Auf den Punkt: ISO 27001:2022 verlangt über vier Annex-A-Controls Multi-Faktor-Authentisierung mit phishing-resistenten Methoden, nicht nur Passwortrichtlinien.
Die Norm ISO 27001:2022 regelt über vier Annex-A-Controls die sichere Authentisierung in Organisationen. CISOs müssen neben starken Passwortrichtlinien und Conditional Access vor allem phishing-resistente Multi-Faktor-Authentisierung implementieren.
Die ISO 27001:2022 konkretisiert Anforderungen an die Authentisierung durch vier dedizierte Controls im Annex A. Diese adressieren Passwortpolitik, Authentisierungsmechanismen und deren sichere Verwaltung. Eine reine Passwortauthentisierung genügt den Vorgaben nicht mehr.
Für CISOs bedeutet dies, dass Passwortrichtlinien allein unzureichend sind. Die Norm verlangt technische Maßnahmen wie Conditional Access, das Authentisierungsversuche basierend auf Kontext und Anomalien überprüft. Gleichzeitig wird die Implementierung von Multi-Faktor-Authentisierung (MFA) erforderlich, wobei der Fokus auf phishing-resistenten Methoden liegen sollte – etwa Hardware-Security-Keys oder Windows Hello – statt auf anfälligen SMS-Codes.
Eine Governance-Perspektive: Die Umsetzung dieser Controls erfordert klare Richtlinien, technische Implementierung in IAM-Systemen und regelmäßige Compliance-Audits. Organisationen, die ISO 27001:2022 anstreben oder bereits zertifiziert sind, müssen dokumentieren, wie sie diese vier Authentisierungs-Controls umgesetzt haben, und nachweisen, dass die technische Realität der Norm entspricht.
Quelle: www.computerweekly.com · Erschienen 27. Juli 2026
Lumi AI News — KI-assistierte Kuratierung gemaess Art. 50 EU AI Act. Paraphrase und Klassifikation durch Lumi News Pipeline v1.7.3.