A.8 Technologische Maßnahmen
Installation von Software auf Produktivsystemen
Verfahren und Maßnahmen müssen umgesetzt werden, um die Installation von Software auf produktiven Systemen sicher zu steuern.
Was fordert dieses Control?
Verfahren und Maßnahmen müssen umgesetzt werden, um die Installation von Software auf produktiven Systemen sicher zu steuern.
Warum ist das wichtig?
Unkontrollierte Softwareinstallation bringt Schwachstellen, Malware und Shadow-IT ins Produktivsystem. Kontrollierte Installation hält die Umgebung stabil und sicher.
Cross-Standard-Mapping
| Standard | Control-ID | Relevanz |
|---|---|---|
| TISAX | 5.2.5 | Direkt |
| BSI | OPS.1.1.6 | Direkt |
Was der Auditor erwartet
- 1Kontrollierte, autorisierte Softwareinstallation
- 2Einschränkung von Installationsrechten
- 3Nur freigegebene Software auf Produktivsystemen
Audit-Checkliste
Dokumente
Software-Installationsrichtlinie
Freigabe- und Installationsprozess
Nachweise
Freigabe-/Software-Liste
Genehmigte Software und kontrollierte Installation
Technisch
Installationsrechte
Nutzer können nicht eigenmächtig Software installieren
Praxis-Tipps zur Umsetzung
Rechte entziehen
Standardnutzer dürfen keine Software installieren.
Allowlisting
Nur freigegebene Anwendungen zulassen (Application Control).
Zentral verteilen
Software über ein verwaltetes Deployment statt manuell ausrollen.
Häufige Fehler
Lokale Adminrechte
Nutzer installieren beliebige Software selbst.
Shadow-IT
Nicht freigegebene Tools schleichen sich in die Produktion.
Häufig gestellte Fragen
Dürfen Nutzer eigene Software installieren?
In Produktivumgebungen grundsätzlich nicht, Installation sollte zentral und freigegeben erfolgen.
Was ist Application Allowlisting?
Ein Verfahren, das nur ausdrücklich erlaubte Anwendungen zur Ausführung zulässt.
Wie verhindert man Shadow-IT?
Über entzogene Installationsrechte, Allowlisting und ein klares Freigabeverfahren plus Software-Inventar.
So hilft CompliantDesk bei A.8.19
Verknüpfen Sie die Software-Freigabe mit dem Inventory der M365-Integration, um nicht genehmigte Software zu erkennen und zu dokumentieren.