ISO 27001:2022 · A.5.17 · A.5 Organisatorische Maßnahmen
Authentisierungsinformationen
Die Zuteilung und Verwaltung von Authentisierungsinformationen müssen durch einen Managementprozess gesteuert werden, einschließlich der Beratung der Beschäftigten zum sachgemäßen Umgang.
ISO 27001NIS2TISAXBSI
Was fordert dieses Control?
Die Zuteilung und Verwaltung von Authentisierungsinformationen müssen durch einen Managementprozess gesteuert werden, einschließlich der Beratung der Beschäftigten zum sachgemäßen Umgang.
Warum ist das wichtig?
Passwörter und andere Authentisierungsmittel sind ein Hauptziel von Angriffen. Sicherer Umgang, MFA und gute Verwaltung sind entscheidend gegen Kontoübernahmen.
Bezug zu anderen Normen
| Norm | Stelle | Thema | Bezug |
|---|---|---|---|
| NIS2 | § 30 Abs. 2 BSIG | MFA / Authentisierung | Direkt |
| TISAX | 4.1.2 | Authentisierung | Direkt |
| BSI | ORP.4.A8 | Passwortverwaltung | Direkt |
Was der Auditor erwartet
- Sichere Vergabe und Verwaltung von Zugangsdaten
- Einsatz von MFA für kritische Zugänge
- Sensibilisierung zum Umgang mit Passwörtern
Audit-Checkliste
Dokumente
Passwort-/AuthentisierungsrichtlinieAnforderungen an Komplexität, MFA und Verwahrung
Nachweise
MFA-AbdeckungAktivierung für Admin- und Remote-Zugänge
Passwortmanager-RolloutBereitstellung und Nutzungsnachweis eines Passwortmanagers
Reset-Prozess mit IdentitätsprüfungSichere Zurücksetzung mit vorheriger Verifikation der Person
Interviews
MitarbeiterUmgang mit Passwörtern und Passwortmanager-Nutzung
Technisch
AuthentisierungseinstellungenErzwungene MFA und Passwortrichtlinie im IdP
Praxis-Tipps zur Umsetzung
MFA überallMulti-Faktor für alle externen und privilegierten Zugänge erzwingen.
PasswortmanagerStatt erzwungenem häufigem Wechsel lieber lange Passphrasen plus Passwortmanager.
Initialpasswörter sicherErstpasswörter sicher übergeben und sofortigen Wechsel erzwingen.
Häufige Fehler
Keine MFAKritische Zugänge hängen allein am Passwort.
Passwörter im KlartextZugangsdaten in Tabellen oder Mails statt im Passwortmanager.
Häufig gestellte Fragen
Muss man Passwörter regelmäßig wechseln?
Moderne Empfehlungen raten von erzwungenem Routinewechsel ab, solange MFA aktiv ist und kein Verdacht besteht.
Ist MFA Pflicht?
Unter NIS2 faktisch ja. Für kritische und externe Zugänge ist MFA Stand der Technik.
Wo unterscheidet sich das von A.8.5?
A.5.17 regelt die Verwaltung der Authentisierungsinformationen, A.8.5 die sichere technische Authentisierung.
So hilft CompliantDesk bei A.5.17
CompliantDesk erzwingt MFA für Owner und Admins mit Grace-Period und weist über die M365-Integration die MFA-Abdeckung im Tenant nach.
Bereit für ein ISMS, das nicht bei Excel endet?
Demo buchenKostenlos · unverbindlich · persönliche Einrichtung · 30 Minuten