u-form Testsysteme ISO 27001 Dokumentation

Sicherheitsanforderungen für Informationssysteme

Betroffene Basis-Ziele

Konkretes Ziel

Sicherstellung, dass Sicherheit über den gesamten Lebenszyklus von Informationssystemen hinweg fester Bestandteil dieser Systeme ist. Dies beinhaltet insbesondere spezifische Sicherheitsanforderungen für Informationssysteme, mit denen Dienste über öffentliche Netze bereitgestellt werden.

Analyse und Spezifikation von Sicherheitsanforderungen

Maßnahme

Die Anforderungen für Kontrollen der Informationssicherheit müssen in den Angaben zu den geschäftlichen und technischen Anforderungen für neue Informationssysteme oder Verbesserungen an bestehenden Informationssystemen enthalten sein. Darin müssen alle relevanten Kritierien wie die gesamte Nutzungsdauer oder ggf. die Verfügbarkeit der Anwendung über öffentliche Netze berücksichtigt sein.

Umsetzung

Entsprechend der Richtlinie für sichere Entwicklung gelten für neu einzuführende Anwendungen bzw. bei starker Anpassung von bestehenden Anwendungen folgende Regeln:

  • Neue Anwendungen (Eigenentwicklung) müssen innerhalb der Versionsverwaltungssoftware erstellt werden.
  • Anwendungen, die über das Internet verfügbar sein sollen und schützenswerte Informationen verwalten, müssen via SSH (https) verschlüsselt werden und dürfen nur über ein Anmeldeverfahren zugänglich sein.

Sicherung von Anwendungsdiensten in öffentlichen Netzen

Maßnahme

Informationen im Zusammenhang mit Anwendungsdiensten, die über öffentliche Netze übertragen werden, müssen gegen betrügerische Aktivitäten, Vertragsstreitigkeiten, unberechtigte Veröffentlichung oder Veränderung geschützt werden.

Umsetzung

s.o. (Analyse und Spezifikation von Sicherheitsanforderungen).

Schutz von Transaktionen im Zusammenhang mit Anwendungsdiensten

Maßnahme

Informationen, die im Zuge von Transaktionen im Zusammenhang mit Anwendungsdiensten übertragen werden, müssen geschützt werden, um unvollständigen Übertragungen und Fehlleitungen sowie unautorisierten Offenlegungen, Vervielfältigungen oder wiederholten Wiedergaben von Nachrichten vorzubeugen.

Umsetzung

Transaktionen im Zusammenhang mit Anwendungsdiensten im internen Netzwerk werden nicht besonders abgesichert. Eine Ausnahme stellt die Übertragung von Quellcode im Bereich der Softwareentwicklung dar (siehe Richtlinie für sichere Entwicklung).

Transaktionen im Zusammenhang mit Anwendungsdiensten, bei denen vertrauliche Daten über das Internet übertragen werden können, werden prinzipiell über HTTPS (Web-Anwendungen) bzw. IPSec VPN (Kommunikation zwischen RZ und Zentrale) abgesichert.

Reviewdatum: 12.11.2024, Johannes Imhof