Vergleich
Essential Eight vs. ISO 27001: eine technische Baseline vs. ein umfassendes Sicherheitsprogramm
ISO/IEC 27001:2022 · ASD Essential Eight · Daten 2026-10-27
Die Essential Eight des Australian Signals Directorate sind eine priorisierte Gruppe von acht Schutzstrategien (Patchen von Anwendungen und Betriebssystemen, Multi-Faktor-Authentifizierung, Einschränkung administrativer Berechtigungen, Application Control, Einschränkung von Makros in Microsoft Office, Härtung von Benutzeranwendungen und regelmäßige Backups). Jede Strategie wird auf den Reifegradstufen Eins bis Drei durch spezifische Controls im Information Security Manual (ISM) definiert. Behörden der australischen Regierung müssen sie im Rahmen des Protective Security Policy Framework umsetzen, und von ihren Lieferanten wird sie weitgehend erwartet.
ISO/IEC 27001 ist ein vollständiges Managementsystem, international anerkannt und zertifizierbar. Beide sind keine Alternativen zueinander. Die Essential Eight sind eine technische Baseline, die auf die Verhinderung von Angriffen und die Begrenzung ihrer Auswirkungen ausgerichtet ist, während ISO 27001 ein Framework für die Steuerung der gesamten Informationssicherheit ist.
Beim Übergang von ISO zu den Essential Eight sind alle E8-Controls zugeordnet oder lose verwandt. Viele davon sind jedoch nur lose verwandt, da die Controls des ASD deutlich spezifischer sind als Annex A. ISO fordert die Behandlung technischer Schwachstellen; die Essential Eight verlangen, dass öffentlich erreichbare Dienste innerhalb von 48 Stunden gepatcht werden, wenn ein Exploit existiert, und legen fest, wie Office-Makros, Browser und PowerShell auf jeder Reifegradstufe zu konfigurieren sind. Rechnen Sie mit echtem technischem Aufwand, insbesondere bei ML2 und ML3.
Beim Übergang von den Essential Eight zu ISO bleibt der größte Teil von ISO ohne Zuordnung: Governance, Lieferantenmanagement, rechtliche und Compliance-Controls, physische Sicherheit, personenbezogene Controls und das ISMS selbst liegen außerhalb des Umfangs der Essential Eight. Das ASD veröffentlicht kein Crosswalk zwischen beiden, daher sind die Zuordnungen zu den Essential Eight hier redaktionell durch ControlMapping.
Kernaussagen
- Nutzen Sie die Essential Eight, um innerhalb eines ISO-27001-ISMS konkrete technische Ziele festzulegen.
- Legen Sie je Strategie eine Ziel-Reifegradstufe fest; ML2 ist die übliche Erwartung für Arbeiten im öffentlichen Sektor.
- Die Einhaltung der Essential Eight ist nicht zertifizierbar; Bewertungen folgen dem Leitfaden Essential Eight assessment process des ASD.
Diesen Vergleich herunterladen (CSV) In der Lückenanalyse öffnen →
Haben ISO 27001 → benötigen Essential Eight
126 Anf. 57 zugeordnet · · 0 ohne Zuordnung In der Lückenansicht öffnen →Von 126 ASD Essential Eight-Anforderungen sind 57 auf etwas in ISO 27001 zugeordnet, 69 sind nur lose verwandt und 0 haben keine Zuordnung in unseren Daten.
Essential Eight bezeichnet hier die ISM-Maßnahmen, die ASD für die Reifegrade Eins bis Drei kennzeichnet; jede Zeile zeigt ihre Stufen (ML1–ML3). ASD veröffentlicht keinen Crosswalk zu anderen Frameworks, daher beruht jede Zuordnung auf der redaktionellen Einschätzung von ControlMapping.
Prüfen: nur lose verwandt (ein gemeinsames CSF-Ergebnis, keine Zuordnung) (69)
| Essential Eight | Anforderung | Abgleich | ISO 27001 | Nachweis |
|---|---|---|---|---|
| Patch applications · 6 | ||||
| ISM-0304 | ML3 Applications other than office productivity suites, web browsers and their extensions… | A.5.9A.8.7A.8.8 | Teilt nur CSF PR.PS-02, ID.RA-01: verwandt, aber keine Zuordnung | |
| ISM-1690 | ML1, ML2, ML3 Patches, updates or other vendor mitigations for vulnerabilities in online services are applied within two weeks of… | A.5.9A.8.7A.8.8 | Teilt nur CSF PR.PS-02, ID.RA-01: verwandt, aber keine Zuordnung | |
| ISM-1692 | ML3 Patches, updates or other vendor mitigations for vulnerabilities in office productivity suites, web browsers and their extensions, email clients, PDF applications, and security products are applied within 48… | A.5.9A.8.7A.8.8 | Teilt nur CSF PR.PS-02, ID.RA-01: verwandt, aber keine Zuordnung | |
| ISM-1700 | ML2, ML3 A vulnerability scanner is used at least fortnightly to identify missing patches or updates for vulnerabilities in applications other than office… | A.5.9A.8.7A.8.8 | Teilt nur CSF PR.PS-02, ID.RA-01: verwandt, aber keine Zuordnung | |
| ISM-1901 | ML3 Patches, updates or other vendor mitigations for vulnerabilities in office productivity suites, web browsers and their extensions, email clients, PDF applications, and security products are applied within two weeks of release when… | A.5.9A.8.7A.8.8 | Teilt nur CSF PR.PS-02, ID.RA-01: verwandt, aber keine Zuordnung | |
| ISM-1905 | ML1, ML2, ML3 Online services that are no longer supported by vendors are removed | A.5.9A.8.7A.8.8 | Teilt nur CSF PR.PS-02, ID.RA-01: verwandt, aber keine Zuordnung | |
| Patch operating systems · 10 | ||||
| ISM-1407 | ML3 The latest release, or the previous release, of operating systems are used | A.5.9A.8.1A.8.7+1 | Teilt nur CSF PR.PS-02, PR.PS-03: verwandt, aber keine Zuordnung | |
| ISM-1694 | ML1, ML2, ML3 Patches, updates or other vendor mitigations for vulnerabilities in operating systems of internet-facing servers and internet-facing network devices are applied within two weeks… | A.5.9A.8.1A.8.7+1 | Teilt nur CSF PR.PS-02, PR.PS-03: verwandt, aber keine Zuordnung | |
| ISM-1696 | ML3 Patches, updates or other vendor mitigations for vulnerabilities in operating systems of workstations, non-internet-facing servers and non-internet-facing network devices are applied within 48 hours of… | A.5.9A.8.1A.8.7+1 | Teilt nur CSF PR.PS-02, PR.PS-03: verwandt, aber keine Zuordnung | |
| ISM-1697 | ML3 Patches, updates or other vendor mitigations for vulnerabilities in drivers are applied within one month of release… | A.5.9A.8.1A.8.7+1 | Teilt nur CSF PR.PS-02, PR.PS-03: verwandt, aber keine Zuordnung | |
