ISO 27001:2022 · A.8.3 · A.8 Technologische Maßnahmen
Einschränkung des Informationszugriffs
Der Zugriff auf Informationen und andere Werte muss gemäß der etablierten Zugriffskontrollrichtlinie eingeschränkt werden.
ISO 27001NIS2TISAXBSI
Was fordert dieses Control?
Der Zugriff auf Informationen und andere Werte muss gemäß der etablierten Zugriffskontrollrichtlinie eingeschränkt werden.
Warum ist das wichtig?
Konkrete technische Zugriffsbeschränkung setzt das Need-to-know-Prinzip in den Systemen durch. So sehen Nutzer nur, was sie wirklich benötigen.
Bezug zu anderen Normen
| Norm | Stelle | Thema | Bezug |
|---|---|---|---|
| NIS2 | § 30 Abs. 2 BSIG | Zugriffskontrolle | Direkt |
| TISAX | 4.1.1 | Zugriffsbeschränkung | Direkt |
| BSI | ORP.4 | Berechtigungsmanagement | Direkt |
Was der Auditor erwartet
- Technische Durchsetzung von Zugriffsbeschränkungen
- Rollenbasierte Rechte nach Need-to-know
- Schutz sensibler Daten vor zu breitem Zugriff
Audit-Checkliste
Dokumente
BerechtigungskonzeptZuordnung von Rollen zu Zugriffsrechten
Nachweise
Rechtevergabe-StichprobeTatsächliche Rechte entsprechen dem Konzept
Access-Review mit BereinigungDurchgeführte Zugriffsprüfung samt entzogener überflüssiger Rechte
Report überbreiter FreigabenAuswertung, worauf breite Gruppen tatsächlich Zugriff haben
Technisch
Datei-/AnwendungsrechteRestriktive, rollenbasierte Berechtigungen in Systemen
Praxis-Tipps zur Umsetzung
Need-to-know umsetzenStandardmäßig keinen Zugriff, gezielt nur Notwendiges freigeben.
Berechtigungen bündelnÜber Gruppen/Rollen statt Einzelrechte steuern.
Sensibles besonders schützenHochsensible Daten zusätzlich technisch abschotten.
Häufige Fehler
Jeder sieht allesOffene Freigaben statt restriktiver, rollenbasierter Rechte.
Gewachsene RechteÜber Jahre angesammelte Berechtigungen ohne Bereinigung.
Häufig gestellte Fragen
Was unterscheidet A.8.3 von A.5.15?
A.5.15 setzt die organisatorischen Regeln, A.8.3 ist die konkrete technische Durchsetzung in den Systemen.
Wie setzt man Need-to-know technisch um?
Über restriktive Standardrechte und gezielte Freigaben per Rolle oder Gruppe.
Wie verhindert man zu breite Freigaben?
Durch regelmäßige Rechteüberprüfung und Vermeidung offener Jeder-Freigaben.
So hilft CompliantDesk bei A.8.3
Hinterlegen Sie das Berechtigungskonzept als Kontrolle und verknüpfen Sie es mit regelmäßigen Zugriffsreviews und Nachweisen.
Bereit für ein ISMS, das nicht bei Excel endet?
Demo buchenKostenlos · unverbindlich · persönliche Einrichtung · 30 Minuten