ISO 27002: Leitfaden für Informationssicherheits-Kontrollen (Controls) & Maßnahmen
Hintergrund & Einordnung
ISO 27002 (International Organization for Standardization) = Detaillierter Maßnahmenkatalog für Informationssicherheit. Ergänzt ISO 27001 (Management: Risikobewertung, Überwachung, Verbesserung). Bis 2005: BS 7799 (UK, 1995) → ISO 17799 → ISO 27002. Alle Versionen: Informationssicherheit.
Struktur & Schwerpunkte
Hunderte Controls in Kapiteln gegliedert:
- Sicherheitsrichtlinien & Organisation
- Personalwesen (Einstellung, Austritt, Schulung)
- Asset Management (Inventar, Klassifizierung, Umgang)
- Zugangskontrolle (physisch & logisch)
- Kryptografie
- Physische & Umgebungsicherheit
- Betriebssicherheit (Malware, Backup, Logging, Schwachstellenmanagement)
- Kommunikationssicherheit (Netze, Übertragung)
- Systemerwerb, -entwicklung, -wartung
- Lieferantenbeziehungen
- Informationssicherheitsvorfälle (Incident Management)
- Business Continuity Management
- Compliance (Gesetze, Verträge, Standards)
Fokus: IT, aber auch Papierdokumente & physische Assets.
Entwicklung: Sektorspezifische Profile
Ursprünglich: Einheitsstandard für alle (Unternehmen, Behörden, NPOs). Aktuelle Tendenz: Branchenspezifische Profile (Gesundheit, Finanz, Energie, Cloud) für effizientere Umsetzung.