| ISM-1703 | ML3 A vulnerability scanner is used at least fortnightly to identify missing patches or updates for vulnerabilities in drivers | A.5.9A.8.1A.8.7+1 | Teilt nur CSF PR.PS-02, PR.PS-03: verwandt, aber keine Zuordnung | |
| ISM-1879 | ML3 Patches, updates or other vendor mitigations for vulnerabilities in drivers are applied within 48 hours of release… | A.5.9A.8.1A.8.7+1 | Teilt nur CSF PR.PS-02, PR.PS-03: verwandt, aber keine Zuordnung | |
| ISM-1900 | ML3 A vulnerability scanner is used at least fortnightly to identify missing patches or updates for vulnerabilities in firmware | A.5.9A.8.1A.8.7+1 | Teilt nur CSF PR.PS-02, PR.PS-03: verwandt, aber keine Zuordnung | |
| ISM-1902 | ML3 Patches, updates or other vendor mitigations for vulnerabilities in operating systems of workstations, non-internet-facing servers and non-internet-facing network devices are applied within one month of… | A.5.9A.8.1A.8.7+1 | Teilt nur CSF PR.PS-02, PR.PS-03: verwandt, aber keine Zuordnung | |
| ISM-1903 | ML3 Patches, updates or other vendor mitigations for vulnerabilities in firmware are applied within 48 hours of release… | A.5.9A.8.1A.8.7+1 | Teilt nur CSF PR.PS-02, PR.PS-03: verwandt, aber keine Zuordnung | |
| ISM-1904 | ML3 Patches, updates or other vendor mitigations for vulnerabilities in firmware are applied within one month of release… | A.5.9A.8.1A.8.7+1 | Teilt nur CSF PR.PS-02, PR.PS-03: verwandt, aber keine Zuordnung | |
| Multi-factor authentication · 9 | ||||
| ISM-1505 | ML3 Multi-factor authentication is used to authenticate human users of data repositories | A.5.15A.5.16A.5.17+2 | Teilt nur CSF PR.AA-03: verwandt, aber keine Zuordnung | |
| ISM-1680 | ML1, ML2, ML3 Multi-factor authentication (where available) is used to authenticate human users to… | A.5.15A.5.16A.5.17+2 | Teilt nur CSF PR.AA-03: verwandt, aber keine Zuordnung | |
| ISM-1681 | ML1, ML2, ML3 Multi-factor authentication is used to authenticate customers to online customer… | A.5.15A.5.16A.5.17+2 | Teilt nur CSF PR.AA-03: verwandt, aber keine Zuordnung | |
| ISM-1682 | ML2, ML3 Multi-factor authentication used for authenticating human users of systems is… | A.5.15A.5.16A.5.17+2 | Teilt nur CSF PR.AA-03: verwandt, aber keine Zuordnung | |
| ISM-1873 | ML2 Multi-factor authentication used for authenticating customers of online customer services provides a… | A.5.15A.5.16A.5.17+2 | Teilt nur CSF PR.AA-03: verwandt, aber keine Zuordnung | |
| ISM-1874 | ML3 Multi-factor authentication used for authenticating customers of online customer services is phishing-resistant | A.5.15A.5.16A.5.17+2 | Teilt nur CSF PR.AA-03: verwandt, aber keine Zuordnung | |
| ISM-1892 | ML1, ML2, ML3 Multi-factor authentication is used to authenticate human users to their organisation’s online customer services that… | A.5.15A.5.16A.5.17+2 | Teilt nur CSF PR.AA-03: verwandt, aber keine Zuordnung | |
| ISM-1893 | ML1, ML2, ML3 Multi-factor authentication is used to authenticate human users to third-party online customer services that process… | A.5.15A.5.16A.5.17+2 | Teilt nur CSF PR.AA-03: verwandt, aber keine Zuordnung | |
| ISM-1894 | ML3 Multi-factor authentication used for authenticating human users of data repositories is… | A.5.15A.5.16A.5.17+2 | Teilt nur CSF PR.AA-03: verwandt, aber keine Zuordnung | |
| Restrict administrative privileges · 11 | ||||
| ISM-1649 | ML3 Just-in-time administration is used for the administration of systems and their resources | A.5.1A.5.3A.5.14+5 | Teilt nur CSF PR.AA-05: verwandt, aber keine Zuordnung | |
| ISM-1650 | ML2, ML3 Privileged user account and security group management events are centrally logged | A.5.1A.5.3A.5.14+5 | Teilt nur CSF PR.AA-05: verwandt, aber keine Zuordnung | |
| ISM-1685 | ML2, ML3 Credentials for break glass accounts, local administrator accounts and service accounts… | A.5.1A.5.3A.5.14+5 | Teilt nur CSF PR.AA-05: verwandt, aber keine Zuordnung | |
| ISM-1686 | ML3 Credential Guard functionality is enabled | A.5.1A.5.3A.5.14+5 | Teilt nur CSF PR.AA-05: verwandt, aber keine Zuordnung | |
| ISM-1687 | ML2, ML3 Privileged operating environments are not virtualised within unprivileged operating… | A.5.1A.5.3A.5.14+5 | Teilt nur CSF PR.AA-05: verwandt, aber keine Zuordnung | |
| ISM-1688 | ML1, ML2, ML3 Unprivileged user accounts cannot be used to log on to privileged operating environments | A.5.1A.5.3A.5.14+5 | Teilt nur CSF PR.AA-05: verwandt, aber keine Zuordnung | |
| ISM-1689 | ML1, ML2, ML3 Privileged user accounts (excluding local administrator accounts) cannot be used to log… | A.5.1A.5.3A.5.14+5 | Teilt nur CSF PR.AA-05: verwandt, aber keine Zuordnung | |
| ISM-1861 | ML3 Local Security Authority protection functionality is enabled | A.5.1A.5.3A.5.14+5 | Teilt nur CSF PR.AA-05: verwandt, aber keine Zuordnung | |
| ISM-1883 | ML1, ML2, ML3 Privileged user accounts explicitly authorised to access online services are strictly… | A.5.1A.5.3A.5.14+5 | Teilt nur CSF PR.AA-05: verwandt, aber keine Zuordnung | |
| ISM-1897 | ML3 Remote Credential Guard functionality is enabled | A.5.1A.5.3A.5.14+5 | Teilt nur CSF PR.AA-05: verwandt, aber keine Zuordnung | |
| ISM-1898 | ML3 Secure Admin Workstations are used in the performance of administrative activities | A.5.1A.5.3A.5.14+5 | Teilt nur CSF PR.AA-05: verwandt, aber keine Zuordnung | |
| Application control · 5 | ||||
| ISM-1582 | ML2, ML3 Application control rulesets are validated at least annually | A.8.1A.8.7A.8.19 | Teilt nur CSF PR.PS-05: verwandt, aber keine Zuordnung | |
| ISM-1656 | ML3 Application control is implemented on non-internet-facing servers | A.8.1A.8.7A.8.19 | Teilt nur CSF PR.PS-05: verwandt, aber keine Zuordnung | |
| ISM-1658 | ML3 Application control restricts the execution of drivers to an organisation-approved set | A.8.1A.8.7A.8.19 | Teilt nur CSF PR.PS-05: verwandt, aber keine Zuordnung | |
| ISM-1659 | ML3 Microsoft’s vulnerable driver blocklist is implemented | A.8.1A.8.7A.8.19 | Teilt nur CSF PR.PS-05: verwandt, aber keine Zuordnung | |
