche Person | Maßnahmen ohne Verantwortlichkeit veralten schnell. |
| Situation | Vorgehen |
|---|
| Anforderung offen | Passende Maßnahme anlegen oder bestehende verknüpfen. |
| Risiko zu hoch | Maßnahme als Behandlung verbinden und Zielwirkung beschreiben. |
