Endpunktgeräte des Benutzers, wie Desktop-PCs, Laptops, Tablets oder Smartphones, sind zentrale Komponenten der Informationsverarbeitung und häufig Ziel von Angriffen oder Fehlbedienungen. Unsachgemäße Nutzung oder unzureichende Schutzmaßnahmen können zu Malware-Infektionen, Datenverlust oder unbefugtem Zugriff führen. Dieses Control stellt sicher, dass Endpunktgeräte angemessen geschützt, verwaltet und sicher genutzt werden.
Zweck des Controls
A 8.1 soll gewährleisten, dass Endpunktgeräte des Benutzers so geschützt sind, dass Risiken für die Informationssicherheit minimiert werden. Ziel ist es, die Vertraulichkeit, Integrität und Verfügbarkeit von Informationen auf Endpunktgeräten sicherzustellen und Angriffsflächen wirksam zu reduzieren.
Anforderungen und Maßnahmen
1. Festlegung von Sicherheitsanforderungen für Endpunktgeräte
Organisationen müssen Sicherheitsanforderungen für Endpunktgeräte definieren, insbesondere:
zulässige Gerätetypen
Mindestanforderungen an Sicherheitseinstellungen
Regelungen zur Nutzung privater oder dienstlicher Geräte
Anforderungen an Software und Betriebssysteme
Die Anforderungen müssen dokumentiert und bekannt sein.
2. Sichere Konfiguration und Härtung
Endpunktgeräte müssen sicher konfiguriert werden:
Deaktivierung nicht benötigter Funktionen
Anwendung sicherer Standardeinstellungen
Nutzung aktueller Betriebssystem- und Softwareversionen
Einschränkung administrativer Rechte
Dies reduziert die Angriffsfläche.
3. Schutz vor Schadsoftware
Geeignete Maßnahmen zum Schutz vor Schadsoftware müssen eingesetzt werden:
aktuelle Schutzsoftware
regelmäßige Updates von Signaturen
Überwachung sicherheitsrelevanter Ereignisse
Schutz vor unbefugter Installation von Software
So werden Malware-Risiken minimiert.
4. Verwaltung von Updates und Patches
Endpunktgeräte müssen aktuell gehalten werden:
regelmäßige Installation von Sicherheitsupdates
zentrale oder automatisierte Update-Mechanismen
Überwachung des Patch-Status
zeitnahe Behebung von Schwachstellen
Dies schützt vor bekannten Angriffen.
5. Zugriffsschutz und Authentifizierung
Der Zugriff auf Endpunktgeräte muss geschützt sein:
starke Authentifizierungsmechanismen
automatische Bildschirmsperren
Schutz von Benutzerkonten
Verschlüsselung von lokalen Daten, sofern erforderlich
So wird unbefugter Zugriff verhindert.
6. Verwaltung mobiler Endpunktgeräte
Mobile Endpunktgeräte erfordern besondere Maßnahmen:
Einsatz von Mobile-Device-Management (MDM), sofern angemessen
Schutz vor Verlust oder Diebstahl
Möglichkeit zur Fernsperrung oder -löschung
Regelungen für Nutzung außerhalb der Unternehmensräume
Dies erhöht die Sicherheit mobiler Geräte.
7. Überwachung und Kontrolle
Die Nutzung von Endpunktgeräten muss überwacht werden:
Erkennung ungewöhnlicher Aktivitäten
Protokollierung sicherheitsrelevanter Ereignisse
Integration in Incident-Management-Prozesse
Bewertung von Sicherheitsvorfällen
So wird frühzeitig reagiert.
8. Sensibilisierung und Verantwortlichkeiten
Benutzer von Endpunktgeräten müssen sensibilisiert werden:
Schulungen zur sicheren Nutzung
klare Verantwortlichkeiten für Geräte
Awareness für Bedrohungen wie Phishing
Meldepflicht bei Vorfällen oder Verlusten
Der Faktor Mensch ist entscheidend für Sicherheit.
Zusammenfassung
A 8.1 fordert, dass Organisationen Endpunktgeräte des Benutzers systematisch absichern und verwalten. Durch klare Sicherheitsanforderungen, sichere Konfiguration, Schutz vor Schadsoftware, regelmäßige Updates, Zugriffsschutz, Verwaltung mobiler Geräte sowie Sensibilisierung der Benutzer wird sichergestellt, dass Endpunktgeräte nicht zur Schwachstelle der Informationssicherheit werden. Das Control ist ein zentraler Bestandteil der technischen Sicherheitsmaßnahmen im Informationssicherheitsmanagementsystem.