| ISM-1871 | ML2, ML3 Application control is applied to all locations other than user profiles and temporary… | A.8.1A.8.7A.8.19 | Teilt nur CSF PR.PS-05: verwandt, aber keine Zuordnung | |
| Restrict Microsoft Office macros · 10 | ||||
| ISM-1487 | ML3 Only privileged human users responsible for checking that Microsoft Office macros are… | A.6.7A.8.1A.8.7+4 | Teilt nur CSF PR.PS-01, PR.PS-05: verwandt, aber keine Zuordnung | |
| ISM-1489 | ML1, ML2, ML3 Microsoft Office macro security settings cannot be changed by human users | A.6.7A.8.1A.8.7+4 | Teilt nur CSF PR.PS-01, PR.PS-05: verwandt, aber keine Zuordnung | |
| ISM-1671 | ML1, ML2, ML3 Microsoft Office macros are disabled for human users that do not have a demonstrated… | A.6.7A.8.1A.8.7+4 | Teilt nur CSF PR.PS-01, PR.PS-05: verwandt, aber keine Zuordnung | |
| ISM-1672 | ML1, ML2, ML3 Microsoft Office macro antivirus scanning is enabled | A.6.7A.8.1A.8.7+4 | Teilt nur CSF PR.PS-01, PR.PS-05: verwandt, aber keine Zuordnung | |
| ISM-1673 | ML2, ML3 Microsoft Office macros are blocked from making Win32 API calls | A.6.7A.8.1A.8.7+4 | Teilt nur CSF PR.PS-01, PR.PS-05: verwandt, aber keine Zuordnung | |
| ISM-1674 | ML3 Only Microsoft Office macros running from within a sandboxed environment, a Trusted… | A.6.7A.8.1A.8.7+4 | Teilt nur CSF PR.PS-01, PR.PS-05: verwandt, aber keine Zuordnung | |
| ISM-1675 | ML3 Microsoft Office macros digitally signed by an untrusted publisher cannot be enabled… | A.6.7A.8.1A.8.7+4 | Teilt nur CSF PR.PS-01, PR.PS-05: verwandt, aber keine Zuordnung | |
| ISM-1676 | ML3 Microsoft Office’s list of trusted publishers is validated at least annually | A.6.7A.8.1A.8.7+4 | Teilt nur CSF PR.PS-01, PR.PS-05: verwandt, aber keine Zuordnung | |
| ISM-1890 | ML3 Microsoft Office macros are checked to ensure they are free of malicious code before… | A.6.7A.8.1A.8.7+4 | Teilt nur CSF PR.PS-01, PR.PS-05: verwandt, aber keine Zuordnung | |
| ISM-1891 | ML3 Microsoft Office macros digitally signed by signatures other than V3 signatures cannot… | A.6.7A.8.1A.8.7+4 | Teilt nur CSF PR.PS-01, PR.PS-05: verwandt, aber keine Zuordnung | |
| User application hardening · 13 | ||||
| ISM-1485 | ML1, ML2, ML3 Web browsers do not process web advertisements from the internet | A.6.7A.8.8A.8.9+1 | Teilt nur CSF PR.PS-01: verwandt, aber keine Zuordnung | |
| ISM-1486 | ML1, ML2, ML3 Web browsers do not process Java from the internet | A.6.7A.8.8A.8.9+1 | Teilt nur CSF PR.PS-01: verwandt, aber keine Zuordnung | |
| ISM-1542 | ML2, ML3 Microsoft Office is configured to prevent activation of Object Linking and Embedding… | A.6.7A.8.8A.8.9+1 | Teilt nur CSF PR.PS-01: verwandt, aber keine Zuordnung | |
| ISM-1622 | ML3 PowerShell is configured to use Constrained Language Mode | A.6.7A.8.8A.8.9+1 | Teilt nur CSF PR.PS-01: verwandt, aber keine Zuordnung | |
| ISM-1655 | ML3 .NET Framework 3.5 (includes .NET 2.0 and 3.0) is disabled or removed | A.6.7A.8.8A.8.9+1 | Teilt nur CSF PR.PS-01: verwandt, aber keine Zuordnung | |
| ISM-1667 | ML2, ML3 Microsoft Office is blocked from creating child processes | A.6.7A.8.8A.8.9+1 | Teilt nur CSF PR.PS-01: verwandt, aber keine Zuordnung | |
| ISM-1668 | ML2, ML3 Microsoft Office is blocked from creating executable content | A.6.7A.8.8A.8.9+1 | Teilt nur CSF PR.PS-01: verwandt, aber keine Zuordnung | |
| ISM-1669 | ML2, ML3 Microsoft Office is blocked from injecting code into other processes | A.6.7A.8.8A.8.9+1 | Teilt nur CSF PR.PS-01: verwandt, aber keine Zuordnung | |
| ISM-1670 | ML2, ML3 PDF applications are blocked from creating child processes | A.6.7A.8.8A.8.9+1 | Teilt nur CSF PR.PS-01: verwandt, aber keine Zuordnung | |
| ISM-1823 | ML2, ML3 Office productivity suite security settings cannot be changed by human users | A.6.7A.8.8A.8.9+1 | Teilt nur CSF PR.PS-01: verwandt, aber keine Zuordnung | |
| ISM-1824 | ML2, ML3 PDF application security settings cannot be changed by human users | A.6.7A.8.8A.8.9+1 | Teilt nur CSF PR.PS-01: verwandt, aber keine Zuordnung | |
| ISM-1889 | ML2, ML3 Command line process creation events are centrally logged | A.6.7A.8.8A.8.9+1 | Teilt nur CSF PR.PS-01: verwandt, aber keine Zuordnung | |
| ISM-1896 | ML3 Memory integrity functionality is enabled | A.6.7A.8.8A.8.9+1 | Teilt nur CSF PR.PS-01: verwandt, aber keine Zuordnung | |
| Regular backups · 5 | ||||
| ISM-1705 | ML2, ML3 Privileged user accounts (excluding backup administrator accounts) cannot access… | A.8.13 | Teilt nur CSF PR.DS-11, RC.RP-03: verwandt, aber keine Zuordnung | |
| ISM-1706 | ML3 Privileged user accounts (excluding backup administrator accounts) cannot access their… | A.8.13 | Teilt nur CSF PR.DS-11, RC.RP-03: verwandt, aber keine Zuordnung | |
| ISM-1708 | ML3 Backup administrator accounts are prevented from modifying and deleting backups during… | A.8.13 | Teilt nur CSF PR.DS-11, RC.RP-03: verwandt, aber keine Zuordnung | |
| ISM-1812 | ML1, ML2, ML3 Unprivileged user accounts cannot access backups belonging to other user accounts | A.8.13 | Teilt nur CSF PR.DS-11, RC.RP-03: verwandt, aber keine Zuordnung | |
| ISM-1813 | ML3 Unprivileged user accounts cannot access their own backups | A.8.13 | Teilt nur CSF PR.DS-11, RC.RP-03: verwandt, aber keine Zuordnung | |
Zugeordnet (57)
| Essential Eight | Anforderung | Abgleich | ISO 27001 | Nachweis |
|---|---|---|---|---|
| Patch applications · 6 | ||||
| ISM-1691 | ML1, ML2 Patches, updates or other vendor mitigations for vulnerabilities in office productivity suites, web browsers and their extensions, email clients, PDF applications, and security products are applied within two weeks of release | Redaktionell | A.8.8 | Gleiches Thema: Patch-Management (Redaktionelle Auswahl) |
| ISM-1693 | ML2, ML3 Patches, updates or other vendor mitigations for vulnerabilities in applications other… | Redaktionell | A.8.8 | Gleiches Thema: Patch-Management (Redaktionelle Auswahl) |
