- Se ISO 27002:2022 Kontrol 7.5 for mere information.
- Se ISO 27001:2013 Bilag A 11.1.4 for mere information.
ISO 27001 Annex A 7.5: Styrkelse af sikkerheden mod fysiske og miljømæssige trusler
Organisationer skal tage hensyn til de risici, som fysiske trusler mod deres informationsaktiver udgør.
Sådanne trusler kan omfatte miljøskader, tyveri, ødelæggelse og kompromittering af data. Disse problemer kan alle føre til tab af information og muligheden for, at følsomme data bliver afsløret.
Naturlige begivenheder som jordskælv, oversvømmelser og naturbrande samt menneskeskabte katastrofer som civile uroligheder og kriminelle handlinger udgør trusler.
ISO 27001: 2022 Bilag A 7.5 kræver, at organisationer vurderer, anerkender og reducerer risiciene for vital fysisk infrastruktur fra fysiske og miljømæssige farer.
Formål med ISO 27001:2022 bilag A 7.5
ISO 27001:2022 Annex A 7.5 gør det muligt for organisationer at vurdere de potentielle risici, som miljømæssige og fysiske trusler udgør, og at reducere eller eliminere disse risici ved at implementere passende foranstaltninger.
ISO 27001 gjort nemt
Et forspring på 81% fra dag ét
Vi har gjort det hårde arbejde for dig, hvilket giver dig en 81% forspring fra det øjeblik, du logger på. Alt du skal gøre er at udfylde de tomme felter.
Ejerskab af bilag A 7.5
ISO 27001: 2022 Bilag A 7.5 nødvendiggør, at organisationer udfører en omfattende risikovurdering, inden de udfører fysiske operationer, og implementerer passende foranstaltninger i forhold til den identificerede risiko.
Sikkerhedschefer er ansvarlige for at skabe, styre, implementere og vurdere hele processen.
Vejledning om ISO 27001:2022 Bilag A 7.5 Overholdelse
ISO 27001:2022 Bilag A 7.5 skitserer en tredelt strategi til genkendelse og fjernelse af potentielle farer fra fysiske og miljømæssige kilder.
Trin 1 – Gennemfør en risikovurdering
Organisationer bør udføre en risikovurdering at identificere eventuelle fysiske og miljømæssige farer, der kan finde sted på deres lokaler, og derefter måle de mulige virkninger af disse identificerede fysiske og miljømæssige risici.
I betragtning af de mange forskellige miljøforhold og fysiske risici, som hver enkelt lokalitet og infrastruktur kan stå over for, vil typen af trussel og det identificerede risikoniveau variere afhængigt af placeringen.
En ejendom kan være særligt sårbar over for naturbrande, mens en anden kan være beliggende i et område, der er udsat for jordskælv.
Det er væsentligt, at der udføres en risikovurdering, før aktiviteter på stedet påbegyndes, jf. bilag A 7.5.
Trin 2 – Etabler og ansæt kontroller
I betragtning af den type trussel og den tilhørende risiko, der blev identificeret i første omgang, bør organisationer implementere de korrekte kontroller med de mulige konsekvenser af miljømæssige og fysiske trusler for øje.
ISO 27001:2022 Bilag A 7.5 giver eksempler på kontroller, der kan implementeres til at bekæmpe forskellige trusler:
- Organisationer bør installere systemer, der kan advare dem om brande og aktivere brandslukningssystemer for at beskytte digitale medier og informationssystemer mod ødelæggelse.
- Systemer bør implementeres og opsættes til at identificere oversvømmelser på steder, hvor data er lagret. Derudover bør vandpumper være forberedt til at blive brugt i tilfælde af oversvømmelse.
- Servere og datahåndteringssystemer skal sikres mod elektriske overspændinger. Regelmæssig vedligeholdelse og beskyttelse er afgørende for optimal ydeevne.
- Organisationer bør regelmæssig revision og inspicere mennesker, genstande og køretøjer, der kommer ind på kritiske infrastrukturområder.
Trin 3 – Overvågning
Hold styr på fremskridt og foretag justeringer efter behov. Evaluer regelmæssigt resultater og lav ændringer for at sikre, at målene nås. Sørg for at dokumentere eventuelle ændringer til fremtidig reference.
Frigør dig selv fra et bjerg af regneark
Integrer, udvid og skaler din compliance uden besvær. IO giver dig robustheden og selvtilliden til at vokse sikkert.
