ISO 27001:2022 · A.8.9 · A.8 Technologische Maßnahmen
Konfigurationsmanagement
Konfigurationen, einschließlich Sicherheitskonfigurationen von Hardware, Software, Diensten und Netzwerken, müssen festgelegt, dokumentiert, umgesetzt, überwacht und überprüft werden.
ISO 27001NIS2TISAXBSI
Was fordert dieses Control?
Konfigurationen, einschließlich Sicherheitskonfigurationen von Hardware, Software, Diensten und Netzwerken, müssen festgelegt, dokumentiert, umgesetzt, überwacht und überprüft werden.
Warum ist das wichtig?
Fehl- und Standardkonfigurationen sind eine Hauptursache für Sicherheitsvorfälle. Gehärtete, überwachte Konfigurationen reduzieren die Angriffsfläche erheblich.
Bezug zu anderen Normen
| Norm | Stelle | Thema | Bezug |
|---|---|---|---|
| NIS2 | § 30 Abs. 2 BSIG | Sichere Konfiguration | Direkt |
| TISAX | 5.2.5 | Konfigurationsmanagement | Direkt |
| BSI | SYS.1.1 | Härtung | Direkt |
Was der Auditor erwartet
- Definierte, gehärtete Soll-Konfigurationen (Baselines)
- Überwachung von Abweichungen
- Dokumentation und Pflege der Konfigurationen
Audit-Checkliste
Dokumente
Konfigurations-BaselinesHärtungsvorgaben für Systeme und Dienste
Nachweise
KonformitätsprüfungAbgleich der Ist- mit der Soll-Konfiguration
Secure-Score-VerlaufEntwicklung der Cloud-Konfigurationsgüte über die Zeit
Deployment-NachweisBeleg des zentralen Ausrollens der Baselines via GPO/Intune/IaC
Technisch
HärtungsstatusUmsetzung der Baselines, z.B. via Intune-Policies
Praxis-Tipps zur Umsetzung
Baselines definierenAn anerkannten Härtungsstandards (z.B. CIS Benchmarks) orientieren.
Abweichungen erkennenDrift gegen die Soll-Konfiguration automatisiert überwachen.
Zentral durchsetzenKonfigurationen über MDM/GPO einheitlich ausrollen.
Häufige Fehler
Standard belassenSysteme laufen mit unsicheren Werkseinstellungen.
Drift unbemerktKonfigurationen weichen über die Zeit ab, ohne dass es auffällt.
Häufig gestellte Fragen
Was sind Konfigurations-Baselines?
Definierte, gehärtete Soll-Zustände für Systeme, oft auf Basis anerkannter Standards wie CIS Benchmarks.
Wie erkennt man Konfigurationsdrift?
Über automatisierte Konformitätsprüfungen, die Ist gegen Soll abgleichen.
Hängt das mit dem Secure Score zusammen?
Ja, Cloud-Konfiguration lässt sich etwa über den M365 Secure Score messen und verbessern.
So hilft CompliantDesk bei A.8.9
Dokumentieren Sie Härtungs-Baselines als Kontrolle und belegen Sie die sichere Konfiguration über M365 Secure Score und Intune-Policies.
Bereit für ein ISMS, das nicht bei Excel endet?
Demo buchenKostenlos · unverbindlich · persönliche Einrichtung · 30 Minuten