| ISM-1698 | ML1, ML2, ML3 A vulnerability scanner is used at least daily to identify missing patches or updates for vulnerabilities in online… | Redaktionell | A.8.8 | Gleiches Thema: Schwachstellenmanagement (Redaktionelle Auswahl) |
| ISM-1699 | ML1, ML2, ML3 A vulnerability scanner is used at least weekly to identify missing patches or updates… | Redaktionell | A.8.8 | Gleiches Thema: Schwachstellenmanagement (Redaktionelle Auswahl) |
| ISM-1704 | ML1, ML2, ML3 Office productivity suites, web browsers and their extensions, email clients, PDF… | Redaktionell | A.8.8 | Gleiches Thema: Patch-Management (Redaktionelle Auswahl) |
| ISM-1876 | ML1, ML2, ML3 Patches, updates or other vendor mitigations for vulnerabilities in online services are applied within 48 hours of… | Redaktionell | A.8.8 | Gleiches Thema: Patch-Management (Redaktionelle Auswahl) |
| Patch applications & Patch operating systems · 2 | ||||
| ISM-1807 | ML1, ML2, ML3 An automated method of asset discovery is used at least fortnightly to support the… | Redaktionell | A.5.9A.5.11A.7.14+1 | Gleiches Thema: Asset-Management (Redaktionelle Auswahl) |
| ISM-1808 | ML1, ML2, ML3 A vulnerability scanner with an up-to-date vulnerability database is used for… | Redaktionell | A.8.8 | Gleiches Thema: Schwachstellenmanagement (Redaktionelle Auswahl) |
| Patch operating systems · 5 | ||||
| ISM-1501 | ML1, ML2, ML3 Operating systems that are no longer supported by vendors are replaced | Redaktionell | A.8.8 | Gleiches Thema: Patch-Management (Redaktionelle Auswahl) |
| ISM-1695 | ML1, ML2 Patches, updates or other vendor mitigations for vulnerabilities in operating systems of workstations, non-internet-facing servers and non-internet-facing network devices are applied within one month of release | Redaktionell | A.8.8 | Gleiches Thema: Patch-Management (Redaktionelle Auswahl) |
| ISM-1701 | ML1, ML2, ML3 A vulnerability scanner is used at least daily to identify missing patches or updates for vulnerabilities in… | Redaktionell | A.8.8 | Gleiches Thema: Schwachstellenmanagement (Redaktionelle Auswahl) |
| ISM-1702 | ML1, ML2, ML3 A vulnerability scanner is used at least fortnightly to identify missing patches or updates for vulnerabilities in operating systems of… | Redaktionell | A.8.8 | Gleiches Thema: Schwachstellenmanagement (Redaktionelle Auswahl) |
| ISM-1877 | ML1, ML2, ML3 Patches, updates or other vendor mitigations for vulnerabilities in operating systems of internet-facing servers and internet-facing network devices are applied within 48 hours… | Redaktionell | A.8.8 | Gleiches Thema: Patch-Management (Redaktionelle Auswahl) |
| Multi-factor authentication · 7 | ||||
| ISM-0974 | ML2, ML3 Multi-factor authentication is used to authenticate unprivileged human users of systems | Redaktionell | A.8.5 | Gleiches Thema: Multi-Faktor-Authentifizierung (Redaktionelle Auswahl) |
| ISM-1173 | ML2, ML3 Multi-factor authentication is used to authenticate privileged human users of systems | Redaktionell | A.8.5 | Gleiches Thema: Multi-Faktor-Authentifizierung (Redaktionelle Auswahl) |
| ISM-1401 | ML1, ML2, ML3 Multi-factor authentication uses either: something people have and something people… | Redaktionell | A.8.5 | Gleiches Thema: Multi-Faktor-Authentifizierung (Redaktionelle Auswahl) |
| ISM-1504 | ML1, ML2, ML3 Multi-factor authentication is used to authenticate human users to their organisation’s online services that process… | Redaktionell | A.8.5 | Gleiches Thema: Multi-Faktor-Authentifizierung (Redaktionelle Auswahl) |
| ISM-1679 | ML1, ML2, ML3 Multi-factor authentication is used to authenticate human users to third-party online services that process, store or… | Redaktionell | A.8.5 | Gleiches Thema: Multi-Faktor-Authentifizierung (Redaktionelle Auswahl) |
| ISM-1683 | ML2, ML3 Successful and unsuccessful multi-factor authentication events are centrally logged | Redaktionell | A.8.15A.8.17 | Gleiches Thema: Protokollierung & Audit (Redaktionelle Auswahl) |
| ISM-1872 | ML2, ML3 Multi-factor authentication used for authenticating human users of online services is… | Redaktionell | A.8.5 | Gleiches Thema: Multi-Faktor-Authentifizierung (Redaktionelle Auswahl) |
| Restrict administrative privileges · 9 | ||||
| ISM-0445 | ML1, ML2, ML3 Privileged human users are assigned a dedicated privileged user account to be used… | Redaktionell | A.8.2A.8.18 | Gleiches Thema: Privilegierter Zugriff (Redaktionelle Auswahl) |
| ISM-1175 | ML1, ML2, ML3 Privileged user accounts (excluding those explicitly authorised to access online… | Redaktionell | A.8.2A.8.18 | Gleiches Thema: Privilegierter Zugriff (Redaktionelle Auswahl) |
| ISM-1380 | ML1, ML2, ML3 Privileged human users use separate privileged and unprivileged operating environments | Redaktionell | A.8.2A.8.18 | Gleiches Thema: Privilegierter Zugriff (Redaktionelle Auswahl) |
| ISM-1387 | ML2, ML3 Administrative activities are conducted through jump servers | Redaktionell | A.8.2A.8.18 | Gleiches Thema: Privilegierter Zugriff (Redaktionelle Auswahl) |
| ISM-1507 | ML1, ML2, ML3 Requests for privileged access to systems and their resources are validated when first… | Redaktionell | A.8.2A.8.18 | Gleiches Thema: Privilegierter Zugriff (Redaktionelle Auswahl) |
| ISM-1508 | ML3 Privileged access to systems and their resources is limited to only what is required… | Redaktionell | A.8.2A.8.18 | Gleiches Thema: Privilegierter Zugriff (Redaktionelle Auswahl) |
| ISM-1509 | ML2, ML3 Privileged access events are centrally logged | Redaktionell | A.8.15A.8.17 | Gleiches Thema: Protokollierung & Audit (Redaktionelle Auswahl) |
| ISM-1647 | ML2, ML3 Privileged access to systems and their resources are disabled after 12 months unless… | Redaktionell | A.8.2A.8.18 | Gleiches Thema: Privilegierter Zugriff (Redaktionelle Auswahl) |
| ISM-1648 | ML2, ML3 Privileged access to systems and their resources are disabled after 45 days of inactivity | Redaktionell | A.8.2A.8.18 | Gleiches Thema: Privilegierter Zugriff (Redaktionelle Auswahl) |
