ISO/IEC 27001:2022 Compliance
ISO/IEC 27001:2022 is the international standard for an information security management system.Learn how ImmuniWeb helps you evidence its Annex A application-security controls.
ISO 27001:2022 Compliance Testing
Was ist ISO/IEC 27001?
ISO/IEC 27001 legt fest, wie ein ISMS eingerichtet, umgesetzt, aufrechterhalten und kontinuierlich verbessert werden soll. Seine Hauptklauseln (4–10) behandeln den organisatorischen Kontext, die Führung, die Planung, die Unterstützung, den Betrieb sowie die Leistungsbewertung und -verbesserung, gesteuert durch die Risikobewertung und -behandlung.
Anhang A bietet einen Katalog von Kontrollen, die Organisationen über eine „Statement of Applicability“ auswählen. Die Ausgabe 2022 gliedert diese in 93 Kontrollen über vier Themenbereiche neu, einschließlich eines modernen Sets technischer Kontrollen, die Secure Development und Vulnerability Management abdecken. Die Zertifizierung wird durch ein externes Audit erreicht.
Erfahren Sie, wie ImmuniWeb Ihnen hilft, die ISO 27001 Annex A Controls A.8.25 – A.8.29 und A.8.8 – sichere Entwicklung und Security Testing Ihrer Anwendungen – nachzuweisen. Fordern Sie eine Demo an · oder führen Sie einen kostenlosen Community Edition Test durch.
Wer muss ISO 27001 umsetzen?
ISO/IEC 27001 is voluntary but widely expected:
- Organisationen, die eine Zertifizierung anstreben, um ihre Reife im Bereich der Informationssicherheit nachzuweisen.
- Lieferanten und Anbieter, die von Unternehmenskunden oder Ausschreibungen zur Zertifizierung verpflichtet sind.
- Jeder Sektor und jede Größe – der Standard ist technologie- und branchenneutral.
Sofern der Geltungsbereich des ISMS die Softwareentwicklung oder internetbasierte Anwendungen umfasst, gelten die Anwendungssicherheitskontrollen aus Anhang A.
Wichtige ISO 27001-Steuerelemente für die Anwendungssicherheit
Mehrere Kontrollen aus Anhang A (2022) bestimmen die Anwendungssicherheitsarbeit:
- A.8.25 - Secure development life cycle: Festlegung und Anwendung von Regeln für die sichere Entwicklung von Software und Systemen.
- A.8.26 – Anforderungen an die Anwendungssicherheit: Identifizieren und wenden Sie Sicherheitsanforderungen bei der Entwicklung oder Beschaffung von Anwendungen an.
- A.8.28 - Secure Coding: wende Prinzipien für sicheres Secure Coding bei der Softwareentwicklung an.
- A.8.29 – Sicherheitstests in der Entwicklung und bei der Abnahme: Definition und Durchführung von Sicherheitstests über den gesamten Entwicklungslebenszyklus hinweg.
- A.8.8 – Management technischer Schwachstellen: Informationen über technische Schwachstellen beschaffen und diese zeitnah beheben.
ISO 27001 Application-Security-Controls im Detail
A.8.29 – Sicherheitstests in Entwicklung und Abnahme
Diese Kontrolle erwartet, dass Sicherheitstests während der Entwicklung und vor der Abnahme definiert und durchgeführt werden. Penetrationstests und Schwachstellenscans von Web- und mobilen Anwendungen liefern genau diesen Nachweis, und erneute Tests nach Änderungen zeigen, dass die Kontrolle über die Zeit hinweg wirkt.
A.8.8 – Management technischer Schwachstellen
A.8.8 verlangt von Organisationen, technische Schwachstellen zu identifizieren, die Exposition zu bewerten und geeignete Maßnahmen zu ergreifen. Regelmäßige Schwachstellenscans und Attack-Surface-Management fließen direkt in diese Kontrolle ein.
A.8.25 & A.8.28 – Sichere Entwicklung und Secure Coding
Die Integration von Security in den Development Life Cycle und die Anwendung von Secure Coding Principles werden am besten durch Tests in CI/CD nachgewiesen – durch Shift Security Left, damit Anwendungen Release für Release sicher bleiben.
Gängige Risiken in Web- und mobilen Anwendungen, die zu beheben sind
Die Anwendungsrisiken, die diese Anhang-A-Kontrollen verhindern sollen, decken sich eng mit den OWASP Top 10:
- Broken Access Control — Nutzer erreichen Daten oder Aktionen, auf die sie keinen Zugriff haben sollten.
- Kryptografische Fehler – schwache oder fehlende Verschlüsselung, die sensible Daten offenlegt.
- Injection — SQL-, Befehls- oder andere Injections durch nicht validierte Eingaben.
- Insecure Design — fehlende Sicherheitskontrollen durch Design, nicht nur durch Bugs.
- Sicherheitsmiskonfiguration — Standard-, unvollständige oder unsichere Konfiguration.
- Vulnerable & Outdated Components — nicht gepatchte Bibliotheken und Frameworks.
- Identifizierungs- und Authentifizierungsfehler —schwache Login-, Session- oder Credential-Verwaltung.
- Software- und Datenintegritätsfehler — nicht vertrauenswürdige Updates, unsichere CI/CD-Pipelines.