Supplerende vejledning om bilag A 7.5
ISO 27001:2022 Bilag A 7.5 skitserer fire overvejelser, som organisationer bør have i tankerne.
Konsultation med eksperter
Enhver miljømæssig og fysisk trussel, såsom giftigt affald, jordskælv og brand, er adskilt med hensyn til dens karakteristika, den fare, den udgør, og de foranstaltninger, der skal træffes.
Organisationer bør konsultere specialistrådgivning om, hvordan man opdager, reducerer og/eller håndterer risici forbundet med disse trusler.
Valg af beliggenhed for lokaler
At tage det lokale terræn i betragtning, kan vandstanden og den tektoniske aktivitet på et potentielt sted for en bygning hjælpe med at identificere og eliminere potentielle risici tidligt.
Organisationer bør overveje farerne ved menneskeskabte katastrofer i det udvalgte byområde, for eksempel politisk uro og kriminel adfærd.
Ekstra lag af sikkerhed
Brugen af sikre opbevaringsmetoder, såsom pengeskabe, giver et ekstra lag af beskyttelse mod katastrofer som brand og oversvømmelser, ud over de eksisterende sikkerhedsforanstaltninger.
Forebyggelse af kriminalitet gennem miljødesign
ISO 27001:2022 Bilag A 7.5 foreslår, at organisationer overvejer dette koncept, når de indfører kontroller for at styrke lokalernes sikkerhed. Denne tilgang kan bruges til at bekæmpe bytrusler såsom kriminelle aktiviteter, civile uroligheder og terrorisme.
Ændringer og forskelle fra ISO 27001:2013
ISO 27001:2022 Bilag A 7.5 erstatter ISO 27001:2013 Bilag A 11.1.4 i den reviderede standard.
2013-versionen fokuserede på, hvordan organisationer bør indføre forebyggende foranstaltninger mod fysiske og miljømæssige trusler, mens 2022-versionen er mere omfattende og skitserer de specifikke skridt, organisationer bør tage for at overholde.
Afslutningsvis skiller to hovedskel sig ud.
2022-versionen giver råd om mødebestemmelser
2013-udgaven gav ingen vejledning om, hvordan organisationer kunne genkende og reducere risici forårsaget af miljømæssige og fysiske farer.
2022-versionen skitserer en tre-trins proces, som organisationer skal implementere, begyndende med en risikovurdering.
2022-revisionen opfordrer organisationer til at indføre et ekstra lag af foranstaltninger
Den supplerende vejledning for 2022 omfatter brug af pengeskabe og kriminalitetsforebyggelse gennem miljødesign som måder til at øge sikkerheden mod trusler.
I 2013 blev der dog ikke taget ekstra skridt.
Tabel over alle ISO 27001:2022 bilag A kontroller
I tabellen nedenfor finder du mere information om hver enkelt ISO 27001:2022 Annex A-kontrol.
| Bilag A Kontroltype | ISO/IEC 27001:2022 Bilag A Identifikator | ISO/IEC 27001:2013 Bilag A Identifikator | Bilag A Navn |
|---|---|---|---|
| Organisatoriske kontroller | Bilag A 5.1 |
Bilag A 5.1.1 Bilag A 5.1.2 |
Politikker for informationssikkerhed |
| Organisatoriske kontroller | Bilag A 5.2 | Bilag A 6.1.1 | Informationssikkerhedsroller og -ansvar |
| Organisatoriske kontroller | Bilag A 5.3 | Bilag A 6.1.2 | Adskillelse af opgaver |
| Organisatoriske kontroller | Bilag A 5.4 | Bilag A 7.2.1 | Ledelsesansvar |
| Organisatoriske kontroller | Bilag A 5.5 | Bilag A 6.1.3 | Kontakt med myndigheder |
