8.1 Endpunktgeräte des Benutzers

Informationen, die auf Endpunktgeräten der Benutzer gespeichert sind, von ihnen verarbeitet werden oder über sie zugänglich sind, müssen geschützt werden.

8.2 Privilegierte Zugangsrechte

Zuteilung und Gebrauch von privilegierten Zugangsrechten müssen eingeschränkt und verwaltet werden.

8.3 Informationszugangsbeschränkung

Der Zugang zu Informationen und anderen damit verbundenen Werten muss in Übereinstimmung mit der festgelegten themenspezifischen Richtlinie zur Zugangssteuerung eingeschränkt werden.

8.4 Zugriff auf den Quellcode

Lese- und Schreibzugriff auf den Quellcode, die Entwicklungswerkzeuge und die Softwarebibliotheken müssen angemessen verwaltet werden.

8.5 Sichere Authentisierung

Sichere Authentisierungstechnologien und -verfahren müssen auf der Grundlage von Informationszugangsbeschränkungen und der themenspezifischen Richtlinie zur Zugangssteuerung implementiert werden.

8.6 Kapazitätssteuerung

Die Nutzung von Ressourcen muss überwacht und entsprechend den aktuellen und erwarteten Kapazitätsanforderungen angepasst werden.

8.7 Schutz gegen Schadsoftware

Schutz gegen Schadsoftware muss umgesetzt und durch angemessene Sensibilisierung der Benutzer unterstützt werden.

8.8 Handhabung von technischen Schwachstellen

Es müssen Informationen über technische Schwachstellen verwendeter Informationssysteme eingeholt, die Gefährdung der Organisation durch derartige Schwachstellen bewertet und angemessene Maßnahmen ergriffen werden.

8.9 Konfigurationsmanagement

Konfigurationen, einschließlich Sicherheitskonfigurationen, von Hardware, Software, Diensten und Netzwerken müssen festgelegt, dokumentiert, umgesetzt, überwacht und überprüft werden.

8.10 Löschung von Informationen

Informationen, die in Informationssystemen, Geräten oder auf anderen Speichermedien gespeichert sind, müssen gelöscht werden, wenn sie nicht mehr benötigt werden.

8.11 Datenmaskierung

Die Datenmaskierung muss in Übereinstimmung mit den themenspezifischen Richtlinien der Organisation zur Zugangssteuerung und anderen damit zusammenhängenden themenspezifischen Richtlinien sowie den geschäftlichen Anforderungen und unter Berücksichtigung der geltenden Rechtsvorschriften eingesetzt werden.

8.12 Verhinderung von Datenlecks

Maßnahmen zur Verhinderung von Datenlecks müssen auf Systeme, Netzwerke und alle anderen Geräte angewendet werden, die sensible Informationen verarbeiten, speichern oder übermitteln.

8.13 Sicherung von Informationen

Sicherungskopien von Informationen, Software und Systemen müssen in Übereinstimmung mit der vereinbarten themenspezifischen Richtlinie zu Datensicherungen aufbewahrt und regelmäßig geprüft werden.

8.14 Redundanz von informationsverarbeitenden Einrichtungen

Informationsverarbeitende Einrichtungen müssen mit ausreichender Redundanz für die Einhaltung der Verfügbarkeitsanforderungen realisiert werden.

8.15 Protokollierung

Protokolle, die Aktivitäten, Ausnahmen, Fehler und andere relevante Ereignisse aufzeichnen, müssen erstellt, gespeichert, geschützt und analysiert werden.

8.16 Überwachung von Aktivitäten

Netzwerke, Systeme und Anwendungen müssen auf anormales Verhalten überwacht und geeignete Maßnahmen müssen ergriffen werden, um potentielle Informationssicherheitsvorfälle zu bewerten.

8.17 Uhrensynchronisation

Die Uhren der von der Organisation verwendeten Informationsverarbeitungssysteme müssen mit zugelassenen Zeitquellen synchronisiert werden.

8.18 Gebrauch von Hilfsprogrammen mit privilegierten Rechten

Der Gebrauch von Hilfsprogrammen, die fähig sein können, System- und Anwendungsschutzmaßnahmen zu umgehen, muss eingeschränkt und streng überwacht werden.

8.19 Installation von Software auf Systemen im Betrieb

Es müssen Verfahren und Maßnahmen umgesetzt werden, um die Installation von Software auf in Betrieb befindlichen Systemen sicher zu verwalten.

8.20 Netzwerksicherheit

Netzwerke und Netzwerkgeräte müssen gesichert, verwaltet und kontrolliert werden, um Informationen in Systemen und Anwendungen zu schützen.

8.21 Sicherheit von Netzwerkdiensten

Sicherheitsmechanismen, Dienstgüte und Dienstanforderungen für Netzwerkdienste müssen ermittelt, umgesetzt und überwacht werden.

8.22 Trennung von Netzwerken

Informationsdienste, Benutzer und Informationssysteme müssen in Netzwerken der Organisation gruppenweise voneinander getrennt gehalten werden.

8.23 Webfilterung

Der Zugang zu externen Websites muss verwaltet werden, um die Gefährdung durch bösartige Inhalte zu verringern.

8.24 Verwendung von Kryptographie

Es müssen Regeln für den wirksamen Einsatz von Kryptographie, einschließlich der Verwaltung kryptographischer Schlüssel, festgelegt und umgesetzt werden.

8.25 Lebenszyklus einer sicheren Entwicklung

Regeln für die sichere Entwicklung von Software und Systemen müssen festgelegt und angewendet werden.

8.26 Anforderung an die Anwendungssicherheit

Die Anforderungen an die Informationssicherheit müssen bei der Entwicklung oder Beschaffung von Anwendungen ermittelt, spezifiziert und genehmigt werden.

8.27 Sichere Systemarchitektur und Entwicklungsgrundsätze

Grundsätze für die Entwicklung sicherer Systeme müssen festgelegt, dokumentiert, aufrechterhalten und bei allen Aktivitäten der Informationssystementwicklung angewendet werden.

8.28 Sichere Codierung

Bei der Softwareentwicklung müssen die Grundsätze der sicheren Codierung angewandt werden.

8.29 Sicherheitsprüfung bei Entwicklung und Abnahme

Sicherheitsprüfverfahren müssen definiert und in den Entwicklungslebenszyklus integriert werden.

8.30 Ausgegliederte Entwicklung

Die Organisation muss die Aktivitäten im Zusammenhang mit der ausgegliederten Systementwicklung leiten, überwachen und überprüfen.

8.31 Trennung von Entwicklungs-, Test- und Produktionsumgebungen

Entwicklungs-, Test- und Produktionsumgebungen müssen getrennt und gesichert werden.

8.32 Änderungssteuerung

Änderungen an Informationsverarbeitungseinrichtungen und Informationssystemen müssen Gegenstand von Änderungsmanagementverfahren sein.

8.33 Testdaten

Die Testdaten müssen in geeigneter Weise ausgewählt, geschützt und verwaltet werden.

8.34 Schutz der Informationssysteme während Tests im Rahmen von Audits

Tests im Rahmen von Audits und andere Sicherheitstätigkeiten, die eine Beurteilung der in Betrieb befindlichen Systeme beinhalten, müssen zwischen dem Prüfer und dem zuständigen Management geplant und vereinbart werden.