- Ausfälle beim Security Logging & Monitoring — Angriffe bleiben unentdeckt.
- Server-Side Request Forgery (SSRF) – Der Server wird dazu verleitet, bösartige Anfragen zu stellen.
Für mobile Apps ist die OWASP Mobile Top 10 die entsprechende Referenz (unsichere Datenspeicherung, unsichere Kommunikation, schwache Kryptografie usw.). Das zuverlässige Finden dieser Probleme erfordert das Testen der laufenden Anwendung, nicht nur eine Dokumentenüberprüfung.
So erbringen Sie mit ImmuniWeb den Nachweis für Anwendungskontrollen nach ISO 27001
- Umfang definieren.Erfassen Sie die in-scope-Anwendungen und Assets mit ImmuniWeb Discovery.
- Tests in Entwicklung und Abnahme (A.8.29) mit On-Demand und Neuron.
- Verwalten Sie Schwachstellen (A.8.8) mit Neuron-Scans und dem Angriffsflächenmanagement von Discovery.
- Secure the SDLC (A.8.25 / A.8.28) with Continuous in CI/CD.
- Remediate and retest with clear, zero-false-positive reports as audit evidence.
- Halten Sie die Nachweise durch regelmäßige Re-Tests zwischen den Überwachungsaudits aufrecht.
So hilft Ihnen ImmuniWeb, ISO 27001-Konformität zu erreichen.
ImmuniWeb bietet die Tests, die die Anwendungssicherheits-Kontrollen gemäß ISO 27001 für Ihren Auditor nachweisen.
| Anforderung | Was erforderlich ist | ImmuniWeb-Produkte |
|---|---|---|
| A.8.29 | Sicherheitstests in der Entwicklung und Abnahme. | On-Demand, Neuron, Continuous |
| A.8.8 | Verwaltung technischer Schwachstellen. | Neuron, Discovery, On-Demand |
| A.8.25 / A.8.26 / A.8.28 | Sicherer Entwicklungslebenszyklus, Anforderungen und Programmierung. | Kontinuierlich, On-Demand |
ImmuniWeb On-Demand bietet manuelle Penetrationstests für Webanwendungen; Neuron und Neuron Mobile bieten automatisierte Scans; MobileSuite deckt mobile Apps ab; Continuous integriert Tests in CI/CD; und Discovery kartiert Ihre Attack Surface – zusammen liefern sie auditbereite Belege für Annex A.
ISO 27001 im Vergleich zu internationalen Rahmenwerken
Wenn Sie bereits nach internationalen Standards arbeiten, decken dieselben ImmuniWeb-Tests alle diese Standards ab:
| Framework | Aspekt der Anwendungssicherheit | Wie ImmuniWeb abbildet |
|---|---|---|
| ISO/IEC 27001:2022 | Anhang A: Technische Kontrollen (A.8.x) | Web- und Mobile-Pentests, Scans und ASM als Nachweis für Kontrollen |
| SOC 2 | Vertrauensdienstekriterien für Sicherheit | Tests als Kontrollnachweis |
| NIST CSF 2.0 | Schutz-/Erkennungsfunktionen | Applikationstests und Monitoring |
| PCI DSS 4.0.1 | Req 6 & Req 11 | Web-App-Pentest + Scanning |
Penetrationstests vs. Security Scanning
Beides ist erforderlich. Automatisiertes Scannen (DAST) bietet eine breite, häufige Abdeckung und ist ideal für kontinuierliche Tests im CI/CD-Pipeline; manuelle Penetrationstests finden Geschäftslogik- und komplexe Schwachstellen, die Scanner übersehen, und liefern die Tiefe, die Prüfer und Regulierungsbehörden erwarten. Kombinieren Sie kontinuierliches Scannen mit regelmäßigen manuellen Penetrationstests und führen Sie nach wesentlichen Änderungen erneut Tests durch.
Compliance-Checkliste (Anwendungssicherheit)
- Inventarisierung der relevanten Anwendungen und Assets
- Security Testing in Entwicklung/Acceptance definiert und durchgeführt (A.8.29)
- Technische Schwachstellen verwaltet und behoben (A.8.8)
- Sicherer Entwicklungslebenszyklus und sicheres Coding (A.8.25 / A.8.28)
- Findings behoben und erneut getestet; Nachweise aufbewahrt
- Aufrechterhaltung der Nachtests zwischen den Überwachungsaudits
- Die Statement of Applicability spiegelt die eingesetzten Controls wider
Warum die ISO 27001-Konformität wichtig ist
Die ISO/IEC 27001-Zertifizierung ist häufig eine Voraussetzung für Unternehmensverträge, Ausschreibungen und Partnerschaften und signalisiert Kunden und Regulierungsbehörden eine reife Security Posture. Auditoren erwarten nachweisbare Belege dafür, dass Controls funktionieren, nicht nur Policies.
Anwendungssicherheitskontrollen gehören zu den am intensivsten geprüften Aspekten in modernen Audits. Daher ist das regelmäßige Testen von Web- und mobilen Anwendungen eine der klarsten Möglichkeiten, die Anforderungen aus Anhang A nachzuweisen und Überwachungsaudits zu bestehen.