A.8 Technologische Maßnahmen
Konfigurationsmanagement
Konfigurationen, einschließlich Sicherheitskonfigurationen von Hardware, Software, Diensten und Netzwerken, müssen festgelegt, dokumentiert, umgesetzt, überwacht und überprüft werden.
Was fordert dieses Control?
Konfigurationen, einschließlich Sicherheitskonfigurationen von Hardware, Software, Diensten und Netzwerken, müssen festgelegt, dokumentiert, umgesetzt, überwacht und überprüft werden.
Warum ist das wichtig?
Fehl- und Standardkonfigurationen sind eine Hauptursache für Sicherheitsvorfälle. Gehärtete, überwachte Konfigurationen reduzieren die Angriffsfläche erheblich.
Cross-Standard-Mapping
| Standard | Control-ID | Relevanz |
|---|---|---|
| NIS2 | Art. 21 (2) | Direkt |
| TISAX | 5.2.5 | Direkt |
| BSI | SYS.1.1 | Direkt |
Was der Auditor erwartet
- 1Definierte, gehärtete Soll-Konfigurationen (Baselines)
- 2Überwachung von Abweichungen
- 3Dokumentation und Pflege der Konfigurationen
Audit-Checkliste
Dokumente
Konfigurations-Baselines
Härtungsvorgaben für Systeme und Dienste
Nachweise
Konformitätsprüfung
Abgleich der Ist- mit der Soll-Konfiguration
Technisch
Härtungsstatus
Umsetzung der Baselines, z.B. via Intune-Policies
Praxis-Tipps zur Umsetzung
Baselines definieren
An anerkannten Härtungsstandards (z.B. CIS Benchmarks) orientieren.
Abweichungen erkennen
Drift gegen die Soll-Konfiguration automatisiert überwachen.
Zentral durchsetzen
Konfigurationen über MDM/GPO einheitlich ausrollen.
Häufige Fehler
Standard belassen
Systeme laufen mit unsicheren Werkseinstellungen.
Drift unbemerkt
Konfigurationen weichen über die Zeit ab, ohne dass es auffällt.
Häufig gestellte Fragen
Was sind Konfigurations-Baselines?
Definierte, gehärtete Soll-Zustände für Systeme, oft auf Basis anerkannter Standards wie CIS Benchmarks.
Wie erkennt man Konfigurationsdrift?
Über automatisierte Konformitätsprüfungen, die Ist gegen Soll abgleichen.
Hängt das mit dem Secure Score zusammen?
Ja, Cloud-Konfiguration lässt sich etwa über den M365 Secure Score messen und verbessern.
So hilft CompliantDesk bei A.8.9
Dokumentieren Sie Härtungs-Baselines als Kontrolle und belegen Sie die sichere Konfiguration über M365 Secure Score und Intune-Policies.