Regelwerke
ISO/IEC 27001:2022: technische Nachweise
Viele Maßnahmen aus Anhang A der ISO/IEC 27001:2022 lassen sich zum Teil technisch beobachten. Akvera ordnet seine technischen Kontrollen ausgewählten Anforderungen zu und liefert dafür Nachweise aus den Quellsystemen. Diese Seite zeigt, welche das sind und was Akvera dabei nicht leistet.
Was technische Nachweise für ISO 27001 leisten
ISO/IEC 27001 verlangt ein Managementsystem für Informationssicherheit. Ob eine technische Maßnahme im Alltag tatsächlich greift, zeigt sich in den Systemen: im Identitätsanbieter, im Backup, im Logging. Technische Nachweise stützen die Bewertung solcher Maßnahmen. Sie ersetzen weder das Managementsystem noch die Entscheidung Ihres Auditors.
Welche Anforderungen Akvera technisch stützt
Die Zuordnung ist eine illustrative technische Zuordnung ausgewählter Anforderungen aus Anhang A. Prüfen Sie ihre Anwendbarkeit anhand Ihrer lizenzierten Norm und Ihrer Erklärung zur Anwendbarkeit (Statement of Applicability). Je nach Edition, Lizenz und Berechtigung liefern einzelne Prüfungen UNKNOWN. Die Grenzen je Integration stehen auf der Seite zu den unterstützten Prüfungen.
| Anforderung | Beispiele technischer Prüfungen | Quellsystem |
|---|---|---|
| A.5.17 Authentifizierungsinformationen | Multi-Faktor-Authentifizierung für privilegierte Konten, blockierte Legacy-Authentifizierung | Microsoft Entra ID |
| A.5.18 Zugangsrechte | Erkennung ungenutzter, aber aktivierter Konten | Microsoft Entra ID |
| A.8.2 Privilegierte Zugangsrechte | Eingeschränkte privilegierte Rollen, zeitlich begrenzte Zuweisungen | Microsoft Entra ID |
| A.5.23 Cloud-Dienste | Abdeckung der erwarteten Ressourcen durch Azure-Policy-Nachweise | Microsoft Azure |
| A.8.9 Konfigurationsmanagement | Einhaltung der zugewiesenen Azure Policies | Microsoft Azure |
| A.8.13 Sicherung von Informationen | Erwartete Backup-Jobs vorhanden, aktuelle erfolgreiche Läufe | Veeam Backup & Replication, Proxmox Backup Server |
| A.8.15 Protokollierung | Aktive Log-Eingänge, sendende Quellen, Aufbewahrung | Graylog |
| A.8.16 Überwachungstätigkeiten | Registrierte, berichtende Überwachungsagenten, aktivierte Erkennungsregeln | Wazuh |
| A.8.25 Sichere Entwicklung | Erwartete Repositories und Projekte werden beobachtet | GitLab, GitHub |
| A.8.32 Änderungsmanagement | Geschützte Branches, Freigabepflicht, erfolgreiche Pipeline vor dem Merge | GitLab, GitHub |
| A.8.28 Sichere Codierung | Secret-Scanning und Push-Schutz | GitHub |
| A.8.24 Kryptographie | Erwartete Secret-Engines eingebunden (nur Metadaten, keine Geheimnisse gelesen) | HashiCorp Vault |
So setzen Sie die Nachweise im Audit ein
- Erwarteten Bestand festlegen: welche Endpunkte, Logquellen, Repositories oder Backup-Gruppen abgedeckt sein müssen.
- Systeme lesend anbinden, mit Konten, die Sie selbst anlegen.
- Prüfungen laufen lassen und UNKNOWN-Ergebnisse auflösen, etwa durch eine fehlende Berechtigung.
- Nachweispaket exportieren und Ihrem Auditor übergeben, der es offline prüfen kann.
Was Akvera für ISO 27001 nicht leistet
- Akvera zertifiziert nicht und macht eine Organisation nicht ISO-27001-konform.
- Es ersetzt weder Risikobewertung noch Erklärung zur Anwendbarkeit, Richtlinien, interne Audits oder Managementbewertung.
- Es deckt nur technische Aspekte der zugeordneten Anforderungen ab, und nur dort, wo ein angebundenes System die Daten liefert.
- Ob die Nachweise für Ihr Audit genügen, entscheidet Ihr Auditor.
Sehen Sie, welche Nachweise sich in Ihrer Umgebung erfassen lassen.
Sagen Sie uns, welche Systeme Sie einsetzen und welche technischen Nachweise Ihr Audit verlangt.