ISO 27001:2022 · A.8.26 · A.8 Technologische Maßnahmen
Anforderungen an die Anwendungssicherheit
Informationssicherheitsanforderungen müssen bei der Entwicklung oder Beschaffung von Anwendungen identifiziert, spezifiziert und genehmigt werden.
ISO 27001TISAXBSINIS2
Was fordert dieses Control?
Informationssicherheitsanforderungen müssen bei der Entwicklung oder Beschaffung von Anwendungen identifiziert, spezifiziert und genehmigt werden.
Warum ist das wichtig?
Sicherheitsanforderungen, die früh definiert werden, lassen sich gezielt umsetzen und testen. Fehlen sie, entstehen Lücken, die später teuer zu beheben sind.
Bezug zu anderen Normen
| Norm | Stelle | Thema | Bezug |
|---|---|---|---|
| TISAX | 5.2.4 | Anwendungssicherheit | Direkt |
| BSI | CON.8 | Anforderungen an Software | Direkt |
| NIS2 | § 30 Abs. 1 BSIG | Technische Maßnahmen | Direkt |
Was der Auditor erwartet
- Definierte Sicherheitsanforderungen je Anwendung
- Berücksichtigung bei Entwicklung und Beschaffung
- Genehmigung der Anforderungen
Audit-Checkliste
Dokumente
AnforderungskatalogeSicherheitsanforderungen für Anwendungen, z.B. an Authentisierung und Transaktionen
Nachweise
Spezifikationen / AbnahmenBerücksichtigte und genehmigte Anforderungen
Ausgefüllte Bewertung je AnwendungCheckliste zu Authentisierung, Berechtigungen, Verschlüsselung und Mandantentrennung
AbnahmeprotokollBeleg, dass Sicherheitskriterien vor Freigabe erfüllt waren
Praxis-Tipps zur Umsetzung
Standardkatalog nutzenWiederverwendbare Sicherheitsanforderungen, etwa angelehnt an OWASP ASVS.
Auch bei EinkaufSicherheitsanforderungen auch an beschaffte Software stellen.
Transaktionen schützenBesonders Authentisierung, Autorisierung und schützenswerte Transaktionen abdecken.
Häufige Fehler
Nur funktionalEs werden nur Features spezifiziert, keine Sicherheitsanforderungen.
Einkauf ungeprüftBeschaffte Anwendungen werden ohne Sicherheitsanforderungen übernommen.
Häufig gestellte Fragen
Gilt das auch für gekaufte Software?
Ja, auch bei Beschaffung müssen Sicherheitsanforderungen definiert und geprüft werden.
Woran orientiert man Sicherheitsanforderungen?
An anerkannten Katalogen wie OWASP ASVS und am Schutzbedarf der verarbeiteten Daten.
Wann werden die Anforderungen definiert?
Möglichst früh, bereits in der Anforderungs- und Designphase.
So hilft CompliantDesk bei A.8.26
Führen Sie Sicherheitsanforderungen je Anwendung als Kontrollen und verknüpfen Sie sie mit Risiken und Tests im Entwicklungsprozess.
Bereit für ein ISMS, das nicht bei Excel endet?
Demo buchenKostenlos · unverbindlich · persönliche Einrichtung · 30 Minuten