| Organisatoriske kontroller | Bilag A 5.6 | Bilag A 6.1.4 | Kontakt med særlige interessegrupper |
| Organisatoriske kontroller | Bilag A 5.7 | NY | Threat Intelligence |
| Organisatoriske kontroller | Bilag A 5.8 |
Bilag A 6.1.5 Bilag A 14.1.1 |
Informationssikkerhed i projektledelse |
| Organisatoriske kontroller | Bilag A 5.9 |
Bilag A 8.1.1 Bilag A 8.1.2 |
Fortegnelse over oplysninger og andre tilknyttede aktiver |
| Organisatoriske kontroller | Bilag A 5.10 |
Bilag A 8.1.3 Bilag A 8.2.3 |
Acceptabel brug af oplysninger og andre tilknyttede aktiver |
| Organisatoriske kontroller | Bilag A 5.11 | Bilag A 8.1.4 | Tilbagelevering af aktiver |
| Organisatoriske kontroller | Bilag A 5.12 | Bilag A 8.2.1 | Klassificering af oplysninger |
| Organisatoriske kontroller | Bilag A 5.13 | Bilag A 8.2.2 | Mærkning af information |
| Organisatoriske kontroller | Bilag A 5.14 |
Bilag A 13.2.1 Bilag A 13.2.2 Bilag A 13.2.3 |
Informationsoverførsel |
| Organisatoriske kontroller | Bilag A 5.15 |
Bilag A 9.1.1 Bilag A 9.1.2 |
Adgangskontrol |
| Organisatoriske kontroller | Bilag A 5.16 | Bilag A 9.2.1 | Identitetsstyring |
| Organisatoriske kontroller | Bilag A 5.17 |
Bilag A 9.2.4 Bilag A 9.3.1 Bilag A 9.4.3 |
Autentificeringsoplysninger |
| Organisatoriske kontroller | Bilag A 5.18 |
Bilag A 9.2.2 Bilag A 9.2.5 Bilag A 9.2.6 |
Adgangsrettigheder |
| Organisatoriske kontroller | Bilag A 5.19 | Bilag A 15.1.1 | Informationssikkerhed i leverandørforhold |
| Organisatoriske kontroller | Bilag A 5.20 | Bilag A 15.1.2 | Håndtering af informationssikkerhed inden for leverandøraftaler |
| Organisatoriske kontroller | Bilag A 5.21 | Bilag A 15.1.3 | Håndtering af informationssikkerhed i IKT-forsyningskæden |
| Organisatoriske kontroller | Bilag A 5.22 |
Bilag A 15.2.1 Bilag A 15.2.2 |
Overvågning, gennemgang og ændringsstyring af leverandørservices |
| Organisatoriske kontroller | Bilag A 5.23 | NY | Informationssikkerhed til brug af skytjenester |
| Organisatoriske kontroller | Bilag A 5.24 | Bilag A 16.1.1 | Informationssikkerhed Incident Management Planlægning og forberedelse |
| Organisatoriske kontroller | Bilag A 5.25 | Bilag A 16.1.4 | Vurdering og beslutning om informationssikkerhedshændelser |
| Organisatoriske kontroller | Bilag A 5.26 | Bilag A 16.1.5 | Reaktion på informationssikkerhedshændelser |
| Organisatoriske kontroller | Bilag A 5.27 | Bilag A 16.1.6 | Lær af informationssikkerhedshændelser |
| Organisatoriske kontroller | Bilag A 5.28 | Bilag A 16.1.7 | Indsamling af beviser |
| Organisatoriske kontroller | Bilag A 5.29 |
Bilag A 17.1.1 Bilag A 17.1.2 Bilag A 17.1.3 |
Informationssikkerhed under afbrydelse |
| Organisatoriske kontroller | Bilag A 5.30 | NY | IKT-beredskab til forretningskontinuitet |
| Organisatoriske kontroller | Bilag A 5.31 |
Bilag A 18.1.1 Bilag A 18.1.5 |
Juridiske, lovpligtige, regulatoriske og kontraktlige krav |
| Organisatoriske kontroller | Bilag A 5.32 | Bilag A 18.1.2 | Intellektuelle ejendomsrettigheder |
| Organisatoriske kontroller | Bilag A 5.33 | Bilag A 18.1.3 | Beskyttelse af optegnelser |
| Organisatoriske kontroller | Bilag A 5.34 | Bilag A 18.1.4 | Privatliv og beskyttelse af PII |