| Application control · 6 | ||||
| ISM-0843 | ML1, ML2, ML3 Application control is implemented on workstations | Redaktionell | A.8.1A.8.7A.8.19 | Gleiches Thema: Endpoint-Schutz (Redaktionelle Auswahl) |
| ISM-1490 | ML2, ML3 Application control is implemented on internet-facing servers | Redaktionell | A.8.1A.8.7A.8.19 | Gleiches Thema: Endpoint-Schutz (Redaktionelle Auswahl) |
| ISM-1544 | ML2, ML3 Microsoft’s recommended application blocklist is implemented | Redaktionell | A.8.1A.8.7A.8.19 | Gleiches Thema: Endpoint-Schutz (Redaktionelle Auswahl) |
| ISM-1657 | ML1, ML2, ML3 Application control restricts the execution of executables, libraries, scripts… | Redaktionell | A.8.1A.8.7A.8.19 | Gleiches Thema: Endpoint-Schutz (Redaktionelle Auswahl) |
| ISM-1660 | ML2, ML3 Allowed and blocked application control events are centrally logged | Redaktionell | A.8.15A.8.17 | Gleiches Thema: Protokollierung & Audit (Redaktionelle Auswahl) |
| ISM-1870 | ML1, ML2, ML3 Application control is applied to user profiles and temporary folders used by operating… | Redaktionell | A.8.1A.8.7A.8.19 | Gleiches Thema: Endpoint-Schutz (Redaktionelle Auswahl) |
| Restrict Microsoft Office macros · 1 | ||||
| ISM-1488 | ML1, ML2, ML3 Microsoft Office macros in files originating from the internet are blocked | Redaktionell | A.5.14A.8.1A.8.7+1 | Gleiches Thema: E-Mail-Sicherheit, Endpoint-Schutz (Redaktionelle Auswahl) |
| User application hardening · 7 | ||||
| ISM-1412 | ML2, ML3 Web browsers are hardened using ASD and vendor hardening guidance, with the most… | Redaktionell | A.8.9 | Gleiches Thema: Sichere Konfiguration (Redaktionelle Auswahl) |
| ISM-1585 | ML1, ML2, ML3 Web browser security settings cannot be changed by human users | Redaktionell | A.8.9 | Gleiches Thema: Sichere Konfiguration (Redaktionelle Auswahl) |
| ISM-1621 | ML3 Windows PowerShell 2.0 is disabled or removed | Redaktionell | A.8.9 | Gleiches Thema: Sichere Konfiguration (Redaktionelle Auswahl) |
| ISM-1623 | ML2, ML3 PowerShell module logging, script block logging and transcription events are centrally… | Redaktionell | A.8.15A.8.17 | Gleiches Thema: Protokollierung & Audit (Redaktionelle Auswahl) |
| ISM-1654 | ML1, ML2, ML3 Internet Explorer 11 is disabled or removed | Redaktionell | A.8.9 | Gleiches Thema: Sichere Konfiguration (Redaktionelle Auswahl) |
| ISM-1859 | ML2, ML3 Office productivity suites are hardened using ASD and vendor hardening guidance, with… | Redaktionell | A.8.9 | Gleiches Thema: Sichere Konfiguration (Redaktionelle Auswahl) |
| ISM-1860 | ML2, ML3 PDF applications are hardened using ASD and vendor hardening guidance, with the most… | Redaktionell | A.8.9 | Gleiches Thema: Sichere Konfiguration (Redaktionelle Auswahl) |
| Regular backups · 6 | ||||
| ISM-1511 | ML1, ML2, ML3 Backups of data, applications and settings are performed and retained in accordance… | Redaktionell | A.8.13 | Gleiches Thema: Backup & Recovery (Redaktionelle Auswahl) |
| ISM-1515 | ML1, ML2, ML3 Restoration of data, applications and settings from backups to a common point in time… | Redaktionell | A.5.30A.8.13A.8.14 | Gleiches Thema: Disaster Recovery, Backup & Recovery (Redaktionelle Auswahl) |
| ISM-1707 | ML2, ML3 Privileged user accounts (excluding backup administrator accounts) are prevented from… | Redaktionell | A.8.13 | Gleiches Thema: Backup & Recovery (Redaktionelle Auswahl) |
| ISM-1810 | ML1, ML2, ML3 Backups of data, applications and settings are synchronised to enable restoration to a… | Redaktionell | A.8.13 | Gleiches Thema: Backup & Recovery (Redaktionelle Auswahl) |
| ISM-1811 | ML1, ML2, ML3 Backups of data, applications and settings are retained in a secure and resilient manner | Redaktionell | A.8.13 | Gleiches Thema: Backup & Recovery (Redaktionelle Auswahl) |
| ISM-1814 | ML1, ML2, ML3 Unprivileged user accounts are prevented from modifying and deleting backups | Redaktionell | A.8.13 | Gleiches Thema: Backup & Recovery (Redaktionelle Auswahl) |
| Logging and incident response (all strategies) · 8 | ||||
| ISM-0109 | ML3 Event logs from workstations are analysed in a timely manner to detect cyber security… | Redaktionell | A.8.16 | Gleiches Thema: Kont. Überwachung (Redaktionelle Auswahl) |
| ISM-0123 | ML2, ML3 Cyber security incidents are reported to the chief information security officer, or one… | Redaktionell | A.5.5A.6.8 | Gleiches Thema: Meldung (Redaktionelle Auswahl) |
| ISM-0140 | ML2, ML3 Cyber security incidents are reported to ASD as soon as possible after they occur or… | Redaktionell | A.5.5A.6.8 | Gleiches Thema: Meldung (Redaktionelle Auswahl) |
| ISM-1228 | ML2, ML3 Cyber security events are analysed in a timely manner to identify cyber security incidents | Redaktionell | A.5.25A.8.16 | Gleiches Thema: SIEM / SOC, Anomalieerkennung (Redaktionelle Auswahl) |
| ISM-1815 | ML2, ML3 Event logs are protected from unauthorised modification and deletion | Redaktionell | A.8.15A.8.17 | Gleiches Thema: Protokollierung & Audit (Redaktionelle Auswahl) |
| ISM-1819 | ML2, ML3 Following the identification of a cyber security incident, the cyber security incident… | Redaktionell | A.5.24A.5.25A.5.26 | Gleiches Thema: Incident Response (Redaktionelle Auswahl) |
| ISM-1906 | ML2, ML3 Event logs from internet-facing servers are analysed in a timely manner to detect cyber… | Redaktionell | A.5.25A.8.16 | Gleiches Thema: SIEM / SOC, Kont. Überwachung (Redaktionelle Auswahl) |
| ISM-1907 | ML3 Event logs from non-internet-facing servers are analysed in a timely manner to detect… | Redaktionell | A.8.16 | Gleiches Thema: Kont. Überwachung (Redaktionelle Auswahl) |
Haben Essential Eight → benötigen ISO 27001
123 Anf. 23 zugeordnet · · 61 ohne Zuordnung In der Lückenansicht öffnen →Von 123 ISO/IEC 27001:2022-Anforderungen sind 23 auf etwas in Essential Eight zugeordnet, 39 sind nur lose verwandt und 61 haben keine Zuordnung in unseren Daten.
