Physische Sicherheit über Frameworks hinweg: das Thema, das cloud-first-Unternehmen übersehen

Physische Sicherheit ist zum vergessenen Thema moderner Security-Programme geworden. Workloads laufen im Rechenzentrum eines Dritten, Mitarbeitende arbeiten von zu Hause, und das Büro besteht meist aus Schreibtischen und Kaffee. Trotzdem verlangen die meisten Frameworks physische Kontrollen. Als wir unsere eigenen Zuordnungen prüften, stellte sich heraus, dass sie unzureichend zugeordnet war, also haben wir ihr ein eigenes Thema gegeben.

Wer was verlangt

Framework	Physische Sicherheit	Verknüpfung
NIST CSF 2.0	PR.AA-06DE.CM-02PR.IR-02	Themendefinition
ISO 27001	A.7.1A.7.2A.7.3A.7.4A.7.5A.7.8A.7.11A.7.6A.7.12	Crosswalk
CIS v8.1	—	Keine Zuordnung in unseren Daten
SOC 2	CC6.4	Redaktionell
PCI DSS	9.2.19.2.39.3.19.2.1.19.3.1.19.3.2	Crosswalk
CMMC	PE.L2-3.10.1PE.L2-3.10.2PE.L2-3.10.3PE.L2-3.10.4PE.L2-3.10.5PE.L2-3.10.6	Crosswalk
800-53	PE-2PE-3PE-6PE-8PE-13PE-14	Crosswalk
HIPAA	§164.310(a)§164.310(a)(2)(ii)§164.310(a)(2)(iii)§164.310(b)§164.310(c)	Crosswalk
GDPR	—	Keine Zuordnung in unseren Daten
NIS2	13.113.213.3	Crosswalk
Essential Eight	—	Keine Zuordnung in unseren Daten

Vollständige Details und die Begründung für jede Verknüpfung: Physische Sicherheit über Frameworks hinweg →

Die Frameworks mit den strengsten Vorgaben

PCI DSS ist am detailliertesten: Zutrittskontrollen für Einrichtungen mit Systemen für Karteninhaberdaten, Überwachung sensibler Bereiche mit Kameras oder Zutrittskontrollsystemen, Besucherautorisierung und -protokolle, eingeschränkte Netzwerkanschlüsse und Hardware, sichere Speicherung und Vernichtung von Medien sowie die Prüfung von Kartenlesegeräten auf Manipulation (Anforderung 9). CMMC Level 2 hat eine eigene Familie: physischen Zugriff beschränken und überwachen, Besucher begleiten, Zugriffsprotokolle führen, Zugriffsgeräte verwalten und CUI an alternativen Arbeitsorten schützen (PE.L2-3.10.1 bis 3.10.6). ISO 27001 enthält vierzehn physische Maßnahmen im Thema A.7, von Perimetern und Zutrittskontrollen bis hin zu Clear Desk, Gerätewartung und sicherer Entsorgung. HIPAA umfasst einen vollständigen Satz physischer Schutzmaßnahmen in §164.310.

Die Frameworks, die es nicht tun

Die CIS Controls haben die physische Sicherheit in Version 8 gestrichen. GDPR und die Essential Eight behandeln sie nicht. SOC 2 deckt sie in einem einzigen Kriterium ab (CC6.4), und Prüfer reiner Cloud-Unternehmen akzeptieren dafür häufig den eigenen Bericht des Cloud-Anbieters.

Was Prüfer von einem cloud-first-Unternehmen erfragen

Auch wenn Sie keine eigenen Server besitzen, sollten Sie mit einer kurzen Fragenliste rechnen:

• Welche Cloud- und Colocation-Anbieter hosten Ihre Systeme, und wo ist deren Assurance-Bericht?
• Wie kontrollieren Sie den Zugang zu Ihren Büros, und wer hat Schlüssel oder Badges?
• Werden Besucher dort, wo sensible Informationen sichtbar sind, angemeldet und begleitet?
• Wie sind Laptops bei Verlust oder Diebstahl geschützt (Verschlüsselung, Remote-Löschung, ein Meldeprozess)?
• Wie werden Laufwerke, Laptops und Papier entsorgt?

Klare Antworten mit etwas Nachweismaterial (Export des Badge-Systems, Besucherprotokoll, MDM-Bericht, Entsorgungsnachweise) schließen das Thema meist schnell ab.

Wichtigste Erkenntnisse

• Die meisten Frameworks verlangen weiterhin physische Kontrollen.
• Cloud-first-Unternehmen übernehmen die Assurance des Rechenzentrums und müssen sichere Büros, Laptops und Medien selbst absichern.
• Kartenzahlungen vor Ort bringen die physischen Anforderungen von PCI in den Geltungsbereich zurück.
• PCI DSS ist am detailliertesten, bis hin zu Besucherprotokollen und der Prüfung von Kartenlesegeräten auf Manipulation.

Umsetzung ohne eigenes Rechenzentrum

Für ein Unternehmen ohne eigene Server reduziert sich die physische Sicherheit auf vier Punkte:

1. Das Rechenzentrum übernehmen. Der SOC-2-Bericht oder das ISO-Zertifikat Ihres Cloud-Anbieters deckt dessen Einrichtungen ab. Prüfen Sie den Geltungsbereich und halten Sie in Ihrer eigenen Dokumentation fest, dass Sie sich darauf stützen.
2. Das Büro verhältnismäßig sichern. Badge-Zugang, Besucheranmeldung, verschlossene Aufbewahrung für alles Sensible und eine Clear-Desk-Richtlinie (ISO A.7.7).
3. Laptops als Perimeter behandeln. Vollständige Festplattenverschlüsselung, Bildschirmsperren, Remote-Löschung und ein Prozess für verlorene Geräte decken den Großteil dessen ab, was früher physische Kontrollen leisteten.
4. Medien und Entsorgung regeln. Laufwerke und Geräte vor Wiederverwendung oder Entsorgung löschen oder zerstören (ISO A.7.14, PCI 9.4.7, HIPAA §164.310(d)).

Nehmen Sie Kartenzahlungen vor Ort an, lesen Sie Anforderung 9 von PCI DSS sorgfältig: Kartenlesegeräte am Verkaufspunkt bringen physische Kontrollen unabhängig davon in den Geltungsbereich, wie cloud-nativ Sie sind.

Die Themenseite Physische Sicherheit listet jede Anforderung mit ihrer Quelle auf, und die Lückenanalyse zeigt, was ein neues Framework zu Ihrem bestehenden hinzufügt.

Fragen

Deckt der CIS Controls die physische Sicherheit ab?

Nein. CIS Controls v8 hat die physische Sicherheit gestrichen, weshalb es für dieses Thema keine Zuordnung gibt.

Wie erfüllen reine Cloud-Unternehmen die Anforderungen an physische Sicherheit?

Indem sie sich für Rechenzentren auf die Assurance ihres Cloud-Anbieters stützen (zum Beispiel dessen SOC-2-Bericht oder ISO-Zertifikat) und eigene Büros, Geräte, Medien und Besucher selbst absichern.