| Organisatoriske kontroller | Bilag A 5.35 | Bilag A 18.2.1 | Uafhængig gennemgang af informationssikkerhed |
| Organisatoriske kontroller | Bilag A 5.36 |
Bilag A 18.2.2 Bilag A 18.2.3 |
Overholdelse af politikker, regler og standarder for informationssikkerhed |
| Organisatoriske kontroller | Bilag A 5.37 | Bilag A 12.1.1 | Dokumenterede driftsprocedurer |
| Bilag A Kontroltype | ISO/IEC 27001:2022 Bilag A Identifikator | ISO/IEC 27001:2013 Bilag A Identifikator | Bilag A Navn |
|---|---|---|---|
| People Controls | Bilag A 6.1 | Bilag A 7.1.1 | Screening |
| People Controls | Bilag A 6.2 | Bilag A 7.1.2 | Ansættelsesvilkår |
| People Controls | Bilag A 6.3 | Bilag A 7.2.2 | Informationssikkerhedsbevidsthed, uddannelse og træning |
| People Controls | Bilag A 6.4 | Bilag A 7.2.3 | Disciplinær proces |
| People Controls | Bilag A 6.5 | Bilag A 7.3.1 | Ansvar efter opsigelse eller ændring af ansættelse |
| People Controls | Bilag A 6.6 | Bilag A 13.2.4 | Aftaler om fortrolighed eller tavshedspligt |
| People Controls | Bilag A 6.7 | Bilag A 6.2.2 | Fjernbetjening |
| People Controls | Bilag A 6.8 |
Bilag A 16.1.2 Bilag A 16.1.3 |
Informationssikkerhed begivenhedsrapportering |
| Bilag A Kontroltype | ISO/IEC 27001:2022 Bilag A Identifikator | ISO/IEC 27001:2013 Bilag A Identifikator | Bilag A Navn |
|---|---|---|---|
| Fysiske kontroller | Bilag A 7.1 | Bilag A 11.1.1 | Fysiske sikkerhedsomkredse |
| Fysiske kontroller | Bilag A 7.2 |
Bilag A 11.1.2 Bilag A 11.1.6 |
Fysisk adgang |
| Fysiske kontroller | Bilag A 7.3 | Bilag A 11.1.3 | Sikring af kontorer, lokaler og faciliteter |
| Fysiske kontroller | Bilag A 7.4 | NY | Fysisk sikkerhedsovervågning |
| Fysiske kontroller | Bilag A 7.5 | Bilag A 11.1.4 | Beskyttelse mod fysiske og miljømæssige trusler |
| Fysiske kontroller | Bilag A 7.6 | Bilag A 11.1.5 | Arbejde i sikre områder |
| Fysiske kontroller | Bilag A 7.7 | Bilag A 11.2.9 | Clear Desk og Clear Screen |
| Fysiske kontroller | Bilag A 7.8 | Bilag A 11.2.1 | Udstyrsplacering og beskyttelse |
| Fysiske kontroller | Bilag A 7.9 | Bilag A 11.2.6 | Sikkerhed af aktiver uden for lokalerne |
| Fysiske kontroller | Bilag A 7.10 |
Bilag A 8.3.1 Bilag A 8.3.2 Bilag A 8.3.3 Bilag A 11.2.5 |
Storage Media |
| Fysiske kontroller | Bilag A 7.11 | Bilag A 11.2.2 | Understøttende hjælpeprogrammer |
| Fysiske kontroller | Bilag A 7.12 | Bilag A 11.2.3 | Kabler sikkerhed |
| Fysiske kontroller | Bilag A 7.13 | Bilag A 11.2.4 | Vedligeholdelse af udstyr |
| Fysiske kontroller | Bilag A 7.14 | Bilag A 11.2.7 | Sikker bortskaffelse eller genbrug af udstyr |
| Bilag A Kontroltype | ISO/IEC 27001:2022 Bilag A Identifikator | ISO/IEC 27001:2013 Bilag A Identifikator | Bilag A Navn |
|---|---|---|---|
| Teknologisk kontrol | Bilag A 8.1 |
Bilag A 6.2.1 Bilag A 11.2.8 |
Brugerendepunktsenheder |
| Teknologisk kontrol | Bilag A 8.2 | Bilag A 9.2.3 | Privilegerede adgangsrettigheder |
| Teknologisk kontrol | Bilag A 8.3 | Bilag A 9.4.1 | Begrænsning af informationsadgang |
| Teknologisk kontrol | Bilag A 8.4 | Bilag A 9.4.5 | Adgang til kildekode |
| Teknologisk kontrol | Bilag A 8.5 | Bilag A 9.4.2 | Sikker godkendelse |