Voraussichtlich neuer Aufwand: ISO 27001-Anforderungen ohne Zuordnung zu Essential Eight (61)
| ISO 27001 | Anforderung | Abgleich | Essential Eight | Nachweis |
|---|---|---|---|---|
| A.5 Organizational controls · 14 | ||||
| A.5.2 | Information security roles and responsibilities | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu Essential Eight in unseren Daten. |
| A.5.4 | Management responsibilities | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu Essential Eight in unseren Daten. |
| A.5.6 | Contact with special interest groups | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu Essential Eight in unseren Daten. |
| A.5.7 | Threat intelligence | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu Essential Eight in unseren Daten. |
| A.5.20 | Addressing information security within supplier agreements | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu Essential Eight in unseren Daten. |
| A.5.21 | Managing information security in the ICT supply chain | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu Essential Eight in unseren Daten. |
| A.5.23 | Information security for use of cloud services | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu Essential Eight in unseren Daten. |
| A.5.31 | Legal, statutory, regulatory and contractual requirements | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu Essential Eight in unseren Daten. |
| A.5.32 | Intellectual property rights | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu Essential Eight in unseren Daten. |
| A.5.33 | Protection of records | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu Essential Eight in unseren Daten. |
| A.5.34 | Privacy and protection of PII | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu Essential Eight in unseren Daten. |
| A.5.35 | Independent review of information security | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu Essential Eight in unseren Daten. |
| A.5.36 | Compliance with policies, rules and standards for information security | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu Essential Eight in unseren Daten. |
| A.5.37 | Documented operating procedures | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu Essential Eight in unseren Daten. |
| A.6 People controls · 3 | ||||
| A.6.3 | Information security awareness, education and training | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu Essential Eight in unseren Daten. |
| A.6.4 | Disciplinary process | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu Essential Eight in unseren Daten. |
| A.6.6 | Confidentiality or non-disclosure agreements | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu Essential Eight in unseren Daten. |
| A.7 Physical controls · 10 | ||||
| A.7.1 | Physical security perimeters | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu Essential Eight in unseren Daten. |
| A.7.2 | Physical entry | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu Essential Eight in unseren Daten. |
| A.7.3 | Securing offices, rooms and facilities | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu Essential Eight in unseren Daten. |
| A.7.5 | Protecting against physical and environmental threats | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu Essential Eight in unseren Daten. |
| A.7.6 | Working in secure areas | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu Essential Eight in unseren Daten. |
| A.7.7 | Clear desk and clear screen | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu Essential Eight in unseren Daten. |
| A.7.8 | Equipment siting and protection | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu Essential Eight in unseren Daten. |
| A.7.9 | Security of assets off-premises | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu Essential Eight in unseren Daten. |
| A.7.11 | Supporting utilities | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu Essential Eight in unseren Daten. |
| A.7.12 | Cabling security | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu Essential Eight in unseren Daten. |
| A.8 Technological controls · 13 | ||||
| A.8.10 | Information deletion | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu Essential Eight in unseren Daten. |
| A.8.11 | Data masking | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu Essential Eight in unseren Daten. |
| A.8.12 | Data leakage prevention | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu Essential Eight in unseren Daten. |
| A.8.21 | Security of network services | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu Essential Eight in unseren Daten. |
| A.8.23 | Web filtering | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu Essential Eight in unseren Daten. |
| A.8.25 | Secure development life cycle | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu Essential Eight in unseren Daten. |
| A.8.28 | Secure coding | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu Essential Eight in unseren Daten. |
| A.8.29 | Security testing in development and acceptance | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu Essential Eight in unseren Daten. |
| A.8.30 | Outsourced development | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu Essential Eight in unseren Daten. |
| A.8.31 | Separation of development, test and production environments | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu Essential Eight in unseren Daten. |
| A.8.32 | Change management | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu Essential Eight in unseren Daten. |
| A.8.33 | Test information | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu Essential Eight in unseren Daten. |
| A.8.34 | Protection of information systems during audit testing | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu Essential Eight in unseren Daten. |
| ISMS clauses 4–10 · 21 | ||||
| Clause 4.1 | Understanding the organization and its context | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu Essential Eight in unseren Daten. |
| Clause 4.3 | Determining the scope of the ISMS | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu Essential Eight in unseren Daten. |
| Clause 4.4 | Information security management system | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu Essential Eight in unseren Daten. |
| Clause 5.1 | Leadership and commitment | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu Essential Eight in unseren Daten. |
