Sollzuständeausführbar machen.
Eine sichere Konfiguration ist eine versionierte und überprüfbare Betriebsentscheidung. Der Prozess übersetzt Architektur und Schutzbedarf in technische Baselines, bringt sie kontrolliert auf Systeme und behandelt Drift, Ausnahmen sowie veraltete Einstellungen.
Der Sollzustand muss
ausführbar sein.
Ein Hardening Dokument beschreibt Absicht. Eine belastbare Baseline benennt Zielplattform, Version, Parameter, Herkunft, Ausnahmen und Prüfweg so genau, dass der Zustand wiederholt hergestellt und unabhängig kontrolliert werden kann.
| Element | Erforderliche Aussage | Nachweis | Fehlermodus |
|---|---|---|---|
| Geltung | Plattform, Version, Rolle, Umgebung und Schutzprofil. | Zuordnung zum Inventar. | Eine Baseline gilt vermeintlich für alles. |
| Parameter | Konkreter Wert, Begründung und zulässige Abhängigkeit. | Maschinenlesbare oder eindeutig prüfbare Definition. | Unverbindliche Empfehlung. |
| Verteilung | Werkzeug, Reihenfolge, Test und kontrollierter Rollout. | Versionierter Ausführungsstand. | Manuelle Einzelkonfiguration ohne Spur. |
| Abweichung | Istwert, Risiko, Owner, Kompensation und Frist. | Befristete Ausnahme oder Korrekturauftrag. | Akzeptierte Drift ohne Ablauf. |
| Verifikation | Prüfverfahren, Frequenz, Abdeckung und Vertrauensgrenze. | Messung gegen die freigegebene Baseline. | Dashboard ohne bekannte Grundgesamtheit. |
Baseline, Betrieb
und Drift verbinden.
Die Baseline bleibt über Änderungen und Plattformversionen hinweg unter Kontrolle. Ein Update darf keinen unbekannten Sollzustand erzeugen.
Zuordnen
Plattformen, Versionen und Betriebsrollen aus Inventar und Architektur bestimmen.
Abgedeckter Bestand
Definieren
Sichere Parameter, Dienste, Protokolle und lokale Schutzmechanismen freigeben.
Versionierter Sollzustand
Erproben
Funktion, Nebenwirkung, Wiederholbarkeit und Rücknahme in geeigneter Umgebung prüfen.
Freigegebene Baseline
Erzwingen
Konfiguration kontrolliert verteilen und das tatsächliche Ergebnis bestätigen.
Bestätigter Zustand
Erkennen
Istwerte gegen Version und Geltungsbereich der Baseline messen.
Qualifizierte Abweichung
Entscheiden
Korrektur, Kompensation oder befristete Ausnahme mit Owner festlegen.
Verbindlicher Auftrag
Erneuern
Baseline bei Plattform, Bedrohung oder Architekturänderung prüfen und ablösen.
Aktueller Standard
Konfiguration hält
den Zustand.
Änderungen steuern den Eingriff. Patching installiert Softwarestände. Konfiguration definiert und überwacht die zulässigen Einstellungen. Die Trennung verhindert, dass ein erfolgreiches Deployment fälschlich als sicherer Zustand gilt.
Setzt die Leitplanken. Genehmigt Prinzipien, Protokolle und technische Mindestanforderungen.
Verantwortet die Baseline. Pflegt Version, Kompatibilität, Ausnahmen und Ablösung.
Stellt den Zustand her. Testet, verteilt, überwacht und korrigiert die freigegebene Konfiguration.
Prüft Abdeckung und Wirkung. Bewertet Grundgesamtheit, Stichprobe, Drift und Ausnahmeprozess.
Drift wird
entscheidungsfähig.
Die Gesamtzahl abweichender Parameter ist ohne Kritikalität und Abdeckung wenig aussagekräftig. Gesteuert werden unbekannte Zustände, überfällige Abweichungen und Baselines, die technisch nicht mehr zum Bestand passen.
Relevante Plattformen oder Versionen ohne freigegebene Baseline.
Kritische Systeme mit bestätigter Abweichung vom gültigen Sollzustand.
Abweichungen ohne Owner, Kompensation, Ablaufdatum oder erneute Prüfung.
Baselines, deren Quelle, Plattformversion oder Bedrohungsannahme überholt ist.
Nach Korrektur erneut auftretende Drift mit derselben technischen Ursache.
Härtung bleibt
betriebsnah.
ISO und NIST stützen dokumentierte Konfiguration, kontrollierte Änderungen und Überwachung. Produktspezifische Benchmarks sind technische Quellen, aber keine unveränderten Unternehmensstandards.
Annex A.8.9
Stützt das Management von Konfigurationen. Ergänzende Controls betreffen dokumentierte Verfahren, Softwareinstallation, Netz und technische Betriebsführung.
Security Focused CM
Verbindet sichere Konfiguration, Kontrolle, Monitoring und Risikomanagement in einem betrieblichen Ansatz.
Technische Baselines
Hersteller und communitybezogene Empfehlungen können Parameter liefern. Auswahl und Anpassung bleiben organisationsbezogen.
ICT Betrieb
Für erfasste Finanzunternehmen konkretisiert die Delegierte Verordnung 2024/1774 Konfigurationsmanagement und kontrollierte ICT Änderungen.
Sollzustände bleiben
prüfbar.
Konfiguration macht freigegebene technische Vorgaben im Betrieb sichtbar. Die Referenzen liefern den Kontrollrahmen, Architektur und Änderungen bestimmen den Sollzustand, Werkzeuge erkennen und verteilen Abweichungen.
| Referenz | Beitrag zum Prozess | Grenze |
|---|---|---|
| ISO/IEC 27001:2022 | A.8.9 fordert die Verwaltung von Konfigurationen als technologische Kontrolle. | Bestimmt keine unveränderte Herstellerbaseline. |
| NIST SP 800-128 | Verbindet sicherheitsorientiertes Konfigurationsmanagement mit Kontrolle, Monitoring und Risiko. | Ersetzt keine Freigabe für einzelne Änderungen. |
| CIS Benchmarks | Stellen technische Empfehlungen für viele Plattformen bereit. | Die Auswahl und Abweichung bleibt organisationsbezogen. |
| Inhalt | Beitrag | Weiter |
|---|---|---|
| 04 Architektur | Definiert die zugrunde liegenden Prinzipien und technischen Zielbilder. | Prozess öffnen → |
| 17 Änderungen | Behandelt Eingriffe, Freigaben, Tests und Rückfalloptionen. | Prozess öffnen → |
| 19 Monitoring | Erkennt Drift und liefert Hinweise auf Abweichungen im Betrieb. | Prozess öffnen → |
Security Tool Navigator · Werkzeuge zum Prozess
Werkzeuge nach Gebiet einordnen.
Die Werkzeugklassen dieses Prozesses sind im Security Tool Navigator nach Sicherheitsgebieten geordnet. Die Gebietsseiten zeigen Abgrenzung, Auswahlfragen für CIO und CISO und alle Werkzeugklassen im Zusammenhang.