ISO 27001:2022 · A.8.19 · A.8 Technologische Maßnahmen
Installation von Software auf Produktivsystemen
Verfahren und Maßnahmen müssen umgesetzt werden, um die Installation von Software auf produktiven Systemen sicher zu steuern.
ISO 27001TISAXBSINIS2
Was fordert dieses Control?
Verfahren und Maßnahmen müssen umgesetzt werden, um die Installation von Software auf produktiven Systemen sicher zu steuern.
Warum ist das wichtig?
Unkontrollierte Softwareinstallation bringt Schwachstellen, Malware und Shadow-IT ins Produktivsystem. Kontrollierte Installation hält die Umgebung stabil und sicher.
Bezug zu anderen Normen
| Norm | Stelle | Thema | Bezug |
|---|---|---|---|
| TISAX | 5.2.5 | Softwaremanagement | Direkt |
| BSI | OPS.1.1.6 | Software-Tests und Freigaben | Direkt |
| NIS2 | § 30 Abs. 1 BSIG | Technische Maßnahmen | Direkt |
| NIS2 | § 30 Abs. 2 Nr. 7 BSIG | Cyberhygiene & Schulung | Indirekt |
Was der Auditor erwartet
- Kontrollierte, autorisierte Softwareinstallation
- Einschränkung von Installationsrechten
- Nur freigegebene Software auf Produktivsystemen
Audit-Checkliste
Dokumente
Software-InstallationsrichtlinieFreigabe- und Installationsprozess
Nachweise
Freigabe-/Software-ListeGenehmigte Software und kontrollierte Installation
Abgleich installiert vs. freigegebenReport über tatsächlich installierte gegen freigegebene Software
Adminrechte-ReportAuswertung, welche Nutzer lokale Installationsrechte besitzen
Technisch
InstallationsrechteNutzer können nicht eigenmächtig Software installieren
Praxis-Tipps zur Umsetzung
Rechte entziehenStandardnutzer dürfen keine Software installieren.
AllowlistingNur freigegebene Anwendungen zulassen (Application Control).
Zentral verteilenSoftware über ein verwaltetes Deployment statt manuell ausrollen.
Häufige Fehler
Lokale AdminrechteNutzer installieren beliebige Software selbst.
Shadow-ITNicht freigegebene Tools schleichen sich in die Produktion.
Häufig gestellte Fragen
Dürfen Nutzer eigene Software installieren?
In Produktivumgebungen grundsätzlich nicht, Installation sollte zentral und freigegeben erfolgen.
Was ist Application Allowlisting?
Ein Verfahren, das nur ausdrücklich erlaubte Anwendungen zur Ausführung zulässt.
Wie verhindert man Shadow-IT?
Über entzogene Installationsrechte, Allowlisting und ein klares Freigabeverfahren plus Software-Inventar.
So hilft CompliantDesk bei A.8.19
Verknüpfen Sie die Software-Freigabe mit dem Inventory der M365-Integration, um nicht genehmigte Software zu erkennen und zu dokumentieren.
Bereit für ein ISMS, das nicht bei Excel endet?
Demo buchenKostenlos · unverbindlich · persönliche Einrichtung · 30 Minuten