| Clause 5.3 | Organizational roles, responsibilities and authorities | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu Essential Eight in unseren Daten. |
| Clause 6.1.3 | Information security risk treatment | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu Essential Eight in unseren Daten. |
| Clause 6.2 | Information security objectives and planning to achieve them | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu Essential Eight in unseren Daten. |
| Clause 6.3 | Planning of changes | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu Essential Eight in unseren Daten. |
| Clause 7.1 | Resources | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu Essential Eight in unseren Daten. |
| Clause 7.2 | Competence | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu Essential Eight in unseren Daten. |
| Clause 7.3 | Awareness | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu Essential Eight in unseren Daten. |
| Clause 7.5.1 | General | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu Essential Eight in unseren Daten. |
| Clause 7.5.2 | Creating and updating | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu Essential Eight in unseren Daten. |
| Clause 7.5.3 | Control of documented information | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu Essential Eight in unseren Daten. |
| Clause 8.1 | Operational planning and control | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu Essential Eight in unseren Daten. |
| Clause 8.2 | Information security risk assessment | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu Essential Eight in unseren Daten. |
| Clause 8.3 | Information security risk treatment | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu Essential Eight in unseren Daten. |
| Clause 9.2.1 | General | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu Essential Eight in unseren Daten. |
| Clause 9.2.2 | Internal audit programme | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu Essential Eight in unseren Daten. |
| Clause 10.1 | Continual improvement | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu Essential Eight in unseren Daten. |
| Clause 10.2 | Nonconformity and corrective action | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu Essential Eight in unseren Daten. |
Prüfen: nur lose verwandt (ein gemeinsames CSF-Ergebnis, keine Zuordnung) (39)
| ISO 27001 | Anforderung | Abgleich | Essential Eight | Nachweis |
|---|---|---|---|---|
| A.5 Organizational controls · 15 | ||||
| A.5.1 | Policies for information security | ISM-0445ISM-1175ISM-1380+5 | Teilt nur CSF PR.AA-05: verwandt, aber keine Zuordnung | |
| A.5.3 | Segregation of duties | ISM-0445ISM-1175ISM-1380+5 | Teilt nur CSF PR.AA-05: verwandt, aber keine Zuordnung | |
| A.5.8 | Information security in project management | ISM-1807 | Teilt nur CSF ID.AM-08: verwandt, aber keine Zuordnung | |
| A.5.10 | Acceptable use of information and other associated assets | ISM-1488 | Teilt nur CSF PR.DS-02: verwandt, aber keine Zuordnung | |
| A.5.12 | Classification of information | ISM-1807 | Teilt nur CSF ID.AM-08: verwandt, aber keine Zuordnung | |
| A.5.13 | Labelling of information | ISM-1488ISM-1807 | Teilt nur CSF PR.DS-02, ID.AM-08: verwandt, aber keine Zuordnung | |
| A.5.15 | Access control | ISM-0445ISM-0974ISM-1173+5 | Teilt nur CSF PR.AA-05, PR.AA-03: verwandt, aber keine Zuordnung | |
| A.5.16 | Identity management | ISM-0445ISM-0974ISM-1173+5 | Teilt nur CSF PR.AA-05, PR.AA-03: verwandt, aber keine Zuordnung | |
| A.5.17 | Authentication information | ISM-0445ISM-0974ISM-1173+5 | Teilt nur CSF PR.AA-05, PR.AA-03: verwandt, aber keine Zuordnung | |
| A.5.18 | Access rights | ISM-0445ISM-0974ISM-1173+5 | Teilt nur CSF PR.AA-05, PR.AA-03: verwandt, aber keine Zuordnung | |
| A.5.19 | Information security in supplier relationships | ISM-1807 | Teilt nur CSF ID.AM-08: verwandt, aber keine Zuordnung | |
| A.5.22 | Monitoring, review and change management of supplier services | ISM-1807 | Teilt nur CSF ID.AM-04, ID.AM-08: verwandt, aber keine Zuordnung | |
| A.5.27 | Learning from information security incidents | ISM-1819 | Teilt nur CSF ID.IM-04, RS.MA-01, RS.MA-02: verwandt, aber keine Zuordnung | |
| A.5.28 | Collection of evidence | ISM-1819 | Teilt nur CSF RS.MA-01, RS.MA-02: verwandt, aber keine Zuordnung | |
| A.5.29 | Information security during disruption | ISM-1515 | Teilt nur CSF PR.IR-03: verwandt, aber keine Zuordnung | |
| A.6 People controls · 4 | ||||
| A.6.1 | Screening | ISM-1488 | Teilt nur CSF PR.DS-02: verwandt, aber keine Zuordnung | |
| A.6.2 | Terms and conditions of employment | ISM-1488 | Teilt nur CSF PR.DS-02: verwandt, aber keine Zuordnung | |
| A.6.5 | Responsibilities after termination or change of employment | ISM-1488 | Teilt nur CSF PR.DS-02: verwandt, aber keine Zuordnung | |
| A.6.7 | Remote working | ISM-0445ISM-1175ISM-1380+5 | Teilt nur CSF PR.AA-05: verwandt, aber keine Zuordnung | |
| A.7 Physical controls · 3 | ||||
| A.7.4 | Physical security monitoring | ISM-0109ISM-1906ISM-1907 | Teilt nur CSF DE.CM-03: verwandt, aber keine Zuordnung | |
| A.7.10 | Storage media | ISM-1807 | Teilt nur CSF ID.AM-08: verwandt, aber keine Zuordnung | |
| A.7.13 | Equipment maintenance | ISM-1807 | Teilt nur CSF ID.AM-08: verwandt, aber keine Zuordnung | |
| A.8 Technological controls · 8 | ||||
| A.8.3 | Information access restriction | ISM-0445ISM-1175ISM-1380+5 | Teilt nur CSF PR.AA-05: verwandt, aber keine Zuordnung | |
| A.8.4 | Access to source code | ISM-0445ISM-1175ISM-1380+5 | Teilt nur CSF PR.AA-05: verwandt, aber keine Zuordnung | |
| A.8.6 | Capacity management | ISM-0109ISM-0843ISM-1228+5 | Teilt nur CSF DE.CM-09: verwandt, aber keine Zuordnung | |
| A.8.20 | Networks security | ISM-1488 | Teilt nur CSF PR.DS-02: verwandt, aber keine Zuordnung | |
| A.8.22 | Segregation of networks | ISM-1488 | Teilt nur CSF PR.DS-02: verwandt, aber keine Zuordnung | |
| A.8.24 | Use of cryptography | ISM-1488 | Teilt nur CSF PR.DS-02: verwandt, aber keine Zuordnung | |
| A.8.26 | Application security requirements | ISM-1488 | Teilt nur CSF PR.DS-02: verwandt, aber keine Zuordnung | |
| A.8.27 | Secure system architecture and engineering principles | ISM-1515 | Teilt nur CSF PR.IR-03: verwandt, aber keine Zuordnung | |
