ISO 27001:2022 · A.8.31 · A.8 Technologische Maßnahmen
Trennung von Entwicklungs-, Test- und Produktivumgebungen
Entwicklungs-, Test- und Produktivumgebungen müssen getrennt und gesichert werden.
ISO 27001TISAXBSINIS2
Was fordert dieses Control?
Entwicklungs-, Test- und Produktivumgebungen müssen getrennt und gesichert werden.
Warum ist das wichtig?
Vermischte Umgebungen führen zu Fehlern, ungewollten Änderungen und Datenabfluss. Trennung schützt die Produktion und verhindert, dass Tests sie beeinträchtigen.
Bezug zu anderen Normen
| Norm | Stelle | Thema | Bezug |
|---|---|---|---|
| TISAX | 5.2.4 | Umgebungstrennung | Direkt |
| BSI | CON.8 | Trennung der Umgebungen | Direkt |
| NIS2 | § 30 Abs. 1 BSIG | Technische Maßnahmen | Direkt |
Was der Auditor erwartet
- Getrennte Entwicklungs-, Test- und Produktivumgebungen
- Kontrollierte Übergänge und Freigaben
- Schutz von Produktivdaten in Test/Entwicklung
Audit-Checkliste
Dokumente
UmgebungskonzeptTrennung und Übergangsregeln zwischen den Stufen
Nachweise
Freigabe-/Deployment-ProzessKontrollierter Weg von Test zu Produktion
Berechtigungsvergleich Dev/ProdBeleg, dass Entwickler keinen Standard-Schreibzugriff auf Produktion haben
Secret-TrennungsnachweisUnterschiedliche Zugangsdaten je Umgebung, keine Produktiv-Credentials in Dev/Test
Technisch
UmgebungstrennungGetrennte Systeme, Zugänge und Daten
Praxis-Tipps zur Umsetzung
Strikt trennenEntwicklung, Test und Produktion technisch und in den Zugängen trennen.
Keine Echtdaten im TestIn Test/Entwicklung maskierte oder synthetische Daten verwenden (A.8.11).
Deployment kontrollierenÜbergänge nur über kontrollierte, freigegebene Prozesse.
Häufige Fehler
Test auf ProduktionEs wird direkt in der Produktivumgebung getestet oder entwickelt.
Echtdaten im TestProduktive personenbezogene Daten landen ungeschützt in Testsystemen.
Häufig gestellte Fragen
Warum müssen Umgebungen getrennt sein?
Um die Produktion vor Fehlern und ungewollten Änderungen zu schützen und Datenabfluss zu vermeiden.
Dürfen Produktivdaten zum Testen genutzt werden?
Nur maskiert oder pseudonymisiert, nicht ungeschützt im Klartext (siehe A.8.11/A.8.33).
Wie viele Umgebungen braucht man?
Mindestens getrennte Test- und Produktivumgebungen, idealerweise zusätzlich eine Entwicklungsumgebung.
So hilft CompliantDesk bei A.8.31
Dokumentieren Sie die Umgebungstrennung als Kontrolle und verknüpfen Sie sie mit Ihrem Change- und Deployment-Prozess.
Bereit für ein ISMS, das nicht bei Excel endet?
Demo buchenKostenlos · unverbindlich · persönliche Einrichtung · 30 Minuten