ISO 27001:2022 · A.8.27 · A.8 Technologische Maßnahmen
Sichere Systemarchitektur und Entwicklungsprinzipien
Prinzipien für die Entwicklung sicherer Systeme müssen festgelegt, dokumentiert, gepflegt und auf alle Entwicklungsaktivitäten angewendet werden.
ISO 27001TISAXBSINIS2
Was fordert dieses Control?
Prinzipien für die Entwicklung sicherer Systeme müssen festgelegt, dokumentiert, gepflegt und auf alle Entwicklungsaktivitäten angewendet werden.
Warum ist das wichtig?
Sichere Architekturprinzipien wie Defense in Depth und Least Privilege sorgen dafür, dass Systeme grundsätzlich robust entworfen werden, nicht erst nachträglich abgesichert.
Bezug zu anderen Normen
| Norm | Stelle | Thema | Bezug |
|---|---|---|---|
| TISAX | 5.2.4 | Sichere Architektur | Direkt |
| BSI | CON.8 | Architekturprinzipien | Direkt |
| NIS2 | § 30 Abs. 1 BSIG | Technische Maßnahmen | Direkt |
Was der Auditor erwartet
- Dokumentierte sichere Architekturprinzipien
- Anwendung auf Entwicklungs- und Integrationsprojekte
- Pflege der Prinzipien bei neuen Bedrohungen
Audit-Checkliste
Dokumente
Architektur-/EntwicklungsprinzipienPrinzipien wie Defense in Depth, Least Privilege, Fail Secure
Nachweise
ArchitekturentscheidungenAnwendung der Prinzipien in konkreten Systemen
Architektur-Review-NotizenPrüfung neuer Systeme gegen die Prinzipien, inklusive Vertrauensgrenzen
BedrohungsmodellierungDokumentierte Analyse bei kritischen Vorhaben
Interviews
Architekten / EntwicklerKenntnis und Anwendung der Prinzipien
Praxis-Tipps zur Umsetzung
Defense in DepthMehrere Schutzschichten statt einer einzigen Verteidigungslinie.
Sichere DefaultsSysteme im Auslieferungszustand sicher konfigurieren (Secure by Default).
Prinzipien pflegenArchitekturprinzipien an neue Bedrohungen und Technologien anpassen.
Häufige Fehler
Sicherheit aufgesetztArchitektur ohne Sicherheitsprinzipien, Schutz wird nachträglich angeflanscht.
Prinzipien veraltetVorgaben werden nie aktualisiert und passen nicht zur aktuellen Bedrohungslage.
Häufig gestellte Fragen
Was sind typische sichere Architekturprinzipien?
Defense in Depth, Least Privilege, Fail Secure, Secure Defaults und Minimierung der Angriffsfläche.
Gilt das nur für Eigenentwicklung?
Primär dafür, aber die Prinzipien sollten auch bei Integration und Konfiguration beschaffter Systeme leiten.
Wie dokumentiert man das?
Über ein gepflegtes Set an Architektur- und Entwicklungsprinzipien, auf das Projekte verbindlich Bezug nehmen.
So hilft CompliantDesk bei A.8.27
Hinterlegen Sie Ihre sicheren Architekturprinzipien als Richtlinie und verknüpfen Sie sie mit dem sicheren Entwicklungslebenszyklus.
Bereit für ein ISMS, das nicht bei Excel endet?
Demo buchenKostenlos · unverbindlich · persönliche Einrichtung · 30 Minuten