| Teknologisk kontrol | Bilag A 8.6 | Bilag A 12.1.3 | Kapacitetsstyring |
| Teknologisk kontrol | Bilag A 8.7 | Bilag A 12.2.1 | Beskyttelse mod malware |
| Teknologisk kontrol | Bilag A 8.8 |
Bilag A 12.6.1 Bilag A 18.2.3 |
Håndtering af tekniske sårbarheder |
| Teknologisk kontrol | Bilag A 8.9 | NY | Configuration Management |
| Teknologisk kontrol | Bilag A 8.10 | NY | Sletning af oplysninger |
| Teknologisk kontrol | Bilag A 8.11 | NY | Datamaskering |
| Teknologisk kontrol | Bilag A 8.12 | NY | Forebyggelse af datalækage |
| Teknologisk kontrol | Bilag A 8.13 | Bilag A 12.3.1 | Backup af information |
| Teknologisk kontrol | Bilag A 8.14 | Bilag A 17.2.1 | Redundans af informationsbehandlingsfaciliteter |
| Teknologisk kontrol | Bilag A 8.15 |
Bilag A 12.4.1 Bilag A 12.4.2 Bilag A 12.4.3 |
Logning |
| Teknologisk kontrol | Bilag A 8.16 | NY | Overvågningsaktiviteter |
| Teknologisk kontrol | Bilag A 8.17 | Bilag A 12.4.4 | Ursynkronisering |
| Teknologisk kontrol | Bilag A 8.18 | Bilag A 9.4.4 | Brug af privilegerede hjælpeprogrammer Adgangsrettigheder |
| Teknologisk kontrol | Bilag A 8.19 |
Bilag A 12.5.1 Bilag A 12.6.2 |
Installation af software på operationelle systemer |
| Teknologisk kontrol | Bilag A 8.20 | Bilag A 13.1.1 | Netværkssikkerhed |
| Teknologisk kontrol | Bilag A 8.21 | Bilag A 13.1.2 | Sikkerhed af netværkstjenester |
| Teknologisk kontrol | Bilag A 8.22 | Bilag A 13.1.3 | Adskillelse af netværk |
| Teknologisk kontrol | Bilag A 8.23 | NY | Webfiltrering |
| Teknologisk kontrol | Bilag A 8.24 |
Bilag A 10.1.1 Bilag A 10.1.2 |
Brug af kryptografi |
| Teknologisk kontrol | Bilag A 8.25 | Bilag A 14.2.1 | Sikker udviklingslivscyklus |
| Teknologisk kontrol | Bilag A 8.26 |
Bilag A 14.1.2 Bilag A 14.1.3 |
Applikationssikkerhedskrav |
| Teknologisk kontrol | Bilag A 8.27 | Bilag A 14.2.5 | Principper for sikker systemarkitektur og -teknikLæring af informationssikkerhedshændelser |
| Teknologisk kontrol | Bilag A 8.28 | NY | Sikker kodning |
| Teknologisk kontrol | Bilag A 8.29 |
Bilag A 14.2.8 Bilag A 14.2.9 |
Sikkerhedstest i udvikling og accept |
| Teknologisk kontrol | Bilag A 8.30 | Bilag A 14.2.7 | Udliciteret udvikling |
| Teknologisk kontrol | Bilag A 8.31 |
Bilag A 12.1.4 Bilag A 14.2.6 |
Adskillelse af udviklings-, test- og produktionsmiljøer |
| Teknologisk kontrol | Bilag A 8.32 |
Bilag A 12.1.2 Bilag A 14.2.2 Bilag A 14.2.3 Bilag A 14.2.4 |
Change Management |
| Teknologisk kontrol | Bilag A 8.33 | Bilag A 14.3.1 | Testinformation |
| Teknologisk kontrol | Bilag A 8.34 | Bilag A 12.7.1 | Beskyttelse af informationssystemer under revisionstest |
[case_study_slider ids=”88859,101932,92016″ autoplay=”sand” autoplay_speed=”5000″]
Hvordan ISMS.online Hjælp
ISMS.online platformen tilbyder en række potente værktøjer til at dokumentere, implementere, bevare og forbedre din informationssikkerhedsstyringssystem (ISMS) og lettere at blive kompatibel med ISO 27001:2022.
Denne omfattende samling af værktøjer giver et enkelt sted, hvor du kan tilpasse et sæt politikker og procedurer, så de matcher din organisations særlige risici og behov.
Kontakt os i dag for arrangere en demonstration.