| ISMS clauses 4–10 · 9 | ||||
| Clause 4.2 | Understanding the needs and expectations of interested parties | ISM-1488ISM-1515 | Teilt nur CSF PR.DS-02, PR.IR-03: verwandt, aber keine Zuordnung | |
| Clause 5.2 | Policy | ISM-1488 | Teilt nur CSF PR.DS-02: verwandt, aber keine Zuordnung | |
| Clause 6.1.1 | General | ISM-1515 | Teilt nur CSF PR.IR-03: verwandt, aber keine Zuordnung | |
| Clause 6.1.2 | Information security risk assessment | ISM-1698ISM-1699ISM-1701+3 | Teilt nur CSF ID.RA-08: verwandt, aber keine Zuordnung | |
| Clause 7.4 | Communication | ISM-0123ISM-0140 | Teilt nur CSF RS.CO-02: verwandt, aber keine Zuordnung | |
| Clause 9.1 | Monitoring, measurement, analysis and evaluation | ISM-0109ISM-1906ISM-1907 | Teilt nur CSF DE.CM-03: verwandt, aber keine Zuordnung | |
| Clause 9.3.1 | General | ISM-1412ISM-1485ISM-1486+5 | Teilt nur CSF PR.PS-01: verwandt, aber keine Zuordnung | |
| Clause 9.3.2 | Management review inputs | ISM-1412ISM-1485ISM-1486+5 | Teilt nur CSF PR.PS-01: verwandt, aber keine Zuordnung | |
| Clause 9.3.3 | Management review results | ISM-1412ISM-1485ISM-1486+5 | Teilt nur CSF PR.PS-01: verwandt, aber keine Zuordnung | |
Zugeordnet (23)
| ISO 27001 | Anforderung | Abgleich | Essential Eight | Nachweis |
|---|---|---|---|---|
| A.5 Organizational controls · 8 | ||||
| A.5.5 | Contact with authorities | Redaktionell | ISM-0123ISM-0140 | Gleiches Thema: Meldung (Redaktionelle Auswahl) |
| A.5.9 | Inventory of information and other associated assets | Redaktionell | ISM-1807 | Gleiches Thema: Asset-Management (Redaktionelle Auswahl) |
| A.5.11 | Return of assets | Redaktionell | ISM-1807 | Gleiches Thema: Asset-Management (Redaktionelle Auswahl) |
| A.5.14 | Information transfer | Redaktionell | ISM-1488 | Gleiches Thema: E-Mail-Sicherheit (Redaktionelle Auswahl) |
| A.5.24 | Information security incident management planning and preparation | Redaktionell | ISM-1819 | Gleiches Thema: Incident Response (Redaktionelle Auswahl) |
| A.5.25 | Assessment and decision on information security events | Redaktionell | ISM-1228ISM-1819ISM-1906 | Gleiches Thema: SIEM / SOC, Incident Response (Redaktionelle Auswahl) |
| A.5.26 | Response to information security incidents | Redaktionell | ISM-1819 | Gleiches Thema: Incident Response (Redaktionelle Auswahl) |
| A.5.30 | ICT readiness for business continuity | Redaktionell | ISM-1515 | Gleiches Thema: Disaster Recovery (Redaktionelle Auswahl) |
| A.6 People controls · 1 | ||||
| A.6.8 | Information security event reporting | Redaktionell | ISM-0123ISM-0140 | Gleiches Thema: Meldung (Redaktionelle Auswahl) |
| A.7 Physical controls · 1 | ||||
| A.7.14 | Secure disposal or re-use of equipment | Redaktionell | ISM-1807 | Gleiches Thema: Asset-Management (Redaktionelle Auswahl) |
| A.8 Technological controls · 13 | ||||
| A.8.1 | User endpoint devices | Redaktionell | ISM-0843ISM-1488ISM-1490+3 | Gleiches Thema: Endpoint-Schutz (Redaktionelle Auswahl) |
| A.8.2 | Privileged access rights | Redaktionell | ISM-0445ISM-1175ISM-1380+5 | Gleiches Thema: Privilegierter Zugriff (Redaktionelle Auswahl) |
| A.8.5 | Secure authentication | Redaktionell | ISM-0974ISM-1173ISM-1401+3 | Gleiches Thema: Multi-Faktor-Authentifizierung (Redaktionelle Auswahl) |
| A.8.7 | Protection against malware | Redaktionell | ISM-0843ISM-1488ISM-1490+3 | Gleiches Thema: Endpoint-Schutz (Redaktionelle Auswahl) |
| A.8.8 | Management of technical vulnerabilities | Redaktionell | ISM-1501ISM-1691ISM-1693+10 | Gleiches Thema: Patch-Management (Redaktionelle Auswahl) |
| A.8.9 | Configuration management | Redaktionell | ISM-1412ISM-1585ISM-1621+3 | Gleiches Thema: Sichere Konfiguration (Redaktionelle Auswahl) |
| A.8.13 | Information backup | Redaktionell | ISM-1511ISM-1515ISM-1707+3 | Gleiches Thema: Backup & Recovery (Redaktionelle Auswahl) |
| A.8.14 | Redundancy of information processing facilities | Redaktionell | ISM-1515 | Gleiches Thema: Disaster Recovery (Redaktionelle Auswahl) |
| A.8.15 | Logging | Redaktionell | ISM-1509ISM-1623ISM-1660+2 | Gleiches Thema: Protokollierung & Audit (Redaktionelle Auswahl) |
| A.8.16 | Monitoring activities | Redaktionell | ISM-0109ISM-1228ISM-1906+1 | Gleiches Thema: Kont. Überwachung, Anomalieerkennung, SIEM / SOC (Redaktionelle Auswahl) |
| A.8.17 | Clock synchronization | Redaktionell | ISM-1509ISM-1623ISM-1660+2 | Gleiches Thema: Protokollierung & Audit (Redaktionelle Auswahl) |
| A.8.18 | Use of privileged utility programs | Redaktionell | ISM-0445ISM-1175ISM-1380+5 | Gleiches Thema: Privilegierter Zugriff (Redaktionelle Auswahl) |
| A.8.19 | Installation of software on operational systems | Redaktionell | ISM-0843ISM-1488ISM-1490+3 | Gleiches Thema: Endpoint-Schutz (Redaktionelle Auswahl) |
Nach Thema
Beide abgedeckt (16):
Asset-ManagementSchwachstellenmanagementMulti-Faktor-AuthentifizierungBackup & RecoveryPrivilegierter ZugriffEndpoint-SchutzPatch-ManagementSichere KonfigurationE-Mail-SicherheitKont. ÜberwachungProtokollierung & AuditAnomalieerkennungSIEM / SOCIncident ResponseMeldungDisaster Recovery
Nur ISO 27001 (34):
Governance-RichtlinieAwareness & TrainingRisikomanagementLieferkettenrisikoRollen und VerantwortlichkeitenComplianceRisikobewertungGeschäftsumfeldDatenklassifizierungThreat IntelligenceZugriffskontrolleVerschlüsselungDatenschutzFirewall / NetzsegmentierungSichere EntwicklungWebanwendungssicherheitZero TrustMobile SecurityCloud-SicherheitDNS-SicherheitWAFDLPAngriffserkennungForensikKommunikationMitigationWiederherstellungsplanungBusiness ContinuityErkenntnisse aus VorfällenKommunikation & WiederherstellungAPI-SicherheitInsider-BedrohungenLieferantenrisikomanagementPhysische Sicherheit
Anforderungs-IDs und Titel werden so angezeigt, wie jedes Framework sie veröffentlicht, auf Englisch.
Crosswalk eine veröffentlichte Crosswalk (NIST, ENISA, CIS, PCI SSC) stellt die Verbindung her · Redaktionell Einschätzung von ControlMapping, wo kein Crosswalk existiert; die Begründung wird angezeigt · teilt nur ein CSF-2.0-Ergebnis: einer Prüfung wert, aber keine Zuordnung · Keine Zuordnung in unseren Daten In unseren Daten nichts zugeordnet; oft neue Arbeit, aber prüfen Sie die Hinweise zur Abdeckung. Zugeordnet = gemeinsam in einem ControlMapping-Thema kuratiert oder direkt verknüpft. Crosswalks belegen keine Konformität. Methodik · Daten herunterladen · Fehler melden.